Политика обработки ПДн ПДн

УТВЕРЖДЕНА

приказом Генерального директора ООО «ЮНИВЕРСАЛ» от «22» июня 2026 г. № 1

Редакция 1.0 от «22» июня 2026 г.

ПОЛИТИКА ОБЩЕСТВА С ОГРАНИЧЕННОЙ ОТВЕТСТВЕННОСТЬЮ «ЮНИВЕРСАЛ» В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Общие положения

Настоящая Политика общества с ограниченной ответственностью «ЮНИВЕРСАЛ» в отношении обработки персональных данных, далее «Политика», определяет цели, правовые основания, содержание, объём и способы обработки персональных данных, категории субъектов персональных данных, сроки обработки и хранения персональных данных, порядок прекращения обработки и уничтожения персональных данных, права субъектов персональных данных, обязанности Оператора, а также основные меры, принимаемые Оператором для обеспечения безопасности персональных данных.

Оператором персональных данных является общество с ограниченной ответственностью «ЮНИВЕРСАЛ», далее «Оператор» или «Клуб».

— Полное наименование Оператора: Общество с ограниченной ответственностью «ЮНИВЕРСАЛ»;

— Сокращённое наименование Оператора: ООО «ЮНИВЕРСАЛ»;

— ОГРН Оператора: 1167746729578.

— ИНН Оператора: 7728345476.

— КПП Оператора: 772801001.

— Адрес места нахождения и почтовый адрес Оператора: 119421, г. Москва, Ленинский проспект, д. 101, этаж 1, помещение I, комната 16.

— Адрес фитнес-клуба. 119421, г. Москва, Ленинский проспект, д. 101.

— Контактный телефон Оператора: +7 495 150-39-49.

— Адрес электронной почты Оператора по вопросам обработки персональных данных: info@universefit.ru.

— Адрес официального сайта Оператора: https://universefit.ru.

Политика разработана в соответствии:

— с Конституцией РФ;

— Гражданским кодексом РФ;

— Трудовым кодексом РФ;

— Налоговым кодексом РФ;

— Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;

— Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

— Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе»;

— Федеральным законом от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;

— Федеральным законом от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники при осуществлении расчётов в Российской Федерации»;

— Законом РФ от 07.02.1992 № 2300-1 «О защите прав потребителей»;

— Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

— Постановлением Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;

— Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;

— Приказом Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных»;

— Приказом Роскомнадзора от 28.10.2022 № 180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных»;

— Приказом Росархива от 20.12.2019 № 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения»;

— иными нормативными правовыми актами Российской Федерации.

Политика применяется ко всем персональным данным, которые Оператор получает и обрабатывает при осуществлении деятельности фитнес-клуба, в том числе при использовании официального сайта, связанных с ним поддоменов и иных сайтов Оператора, на которых размещена ссылка на Политику, при заполнении электронных форм, личном посещении Клуба, заключении и исполнении договоров, осуществлении расчётов, записи на занятия, организации пропускного режима, видеонаблюдении, рассмотрении обращений, взаимодействии с работниками, соискателями, тренерами, подрядчиками, контрагентами и представителями корпоративных клиентов.

Обработка персональных данных осуществляется с использованием средств автоматизации, без использования средств автоматизации либо смешанным способом.

Политика является общедоступным документом. Действующая редакция Политики размещается на официальном сайте Оператора в разделе «Персональные данные» либо в ином разделе, доступном с каждой страницы сайта, на которой осуществляется сбор персональных данных.

Политика не является согласием субъекта персональных данных на обработку персональных данных, согласием на получение рекламы или согласием на распространение персональных данных.

Использование сайта, просмотр его страниц, направление запроса к серверу, регистрация, заполнение электронной формы либо продолжение использования сайта сами по себе не признаются согласием на обработку персональных данных в случаях, когда законодательство требует получения согласия.

1.9. Согласие на обработку персональных данных оформляется отдельно от договоров, правил Клуба, анкет, заявлений, публичной оферты и иных сведений или документов, подтверждаемых либо подписываемых субъектом персональных данных.

Согласие на обработку персональных данных в целях направления рекламы и предварительное согласие на получение рекламы оформляются отдельно друг от друга и от иных документов.

Отказ от предоставления согласия на получение рекламы не влияет на возможность направления заявки, заключения договора, приобретения клубной карты и получения услуг Клуба.

Политика является основой для разработки внутренних документов Оператора, определяющих порядок обработки и защиты персональных данных. Требования Политики и внутренних документов обязательны для работников Оператора и иных лиц, допущенных к обработке персональных данных.

Если сайт содержит ссылки на сайты, страницы, программы или информационные ресурсы иных лиц, обработка персональных данных после перехода на соответствующий ресурс регулируется документами владельца такого ресурса. Оператор не определяет цели и способы обработки данных самостоятельным владельцем внешнего ресурса, если иное прямо не предусмотрено договором между Оператором и таким владельцем.

Вопросы по Политике и обработке персональных данных направляются ответственному за организацию обработки персональных данных по адресу info@universefit.ru с указанием темы сообщения «Персональные данные» либо по почтовому адресу Оператора.

Основные понятия

Персональные данные означают любую информацию, относящуюся к прямо или косвенно определенному либо определяемому физическому лицу.

Субъект персональных данных означает физическое лицо, к которому относятся персональные данные.

Обработка персональных данных означает любое действие либо совокупность действий, совершаемых с персональными данными с использованием средств автоматизации или без использования таких средств.

Автоматизированная обработка персональных данных означает обработку персональных данных с помощью средств вычислительной техники.

Информационная система персональных данных означает совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Предоставление персональных данных означает действия, направленные на раскрытие персональных данных определенному лицу либо определенному кругу лиц.

Распространение персональных данных означает действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Блокирование персональных данных означает временное прекращение обработки персональных данных, кроме случаев, когда обработка необходима для уточнения персональных данных.

Уничтожение персональных данных означает действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе либо уничтожаются материальные носители персональных данных.

Обезличивание персональных данных означает действия, в результате которых без использования дополнительной информации становится невозможным определить принадлежность персональных данных конкретному субъекту.

Специальные категории персональных данных означают сведения, касающиеся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни и судимости.

Биометрические персональные данные означают сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить личность человека и которые используются Оператором для установления личности.

Трансграничная передача персональных данных означает передачу персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу либо иностранному юридическому лицу.

Пользователь сайта означает физическое лицо, которое получает доступ к сайту Оператора, просматривает его страницы, использует размещенные на сайте функции либо направляет Оператору сведения через электронные формы.

Клиент означает физическое лицо, заключившее договор с Оператором либо являющееся получателем услуг по договору, заключенному законным представителем, работодателем или иным лицом в пользу Клиента.

Корпоративный клиент означает юридическое лицо, индивидуального предпринимателя либо лицо, занимающееся частной практикой, которое заключило или намерено заключить с Оператором договор в пользу работников, представителей или иных физических лиц.

Представитель корпоративного клиента означает физическое лицо, действующее от имени корпоративного клиента в силу закона, учредительного документа, доверенности, трудового или гражданско-правового договора.

Файлы служебных идентификаторов означают сведения, сохраняемые на устройстве пользователя либо получаемые при обращении к сайту, включая сетевой адрес устройства, сведения о программе просмотра сайта, операционной системе, устройстве, дате и времени посещения, адресах запрашиваемых страниц и действиях пользователя.

Принципы обработки персональных данных

Обработка персональных данных осуществляется на законной и справедливой основе.

Обработка ограничивается достижением конкретных, заранее определенных и законных целей.

Не допускается обработка персональных данных, несовместимая с целями их сбора.

Не допускается объединение баз данных, обработка которых осуществляется в целях, несовместимых между собой.

Обработке подлежат только персональные данные, которые отвечают целям обработки.

Содержание и объём обрабатываемых персональных данных должны соответствовать заявленным целям. Обработка избыточных персональных данных не допускается.

Оператор принимает меры для обеспечения точности, достаточности и актуальности персональных данных.

Хранение персональных данных осуществляется не дольше, чем этого требуют цели обработки, если иной срок не установлен федеральным законом, договором либо обязательными правилами хранения документов.

После достижения цели обработки, прекращения законного основания либо утраты необходимости в достижении цели персональные данные уничтожаются или обезличиваются, если дальнейшая обработка не допускается законом.

Персональные данные не продаются и не передаются другим лицам для самостоятельного продвижения товаров, работ или услуг без отдельного согласия субъекта.

Доступ к персональным данным предоставляется только работникам и привлеченным лицам, которым соответствующий доступ необходим для исполнения установленных обязанностей.

Оператор проводит оценку соразмерности обработки, основанной на законных интересах Оператора или иных лиц, и не осуществляет такую обработку, если интересы, права и свободы субъекта имеют преимущественное значение.

Категории субъектов и источники получения персональных данных

Оператор может обрабатывать персональные данные следующих категорий субъектов:

— Посетители и пользователи сайта.

— Лица, направившие заявку, запрос или обращение.

— Потенциальные клиенты.

— Клиенты и бывшие клиенты Клуба.

— Несовершеннолетние получатели услуг.

— Родители, усыновители, опекуны, попечители и иные законные представители несовершеннолетних.

— Посетители, сопровождающие лица и участники мероприятий.

— Представители и работники корпоративных клиентов.

— Тренеры, инструкторы и иные физические лица, оказывающие услуги по гражданско-правовым договорам.

— Физические лица, являющиеся контрагентами Оператора.

— Представители и работники контрагентов.

— Соискатели.

— Работники и бывшие работники Оператора.

— Члены семьи работников в случаях, предусмотренных законодательством.

— Лица, находящиеся в зонах видеонаблюдения.

— Авторы обращений, претензий, жалоб и заявлений.

— Лица, участвующие в судебных, административных, исполнительных и иных производствах с участием Оператора.

Основным источником персональных данных является субъект персональных данных либо законный представитель субъекта.

Персональные данные также могут быть получены от корпоративного клиента, работодателя, контрагента, представителя, суда, государственного органа, страховой организации, кредитной организации, оператора фискальных данных и из иного законного источника.

Лицо, передающее Оператору персональные данные другого лица, обязано иметь предусмотренное законом основание для такой передачи.

Оператор не основывает правомерность обработки персональных данных третьего лица исключительно на неподтвержденном заявлении пользователя о наличии согласия или полномочий.

При получении персональных данных не от субъекта Оператор до начала обработки предоставляет субъекту сведения, предусмотренные частью 3 статьи 18 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», кроме случаев, когда соответствующая обязанность не применяется в силу закона.

Оператор вправе проверить достоверность и актуальность предоставленных сведений в объёме, необходимом для достижения цели обработки. Оператор не вправе собирать дополнительные документы и сведения, не требующиеся для соответствующей цели.

Цели, состав, основания и сроки обработки персональных данных

№

Цель обработки

Категории субъектов и состав данных

Правовое основание

Срок обработки и хранения

1

Обеспечение работы и безопасности сайта, выявление ошибок и предотвращение неправомерного доступа

Пользователи сайта. Сетевой адрес устройства, дата и время обращения, адрес запрашиваемой страницы, сведения о программе просмотра сайта, операционной системе, устройстве, источнике перехода, технические журналы и сведения о сбоях

Законные интересы Оператора по обеспечению работоспособности и безопасности сайта при условии соблюдения прав субъектов

В течение сеанса и не более 12 месяцев после посещения. Сведения об инциденте могут храниться до завершения проверки и защиты права

2

Обработка заявки, предоставление сведений об услугах и установление обратной связи

Лица, направившие заявку, и потенциальные клиенты. Имя, номер телефона, адрес электронной почты, содержание обращения, интересующая услуга, удобное время связи

Действия по инициативе субъекта, направленные на заключение договора. Согласие в случаях, когда оно требуется

До завершения обработки обращения и не более 90 календарных дней после последнего взаимодействия, если договор не заключен и отсутствует иное основание

3

Предоставление клиентской и технической поддержки

Пользователи сайта и клиенты. Имя, контактные данные, номер договора или клубной карты, содержание обращения, технические сведения об ошибке

Исполнение договора. Действия по инициативе субъекта. Законные интересы по обеспечению качества обслуживания

До разрешения обращения и не более 3 лет после направления окончательного ответа, если обращение имеет значение для защиты права

4

Заключение и исполнение договора оказания физкультурно-оздоровительных и спортивных услуг

Клиенты и законные представители. Фамилия, имя, отчество, дата рождения, номер телефона, адрес электронной почты, сведения о договоре, клубной карте, услугах, оплате, посещениях, записях, заморозке и переоформлении карты, подпись

Заключение и исполнение договора. Выполнение обязанностей, установленных законом

В течение действия договора и 3 лет после его прекращения. Документы бухгалтерского и налогового учёта хранятся в течение сроков, установленных законом

5

Заключение и исполнение договоров с корпоративными клиентами

Представители и работники корпоративных клиентов. Фамилия, имя, отчество, должность, служебные контактные данные, сведения о полномочиях, договоре и получаемых услугах

Заключение и исполнение договора. Законные интересы сторон. Выполнение обязанностей, установленных законом

В течение действия договора и после его прекращения в течение сроков хранения договорных, бухгалтерских и налоговых документов

6

Организация пропускного режима и учёт посещений

Клиенты, посетители, работники и подрядчики. Фамилия, имя, номер клубной карты или пропуска, дата и время входа и выхода, сведения о праве доступа

Исполнение договора. Законные интересы Оператора по обеспечению безопасности и контролю доступа

В течение действия карты или пропуска. Журналы посещений хранятся не более 12 месяцев после последнего посещения, если отсутствует инцидент или спор

7

Проверка возраста, личности и полномочий законного представителя

Клиенты, несовершеннолетние и законные представители. Дата рождения, реквизиты документа, удостоверяющего личность, свидетельства о рождении и документа о полномочиях представителя

Закон, заключение и исполнение договора, согласие в случаях, установленных законом

До завершения проверки. Копии документов не сохраняются, если хранение не требуется законом или договором

8

Проведение расчётов, возвратов, бухгалтерского и налогового учёта, направление кассовых чеков и оформление установленных законом справок

Клиенты, плательщики и законные представители. Фамилия, имя, отчество, номер телефона, адрес электронной почты, сведения о договоре, платеже, сумме, дате и назначении платежа

Исполнение договора. Выполнение обязанностей, установленных законодательством о бухгалтерском и налоговом учёте и применении контрольно-кассовой техники

В течение сроков, установленных законодательством и правилами архивного хранения

9

Обеспечение безопасности тренировочного процесса

Клиенты и законные представители. Сведения о противопоказаниях, ограничениях физической нагрузки, травмах, аллергических реакциях и иные необходимые сведения о состоянии здоровья

Отдельное письменное согласие. Защита жизни и здоровья при невозможности получить согласие

В течение оказания соответствующих услуг. После прекращения услуг данные уничтожаются не позднее 30 дней, если дальнейшее хранение не требуется для защиты права

10

Проведение фитнес-тестирования и подготовка индивидуальной программы тренировок

Клиенты. Рост, масса тела, результаты измерения состава тела, физических испытаний, сведения о целях тренировок и переносимости нагрузки

Исполнение договора в отношении обычных данных. Отдельное письменное согласие в отношении сведений о состоянии здоровья

В течение оказания соответствующей услуги и не более 30 дней после ее прекращения, если иной срок не установлен законом или отдельным согласием

11

Оказание услуг несовершеннолетним

Несовершеннолетние и законные представители. Фамилия, имя, дата рождения, контактные данные представителя, сведения о полномочиях, договоре, оплате, посещениях и выбранных услугах

Договор с надлежащим лицом. Согласие законного представителя в установленных законом случаях

В течение договора и 3 лет после его прекращения. Документы обязательного хранения хранятся в течение установленных законом сроков

12

Обеспечение безопасности посредством видеонаблюдения

Клиенты, посетители, работники и иные лица, находящиеся в зоне видеонаблюдения. Изображение, дата, время и место нахождения

Законные интересы Оператора по обеспечению безопасности людей и имущества, предупреждению и расследованию нарушений при условии соблюдения прав субъектов

Не более 30 календарных дней. Запись происшествия хранится до окончательного разрешения происшествия и истечения применимого срока защиты права

13

Рассмотрение обращений, претензий и жалоб

Заявители, клиенты и представители. Фамилия, имя, отчество, контактные данные, сведения о договоре, обстоятельства обращения, документы и переписка

Закон, договор, законные интересы Оператора и заявителя по защите прав

В течение рассмотрения обращения и 3 лет после направления окончательного ответа, если иной срок не установлен законом

14

Защита прав и законных интересов, участие в судебных, административных и исполнительных производствах

Клиенты, работники, контрагенты, представители и участники производства. Сведения, содержащиеся в договорах, переписке, доказательствах и процессуальных документах

Установление и осуществление прав. Осуществление правосудия. Выполнение обязанностей, установленных законом

До окончательного завершения производства и в течение сроков хранения документов и защиты права

15

Направление рекламы и специальных предложений

Клиенты и потенциальные клиенты, предоставившие отдельные согласия. Имя, номер телефона, адрес электронной почты, выбранные способы связи, сведения о предоставлении и отзыве согласий

Отдельное согласие на обработку персональных данных в рекламных целях и отдельное предварительное согласие на получение рекламы

В течение срока действия согласия либо до его отзыва. Ограниченный архив доказательств хранится 3 года после последнего сообщения или отзыва

16

Проведение опросов качества обслуживания

Клиенты. Имя либо внутренний номер клиента, контактные данные, сведения об оказанной услуге и ответы на вопросы

Согласие либо законные интересы Оператора по контролю качества при условии соблюдения прав субъекта

Не более 90 дней после завершения опроса. Итоговые сведения могут храниться в обезличенном виде

17

Проведение статистических исследований и формирование отчетности

Клиенты и пользователи сайта. Обезличенные сведения о посещениях, услугах, обращениях и использовании сайта

Законные интересы Оператора. Обработка обезличенных данных с соблюдением установленных требований

В обезличенном виде в течение срока, необходимого для статистической цели

18

Публикация отзывов, фотографий, видеозаписей и сведений о достижениях

Клиенты, тренеры, работники и участники мероприятий. Имя, изображение, голос, должность, спортивный результат, текст отзыва

Отдельное согласие на обработку персональных данных, разрешенных для распространения. Согласие на использование изображения в случаях, предусмотренных законом

До истечения срока согласия либо получения требования о прекращении распространения

19

Подбор персонала

Соискатели. Фамилия, имя, отчество, контактные данные, сведения об образовании, квалификации, опыте работы, резюме и иные сведения, предоставленные соискателем

Действия по инициативе соискателя, направленные на заключение трудового договора. Отдельное согласие для кадрового резерва

До принятия решения и не более 30 дней после отказа. Для кадрового резерва не более одного года при наличии согласия

20

Ведение кадрового, воинского, бухгалтерского и налогового учёта

Работники, бывшие работники и члены семьи работников. Сведения в объёме, предусмотренном трудовым, налоговым, пенсионным, воинским и архивным законодательством

Трудовой договор. Выполнение обязанностей, установленных законом

В течение сроков, установленных трудовым, налоговым, воинским, пенсионным и архивным законодательством

21

Заключение и исполнение договоров с физическими лицами, подрядчиками и представителями контрагентов

Физические лица и представители контрагентов. Фамилия, имя, отчество, должность, контактные данные, сведения о полномочиях, подпись, договорные и платежные реквизиты

Заключение и исполнение договора. Законные интересы сторон. Выполнение обязанностей, установленных законом

В течение договора и в течение установленных законом сроков хранения договорных, бухгалтерских и налоговых документов

22

Выполнение законных запросов государственных органов

Все категории субъектов в пределах запроса. Данные, прямо необходимые для исполнения запроса

Выполнение установленной законом обязанности

В течение сроков, установленных законом и правилами делопроизводства

Оператор не использует персональные данные, полученные для заключения или исполнения договора, в целях направления рекламы без получения отдельных согласий.

Оператор не использует сведения о состоянии здоровья для оценки платежеспособности, определения рекламных предпочтений или иных целей, не связанных с безопасным оказанием услуг.

При возникновении новой цели обработки Оператор до начала обработки определяет состав данных, правовое основание, срок обработки и необходимые меры безопасности. Новое согласие получается в случаях, установленных законом.

Обработка персональных данных на сайте

При посещении сайта могут автоматически обрабатываться технические сведения, необходимые для установления соединения, отображения страниц, защиты сайта, предотвращения неправомерного доступа, учёта ошибок и обеспечения работы электронных форм.

Обязательные технические файлы служебных идентификаторов используются только в объёме, необходимом для работы сайта, сохранения настроек безопасности и передачи заполненной электронной формы.

Аналитические, рекламные и иные необязательные файлы служебных идентификаторов используются после совершения пользователем активного действия, подтверждающего выбор соответствующей категории.

Поля выбора необязательных файлов не должны быть отмечены заранее.

Отказ от аналитических и рекламных файлов не препятствует просмотру основных страниц сайта, ознакомлению с услугами и направлению заявки.

До получения необходимого согласия не допускается загрузка необязательных средств аналитики и рекламы, передающих сведения третьим лицам.

В настройках файлов служебных идентификаторов указываются наименование, поставщик, назначение, категория, состав обрабатываемых сведений, срок действия и способ изменения выбора пользователя.

Пользователь вправе изменить ранее сделанный выбор через размещенный на сайте механизм управления файлами служебных идентификаторов.

Внешние карты, видеозаписи, средства социальных сетей и иные элементы сторонних ресурсов по возможности загружаются после действия пользователя либо после получения необходимого согласия.

Оператор не несет ответственности за обработку данных самостоятельным владельцем стороннего сайта после перехода пользователя по внешней ссылке. Настоящий пункт не освобождает Оператора от ответственности за выбор лица, которому Оператор поручил обработку персональных данных.

Специальные категории персональных данных и сведения о состоянии здоровья

Оператор не обрабатывает сведения о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни и судимости, кроме случаев, прямо предусмотренных федеральным законом.

Сведения о состоянии здоровья обрабатываются только при объективной необходимости для обеспечения безопасности, проведения фитнес-тестирования, подготовки программы тренировок, оказания выбранной услуги, защиты жизни и здоровья либо защиты права.

Плановая обработка сведений о состоянии здоровья осуществляется на основании отдельного письменного согласия субъекта или законного представителя, если иное основание прямо не предусмотрено законом.

Согласие на обработку сведений о состоянии здоровья не включается в договор, публичную оферту, правила Клуба, общую анкету, согласие на рекламу или согласие на обработку обычных персональных данных.

Доступ к сведениям о состоянии здоровья предоставляется только работникам и привлеченным специалистам, которым соответствующие сведения необходимы для исполнения обязанностей.

Сведения о состоянии здоровья не публикуются и не используются в рекламных материалах.

В экстренной ситуации сведения о состоянии здоровья могут быть обработаны без согласия, если обработка необходима для защиты жизни или здоровья, а получение согласия невозможно.

Клуб не осуществляет медицинскую диагностику и не оказывает медицинские услуги при отсутствии соответствующей лицензии.

Биометрические персональные данные

Оператор не применяет распознавание лица, распознавание голоса, сканирование отпечатков пальцев, радужной оболочки глаза и иные средства автоматизированной биометрической идентификации.

Изображения с камер видеонаблюдения не используются для автоматизированного установления личности.

Если фотография, изображение, голос или иные физиологические сведения будут использоваться Оператором для установления личности субъекта, соответствующие сведения обрабатываются как биометрические персональные данные на основании отдельного письменного согласия, если иное не предусмотрено федеральным законом.

Введение биометрической идентификации допускается только после правовой и технической оценки, внесения изменений в Политику, направления необходимых уведомлений и получения предусмотренных законом согласий.

При использовании биометрической идентификации субъекту предоставляется доступный способ получения услуг без предоставления биометрических персональных данных, если иное не предусмотрено федеральным законом.

Обработка персональных данных несовершеннолетних

Оператор разграничивает порядок обработки персональных данных несовершеннолетних, не достигших четырнадцати лет, несовершеннолетних в возрасте от четырнадцати до восемнадцати лет и несовершеннолетних, приобретших гражданскую дееспособность в полном объёме до достижения восемнадцатилетнего возраста.

При оказании услуг лицу, не достигшему четырнадцати лет, договор заключается родителем, усыновителем или опекуном. Законный представитель является Заказчиком, а малолетний является Получателем услуг.

Малолетний, не достигший четырнадцати лет, не вправе самостоятельно заполнять электронные формы, заключать договор, предоставлять согласие на обработку персональных данных, согласие на получение рекламы, согласие на обработку сведений о состоянии здоровья или согласие на распространение персональных данных.

Электронные формы в отношении малолетнего заполняются законным представителем. В форме указываются персональные данные законного представителя, сведения о его статусе и минимальный объём персональных данных малолетнего, необходимый для заключения и исполнения договора.

В отношении несовершеннолетнего в возрасте от четырнадцати до восемнадцати лет Оператор применяет один из следующих порядков:

— Договор заключается законным представителем в качестве Заказчика в пользу несовершеннолетнего как Получателя услуг;

— Договор заключается несовершеннолетним с письменного согласия родителя, усыновителя или попечителя.

В целях исключения споров Оператор применяет модель, указанную в пункте 9.5.1 Политики, если иное не обусловлено характером услуги или конкретными обстоятельствами.

Если обработка персональных данных несовершеннолетнего в возрасте от четырнадцати до восемнадцати лет осуществляется исключительно на основании согласия, Оператор получает согласие несовершеннолетнего и подтверждение его законного представителя.

Пункт 9.7 Политики не применяется к несовершеннолетнему, который приобрёл дееспособность в полном объёме в связи со вступлением в брак или эмансипацией и предоставил Оператору документ, подтверждающий полную дееспособность.

Обычные персональные данные несовершеннолетнего, необходимые для заключения и исполнения договора, обрабатываются на основании договора, по которому несовершеннолетний является стороной или получателем услуг, без получения избыточного общего согласия.

Оператор отдельно обрабатывает персональные данные законного представителя в целях заключения и исполнения договора, проверки полномочий, осуществления расчётов, направления договорных уведомлений, обеспечения безопасности несовершеннолетнего и рассмотрения обращений.

При получении согласия от законного представителя Оператор проверяет полномочия представителя:

— Полномочия родителя могут подтверждаться свидетельством о рождении ребёнка или сведениями из иного документа, подтверждающего родство;

— Полномочия усыновителя подтверждаются документом, предусмотренным законодательством Российской Федерации;

— Полномочия опекуна или попечителя подтверждаются актом органа опеки и попечительства или удостоверением опекуна либо попечителя.

Оператор фиксирует фамилию, имя, отчество законного представителя, его статус, реквизиты документа, подтверждающего полномочия, дату проверки и работника, осуществившего проверку.

Копии документов, подтверждающих полномочия законного представителя, не сохраняются, если для достижения цели достаточно визуальной проверки и внесения ограниченного набора реквизитов.

При дистанционном предоставлении согласия полномочия законного представителя проверяются до начала обработки, основанной исключительно на таком согласии. Подтверждение номера телефона одноразовым кодом само по себе не подтверждает полномочия законного представителя.

Электронные формы сайта должны содержать обязательный выбор одного из следующих статусов:

— Пользователь достиг восемнадцатилетнего возраста;

— Пользователь является законным представителем несовершеннолетнего;

— Пользователь является несовершеннолетним, приобретшим полную дееспособность, и готов предоставить подтверждающий документ.

Если пользователь сообщает, что не достиг восемнадцатилетнего возраста и не приобрёл полную дееспособность, сайт не должен предоставлять возможность самостоятельно оформить рекламное согласие, согласие на обработку сведений о здоровье или согласие на распространение персональных данных.

Рекламные сообщения о детских и подростковых услугах направляются только на номер телефона, адрес электронной почты или учётную запись совершеннолетнего законного представителя.

Оператор не направляет рекламные сообщения непосредственно на контактные данные несовершеннолетнего, не достигшего восемнадцатилетнего возраста, кроме несовершеннолетнего, приобретшего полную дееспособность и самостоятельно предоставившего необходимые согласия.

Персональные данные ребёнка не включаются в рекламную базу, если для направления рекламы законному представителю достаточно контактных данных законного представителя и указания общей категории интересующей услуги.

Сведения о состоянии здоровья несовершеннолетнего обрабатываются только при объективной необходимости для обеспечения безопасности и оказания соответствующей услуги.

Обработка сведений о состоянии здоровья лица, не достигшего четырнадцати лет, осуществляется на основании отдельного письменного согласия законного представителя.

Обработка сведений о состоянии здоровья несовершеннолетнего от четырнадцати до восемнадцати лет осуществляется на основании отдельного письменного согласия несовершеннолетнего и его законного представителя, кроме случаев приобретения несовершеннолетним полной дееспособности или наличия иного предусмотренного законом основания.

Если Оператор или привлеченное лицо оказывает лицензируемые медицинские услуги, порядок получения информированного добровольного согласия определяется законодательством об охране здоровья граждан и не заменяется согласием на обработку персональных данных.

Публикация имени, фотографии, видеозаписи, голоса, отзыва, результата соревнования или иной информации о несовершеннолетнем осуществляется только на основании отдельного согласия на обработку персональных данных, разрешенных для распространения, и согласия на использование изображения в случаях, предусмотренных законодательством.

В отношении лица, не достигшего четырнадцати лет, согласия, указанные в пункте 9.24 Политики, предоставляет законный представитель.

В отношении лица в возрасте от четырнадцати до восемнадцати лет Оператор получает согласие несовершеннолетнего и согласие законного представителя, кроме случаев приобретения несовершеннолетним полной дееспособности.

При достижении несовершеннолетним четырнадцатилетнего возраста Оператор при ближайшем взаимодействии получает подтверждение несовершеннолетнего на продолжение обработки, основанной исключительно на согласии, если Оператор применяет порядок, установленный пунктом 9.7 Политики.

При достижении восемнадцатилетнего возраста либо приобретении полной дееспособности Оператор прекращает полагаться на полномочия законного представителя при получении новых согласий и обращений.

Если после достижения восемнадцатилетнего возраста обработка продолжает осуществляться исключительно на основании ранее предоставленного законным представителем согласия, Оператор получает новое согласие совершеннолетнего субъекта либо прекращает соответствующую обработку.

Согласие законного представителя на получение рекламы по собственному номеру телефона или адресу электронной почты сохраняет действие после достижения ребёнком совершеннолетия, поскольку субъектом контактных данных и адресатом рекламы является законный представитель.

Обращения, касающиеся персональных данных лица, не достигшего четырнадцати лет, направляются законным представителем.

Несовершеннолетний в возрасте от четырнадцати до восемнадцати лет вправе обратиться к Оператору самостоятельно. Законный представитель также вправе обратиться в защиту прав несовершеннолетнего при отсутствии конфликта интересов.

При наличии сведений о противоречии интересов несовершеннолетнего и законного представителя Оператор приостанавливает спорную обработку в допустимом объёме и принимает меры для установления надлежащего представителя.

Оператор не предоставляет одному родителю сведения о персональных данных другого родителя, если такие сведения не относятся к защите прав ребёнка и отсутствует самостоятельное правовое основание для предоставления.

При обработке персональных данных несовершеннолетних Оператор исходит из приоритета прав, безопасности и законных интересов ребёнка.

Пропускной режим и видеонаблюдение

Учет посещений осуществляется для исполнения договора, подтверждения объёма оказанных услуг, обеспечения безопасности и контроля доступа.

Для доступа используются клубная карта, пропуск, внутренний номер клиента либо иной небиометрический идентификатор.

Видеонаблюдение осуществляется в целях обеспечения безопасности посетителей и работников, сохранности имущества, предупреждения и расследования нарушений, контроля доступа и разрешения спорных ситуаций.

До входа в зону видеонаблюдения размещается заметное уведомление о ведении видеонаблюдения с указанием Оператора и способа ознакомления с Политикой.

Камеры не устанавливаются в раздевалках, душевых, туалетных комнатах, саунах, помещениях для переодевания и иных местах, в которых видеонаблюдение создает несоразмерное вмешательство в частную жизнь.

Скрытое видеонаблюдение не осуществляется, кроме случаев, прямо предусмотренных федеральным законом.

Запись звука совместно с видеозаписью не осуществляется без самостоятельного законного основания и предварительного информирования субъектов.

Доступ к видеозаписям предоставляется только уполномоченным работникам.

Видеозаписи предоставляются суду, правоохранительному органу, страховщику или иному лицу только при наличии законного основания.

Видеозаписи не используются для рекламы, публикации или обучения без отдельного законного основания.

Рекламные и информационные сообщения

Оператор разграничивает сообщения, необходимые для заключения и исполнения договора, и сообщения рекламного характера.

К договорным сообщениям относятся уведомления о записи, переносе или отмене занятия, оплате, сроке действия клубной карты, изменении режима работы, обеспечении безопасности и рассмотрении обращения.

К рекламным сообщениям относятся предложения о приобретении клубных карт, дополнительных услуг, участии в акциях, скидках и иных мероприятиях, направленные на продвижение услуг.

Реклама направляется только при одновременном наличии отдельного согласия на обработку персональных данных в рекламных целях и предварительного согласия на получение рекламы.

Согласие должно позволять установить адресата, Оператора, содержание волеизъявления, дату предоставления, редакцию текста и выбранные способы связи.

Реклама может направляться по сетям электросвязи на указанные субъектом контакты, в том числе посредством СМС-сообщений, сообщений по электронной почте, телефонных звонков и сообщений в сервисах обмена сообщениями.

Поля согласия не должны быть отмечены заранее. Предоставление рекламного согласия не может являться обязательным условием заключения договора или получения услуг.

Отказ от рекламы может быть заявлен посредством ссылки или команды в сообщении, функции личного кабинета, ответа на сообщение, обращения по телефону, направления сообщения на адрес info@universefit.ru либо письменного обращения.

После получения отказа направление рекламы прекращается немедленно по соответствующему способу связи.

Факт предоставления, изменения, истечения и отзыва согласия фиксируется в электронном реестре согласий и отказов.

Реестр должен содержать идентификатор события, контактные данные адресата, дату и время, адрес страницы и наименование электронной формы, редакцию текста согласия, выбранные способы связи, способ подтверждения контакта, сведения об отзыве и дату блокирования рассылки.

Архив согласий и отказов хранится непосредственно у Оператора независимо от хранения сведений организацией, технически обеспечивающей рассылку.

Согласие на получение рекламы оформляется только совершеннолетним абонентом или адресатом либо несовершеннолетним, приобретшим полную дееспособность.

Реклама детских и подростковых услуг направляется на контактные данные законного представителя. Для этого обрабатываются персональные данные законного представителя, а не контактные данные ребёнка.

Содержание рекламы, адресованной законным представителям в связи с оказанием услуг детям, не должно дискредитировать родителей и воспитателей, побуждать ребёнка убеждать родителей приобрести услугу, создавать у ребёнка чувство неполноценности либо формировать искаженное представление о доступности услуги.

В реестре согласий дополнительно фиксируются дата рождения адресата или подтверждение его совершеннолетия, статус законного представителя и сведения о проверке его полномочий, если реклама связана с услугами для несовершеннолетнего.

Распространение персональных данных и использование изображения

Размещение имени, изображения, голоса, отзыва, должности, спортивного результата или иных сведений о физическом лице на сайте, в социальных сетях, рекламных материалах и иных общедоступных источниках осуществляется при наличии предусмотренного законом основания.

Согласие на обработку персональных данных, разрешенных для распространения, оформляется отдельно от иных согласий.

В согласии определяются перечень распространяемых данных, цели, информационные ресурсы, способы распространения, срок действия, установленные субъектом запреты и условия обработки.

Посещение Клуба, участие в тренировке или мероприятии, нахождение в зоне съемки, молчание либо отсутствие возражений не признаются согласием на рекламную публикацию изображения конкретного лица.

При целенаправленном использовании изображения конкретного лица в рекламных материалах Оператор получает отдельное согласие на использование изображения и отдельное согласие на распространение персональных данных в случаях, предусмотренных законом.

После получения законного требования о прекращении распространения Оператор принимает меры по прекращению распространения и уведомляет лиц, действующих по поручению Оператора.

Согласие законного представителя на публикацию изображения несовершеннолетнего не включается в договор оказания услуг, правила посещения Клуба, заявление о приеме ребёнка, согласие на обработку обычных персональных данных или согласие на получение рекламы.

Согласие на использование изображения и согласие на обработку персональных данных, разрешенных для распространения, оформляются самостоятельными документами.

Отказ законного представителя или несовершеннолетнего от публикации изображения не влияет на возможность заключения договора и получения услуг.

При отзыве одного из согласий Оператор прекращает дальнейшее использование и распространение изображения в пределах, установленных законодательством.

Действия с персональными данными

В зависимости от цели Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, обновление, изменение, извлечение, использование, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение персональных данных.

Распространение персональных данных осуществляется только при наличии самостоятельного законного основания.

Оператор не совершает действий, не требующихся для достижения соответствующей цели.

При неавтоматизированной обработке персональные данные обособляются от иной информации. Лица, осуществляющие такую обработку, информируются о целях, составе данных и правилах обработки.

Обезличивание персональных данных проводится способами, исключающими возможность определения принадлежности данных субъекту без использования дополнительной информации, с соблюдением действующих требований к обезличиванию.

Дополнительная информация, позволяющая соотнести обезличенные сведения с субъектом, хранится отдельно и защищается от неправомерного доступа.

Обработка по поручению Оператора и предоставление данных другим лицам

Оператор вправе поручить обработку персональных данных другому лицу на основании договора и при наличии законного основания.

Поручение должно определять перечень персональных данных, перечень действий, цели обработки, требования к конфиденциальности и безопасности, обязанность подтверждать принятие мер защиты, уведомлять об инцидентах, исполнять обращения субъектов по указанию Оператора, прекращать обработку и уничтожать данные.

Лицо, действующее по поручению Оператора, не вправе изменять цели обработки, использовать персональные данные для собственной рекламы или передавать данные другим лицам без предусмотренного договором и законом основания.

Договоры с лицами, получающими доступ к персональным данным, содержат обязательства о конфиденциальности, безопасности, ограничении целей обработки, возврате или уничтожении данных после прекращения договора и ответственности за нарушение требований.

В зависимости от фактически используемых услуг персональные данные могут предоставляться:

— Организации, обеспечивающей размещение и техническое обслуживание сайта;

— Организации, обеспечивающей работу системы учёта клиентов, договоров, клубных карт и посещений;

— Оператору связи и организации, обеспечивающей техническое направление сообщений;

— Банку, платежной организации и оператору фискальных данных;

— Охранной организации в пределах возложенных функций;

— Организации, обеспечивающей бухгалтерское, кадровое или правовое сопровождение.

— Организации, обеспечивающей хранение и уничтожение документов;

— Государственным органам и судам в случаях, предусмотренных законом.

Передача осуществляется только в объёме, необходимом для соответствующей цели.

Оператор ведет актуальный внутренний перечень лиц, обрабатывающих персональные данные по поручению Оператора, с указанием цели, состава данных, действий, места нахождения баз данных и реквизитов договора.

Сведения о конкретных лицах, имеющих доступ к персональным данным или обрабатывающих данные по поручению Оператора, предоставляются субъекту по надлежащему запросу в предусмотренном законом объёме.

Контактные данные клиентов не передаются партнерам для самостоятельного продвижения товаров, работ или услуг без отдельного согласия субъекта.

Локализация и трансграничная передача персональных данных

При сборе персональных данных граждан Российской Федерации, в том числе через сеть «Интернет», запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

Сведения о местах нахождения баз данных, организациях, обеспечивающих их размещение, и используемых информационных системах поддерживаются Оператором в актуальном состоянии во внутренних документах и уведомлении Роскомнадзора.

Оператор не осуществляет трансграничную передачу персональных данных.

До начала использования иностранного информационного ресурса, иностранного средства аналитики, хранения, рассылки или иного взаимодействия, способного повлечь трансграничную передачу, Оператор проводит правовую оценку, определяет получателя и государство, направляет предусмотренное законом уведомление, получает необходимое согласие и вносит изменения в Политику.

Общая оговорка о возможной передаче данных за пределы Российской Федерации не является самостоятельным основанием для трансграничной передачи.

Автоматизированные решения

Оператор не принимает на основании исключительно автоматизированной обработки решения, порождающие юридические последствия в отношении субъекта либо иным образом существенно затрагивающие права и законные интересы субъекта.

Автоматизированные напоминания, проверка срока действия клубной карты, формирование расписания и иные вспомогательные операции не лишают субъекта права обратиться к работнику Оператора и получить разъяснение.

Права субъекта персональных данных

Субъект вправе получить подтверждение факта обработки персональных данных и сведения о правовых основаниях, целях, способах, сроках обработки, составе данных, источнике получения, лицах, имеющих доступ, и лицах, которым данные могут быть раскрыты.

Субъект вправе требовать уточнения, блокирования или уничтожения персональных данных, если данные являются неполными, устаревшими, неточными, незаконно полученными либо не требуются для заявленной цели.

Субъект вправе отозвать согласие на обработку персональных данных.

Отзыв согласия не затрагивает законность обработки, осуществленной до получения отзыва.

После отзыва Оператор прекращает обработку, основанную исключительно на согласии, если отсутствует иное предусмотренное законом основание.

Субъект вправе потребовать прекращения обработки персональных данных, кроме случаев, когда Оператор вправе или обязан продолжить обработку в силу закона.

Субъект вправе в любое время отказаться от получения рекламы.

Субъект вправе установить запреты и условия обработки персональных данных, разрешенных для распространения, и потребовать прекращения их распространения в установленных законом случаях.

Субъект вправе обжаловать действия или бездействие Оператора в Роскомнадзор либо в суд.

Субъект вправе требовать возмещения убытков и компенсации морального вреда при наличии установленных законом оснований.

Права малолетнего осуществляются законным представителем.

Несовершеннолетний от четырнадцати до восемнадцати лет вправе осуществлять права субъекта персональных данных самостоятельно с учётом объёма гражданской дееспособности. Законный представитель вправе действовать в интересах несовершеннолетнего при отсутствии противоречия интересов.

Несовершеннолетний, приобретший полную дееспособность, осуществляет права субъекта персональных данных самостоятельно.

Порядок направления и рассмотрения обращений

Обращение направляется по почтовому адресу Оператора, адресу электронной почты info@universefit.ru, передается лично либо направляется через предусмотренную на сайте форму.

Запрос о предоставлении сведений должен содержать информацию, позволяющую идентифицировать заявителя и подтвердить наличие отношений с Оператором либо факт обработки персональных данных.

Оператор вправе запросить дополнительные сведения только в объёме, необходимом для идентификации заявителя и предотвращения раскрытия данных постороннему лицу.

Копия паспорта не запрашивается, если идентификация может быть осуществлена менее обременительным и достаточным способом.

Сведения предоставляются в течение 10 рабочих дней со дня получения запроса. Указанный срок может быть продлен не более чем на 5 рабочих дней при направлении мотивированного уведомления.

Повторный запрос может быть направлен не ранее чем через 30 дней после первоначального обращения, если более короткий срок не обусловлен необходимостью защиты прав и законных интересов.

Отказ в предоставлении сведений должен быть мотивированным и содержать ссылку на предусмотренное законом основание.

При подтверждении неточности персональные данные уточняются в течение 7 рабочих дней со дня предоставления необходимых сведений.

Требование об отказе от рекламы исполняется немедленно и не требует соблюдения формальных требований, предъявляемых к запросу о доступе к персональным данным.

Отзыв согласия может быть направлен в форме, позволяющей достоверно установить лицо и конкретное согласие. Оператор не вправе создавать необоснованные препятствия для отзыва согласия.

При обращении законного представителя Оператор проверяет личность представителя и наличие полномочий действовать от имени несовершеннолетнего.

Оператор не требует повторного представления документов о полномочиях, если соответствующие сведения ранее проверены, остаются актуальными и позволяют достоверно идентифицировать заявителя.

При достижении субъектом восемнадцатилетнего возраста обращения законного представителя рассматриваются только при наличии доверенности или иного самостоятельного законного основания.

Прекращение обработки, блокирование и уничтожение персональных данных

При достижении цели обработки Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней, если иное не предусмотрено договором или законом.

При отзыве согласия персональные данные уничтожаются в срок, не превышающий 30 дней, если Оператор не вправе продолжить обработку на ином законном основании.

При получении требования о прекращении обработки Оператор прекращает обработку в течение 10 рабочих дней. Срок может быть продлен не более чем на 5 рабочих дней при направлении мотивированного уведомления.

При выявлении неправомерной обработки Оператор прекращает такую обработку в течение 3 рабочих дней.

Если обеспечить правомерность обработки невозможно, персональные данные уничтожаются в течение 10 рабочих дней с даты выявления неправомерной обработки.

На период проверки спорные персональные данные блокируются, если блокирование не нарушает права и законные интересы субъекта или иных лиц.

Если уничтожение в установленный срок невозможно, Оператор блокирует персональные данные и обеспечивает их уничтожение в срок, не превышающий 6 месяцев, если иной срок не установлен законом.

При неавтоматизированной обработке уничтожение подтверждается актом об уничтожении.

При автоматизированной обработке уничтожение подтверждается актом об уничтожении и выгрузкой из журнала регистрации событий в информационной системе.

Документы, подтверждающие уничтожение, хранятся Оператором в течение 3 лет со дня уничтожения.

Уничтожение данных лицом, действующим по поручению Оператора, подтверждается документально.

Персональные данные в резервных копиях блокируются от обычного использования и удаляются в соответствии с утвержденным циклом резервного копирования.

После отказа от рекламы Оператор вправе сохранить минимальный объём сведений о факте предоставления и отзыва согласия для подтверждения исполнения обязанностей и предотвращения повторного включения контакта в рекламную рассылку.

Меры по обеспечению безопасности персональных данных

Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

Оператор применяет следующие меры:

— Назначает лицо, ответственное за организацию обработки персональных данных;

— Принимает внутренние документы по вопросам обработки и защиты персональных данных;

— Определяет цели, состав, правовые основания и сроки обработки;

— Ведет учёт информационных систем, электронных баз, бумажных документов и мест их хранения;

— Определяет угрозы безопасности и необходимый уровень защищенности информационных систем;

— Разграничивает права доступа и применяет принцип минимально необходимых полномочий;

— Обеспечивает идентификацию и проверку полномочий пользователей информационных систем;

— Регистрирует и учитывает действия, совершаемые с персональными данными;

— Использует средства защиты от вредоносных программ и неправомерного доступа;

— Обеспечивает своевременное обновление программного обеспечения;

— Осуществляет резервное копирование и проверяет возможность восстановления информации;

— Защищает каналы передачи персональных данных;

— Обеспечивает физическую охрану помещений, носителей и документов;

— Учитывает съемные носители и ограничивает возможность их использования;

— Проводит обучение и инструктаж работников;

— Получает от работников и привлеченных лиц обязательства о соблюдении конфиденциальности;

— Проводит внутренний контроль и оценку эффективности применяемых мер;

— Проверяет способность привлеченных лиц обеспечить безопасность персональных данных;

— Устанавливает порядок реагирования на обращения, нарушения и инциденты.

— Устанавливает порядок блокирования, удаления и уничтожения персональных данных;

Работник или привлеченное лицо лишается доступа без неоправданной задержки после прекращения обязанностей, требующих такого доступа.

Учетные данные, пароли, ключи доступа и иные средства идентификации не передаются другим лицам.

Конкретные сведения о средствах защиты, настройках, учётных данных и уязвимостях не публикуются.

Инциденты безопасности

Оператор ведет учёт событий, связанных с неправомерным или случайным доступом, передачей, утратой, изменением, блокированием или уничтожением персональных данных.

Работники и лица, действующие по поручению Оператора, обязаны незамедлительно сообщать ответственному лицу о предполагаемом инциденте.

При установлении факта неправомерной или случайной передачи персональных данных, повлекшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор.

В течение 24 часов сообщаются сведения о произошедшем инциденте, предполагаемых причинах, предполагаемом вреде, принятых мерах и лице, уполномоченном на взаимодействие с Роскомнадзором.

В течение 72 часов сообщаются результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, при наличии таких сведений.

Оператор принимает меры по прекращению нарушения, предотвращению дальнейшего доступа, восстановлению данных и снижению возможного вреда.

Лица, действующие по поручению Оператора, обязаны уведомлять Оператора об инциденте в срок, позволяющий Оператору исполнить установленные законом обязанности.

Субъекты персональных данных уведомляются об инциденте, если такое уведомление предусмотрено законом либо необходимо для снижения риска причинения вреда.

Уведомление Роскомнадзора и внутренний контроль

Оператор до начала обработки направляет уведомление об обработке персональных данных в Роскомнадзор, если отсутствует предусмотренное законом исключение.

Оператор обеспечивает соответствие сведений, указанных в уведомлении, фактически осуществляемой обработке.

При изменении целей, категорий субъектов, категорий персональных данных, правовых оснований, способов обработки, информационных систем, мест нахождения баз данных, ответственного лица и иных сообщенных сведений Оператор направляет уведомление об изменениях в установленный законом срок.

До начала трансграничной передачи направляется отдельное уведомление.

При прекращении обработки направляется уведомление о прекращении обработки.

Оператор проводит внутреннюю проверку соблюдения Политики не реже одного раза в год, а также после существенного изменения законодательства, процессов обработки, информационных систем, состава привлеченных лиц либо выявления нарушения.

Результаты внутренней проверки оформляются документально. Выявленные нарушения и несоответствия устраняются в установленный ответственным лицом срок.

Заключительные положения

Политика вступает в силу со дня утверждения и размещения на официальном сайте Оператора.

Предыдущие редакции Политики сохраняются в архиве Оператора с указанием периода действия каждой редакции.

Оператор вправе изменять Политику при изменении законодательства, процессов обработки, информационных систем, состава привлеченных лиц и организационной структуры.

Изменение Политики не может расширять ранее предоставленное согласие, изменять цель обработки или разрешать новый способ использования персональных данных без самостоятельного законного основания.

Новая редакция применяется к обработке с даты ее вступления в силу. Если для продолжения обработки требуется новое согласие, обработка начинается после получения такого согласия.

Политика пересматривается не реже одного раза в год.

Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.

Ответственность за нарушение порядка обработки персональных данных несут Оператор, должностные лица, работники и иные виновные лица в соответствии с законодательством Российской Федерации.