1. Общие положения 1.1. Настоящая Политика определяет порядок и условия обработки персональных данных посетителей сайта https://imvel.ru, лиц, направляющих обращения, потенциальных клиентов, клиентов и представителей клиентов Оператора в связи с деятельностью бренда IMVEL. 1.2. Политика разработана с учетом Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ), иных применимых нормативных правовых актов Российской Федерации и фактических процессов Оператора. 1.3. Политика размещается в свободном доступе на сайте и применяется к обработке, осуществляемой через сайт, электронную почту, телефон, мессенджеры, договорную и проектную коммуникацию, а также внутренние информационные системы Оператора. 1.4. Если отдельная операция обработки регулируется договором, законом либо отдельным согласием субъекта, соответствующие положения применяются совместно с настоящей Политикой. 2. Основные термины Термины «персональные данные», «обработка персональных данных», «оператор», «предоставление», «распространение», «блокирование», «уничтожение», «обезличивание», «информационная система персональных данных» используются в значениях, установленных Законом № 152-ФЗ. Пользователь — физическое лицо, использующее сайт или иным образом взаимодействующее с Оператором. 3. Принципы обработки • законность и справедливость обработки; • обработка только для конкретных, заранее определенных и законных целей; • соответствие состава и объема данных заявленным целям и недопустимость избыточного сбора; • точность, достаточность и актуальность персональных данных; • хранение не дольше, чем этого требуют цели обработки, договор или закон; • конфиденциальность и применение правовых, организационных и технических мер защиты. 4. Категории субъектов и состав персональных данных 4.1. Оператор может обрабатывать данные следующих категорий субъектов: посетители сайта; лица, направляющие заявки и обращения; потенциальные клиенты; клиенты; представители клиентов и контрагентов; лица, подписавшиеся на информационные/рекламные сообщения при наличии отдельного согласия. 4.2. Данные, добровольно предоставляемые через формы и коммуникации: имя; название компании/проекта, если указано; адрес электронной почты, номер телефона и/или идентификатор в мессенджере; выбранное направление; описание задачи; содержание обращения; при добровольной передаче — файлы и иные материалы. 4.3. Технические данные: IP-адрес, user-agent/сведения о браузере и устройстве, дата и время запроса, технические идентификаторы, журналы событий, сведения о сессии и безопасности, необходимые cookie. Аналитические cookie/идентификаторы обрабатываются только при наличии требуемого пользовательского выбора/согласия. 4.4. При заключении и исполнении договора могут обрабатываться ФИО, контактные сведения, реквизиты, сведения о договоре, расчетах, переписке и материалах проекта в объеме, необходимом для исполнения договора и требований законодательства. 4.5. Через обычные формы сайта Оператор не запрашивает специальные категории персональных данных и биометрические персональные данные. Пользователю не следует направлять такие сведения без необходимости и предварительного согласования. 5. Цели, данные, основания и сроки обработки Цель Субъекты Данные Правовое основание Срок/условие Способ Прием заявки и обратная связь посетители, заявители имя, компания/проект, контактные данные, выбранное направление, описание задачи и добровольно приложенные материалы; технические сведения формы отдельное согласие; действия по инициативе субъекта до заключения договора до достижения цели; для заявки без договора — до 12 месяцев с последнего содержательного взаимодействия, если нет иного основания автоматизированная/смешанная Подготовка и заключение договора потенциальные клиенты, представители контактные данные, сведения о проекте и бизнес-задаче, проектная переписка, материалы, договорные и платежные реквизиты в объеме, необходимом для оказания услуг п. 5 ч. 1 ст. 6 Закона № 152-ФЗ; иные применимые основания в период переговоров и далее в объеме, необходимом для заключения договора смешанная Исполнение договора и проекта клиенты, представители контактные данные, сведения о проекте и бизнес-задаче, проектная переписка, материалы, договорные и платежные реквизиты в объеме, необходимом для оказания услуг исполнение договора; обязанности, установленные законом срок договора и далее сроки обязательного хранения документов/защиты прав смешанная Безопасность и работоспособность сайта посетители и пользователи IP, user-agent, журналы, технические идентификаторы, сведения о сессии законные интересы Оператора при соблюдении прав субъекта; требования безопасности обычно до 12 месяцев, если больший срок не нужен для расследования инцидента или защиты прав автоматизированная Веб-аналитика посетители cookie/идентификаторы и технические сведения в объеме конкретного сервиса согласие пользователя, если оно требуется до отзыва согласия/истечения cookie; по настройкам фактически используемого сервиса автоматизированная Рекламно-информационные сообщения подписчики имя (если указано), e-mail/телефон/мессенджер, запись о согласии отдельное предварительное согласие на рекламу и обработку данных для этой цели до отзыва согласия либо прекращения рассылки автоматизированная/смешанная
6. Источники данных и действия с персональными данными 6.1. Основной источник данных — сам субъект персональных данных: формы сайта, электронная почта, телефон, мессенджеры, документы и материалы, передаваемые в рамках переговоров и исполнения договора. Технические сведения формируются автоматически при обращении к сайту и его сервисам. 6.2. Оператор может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление доступа в предусмотренных законом и договором случаях, обезличивание, блокирование, удаление и уничтожение персональных данных. 6.3. Обработка может осуществляться автоматизированным, неавтоматизированным и смешанным способом с передачей по внутренним и телекоммуникационным сетям в объеме, необходимом для заявленных целей. 7. Поручение обработки и доступ третьих лиц 7.1. Для работы сайта и коммуникаций Оператор может использовать услуги: российского хостинг-провайдера; Timeweb Cloud; почтовый провайдер Яндекс Почта/Яндекс 360; банков, платежных и бухгалтерских сервисов — если это необходимо для договора и расчетов. 7.2. Лицу, обрабатывающему персональные данные по поручению Оператора, передается только необходимый объем данных. Поручение/договор должен предусматривать требования к конфиденциальности, безопасности, целям обработки и исполнению обязанностей по Закону №152-ФЗ. 7.3. Передача государственным органам осуществляется только при наличии предусмотренного законом основания. Данные заявителей не передаются третьим лицам для их самостоятельного маркетинга без отдельного законного основания. 8. Локализация и трансграничная передача 8.1. При сборе персональных данных граждан Российской Федерации посредством сети Интернет запись, систематизация, накопление, хранение, уточнение и извлечение таких данных осуществляются с использованием баз данных, находящихся на территории Российской Федерации, за исключением прямо предусмотренных законом случаев. 8.2. Трансграничная передача не осуществляется без предварительной правовой проверки. Если такая передача потребуется, Оператор выполняет требования статьи 12 Закона № 152-ФЗ, включая установленную законом процедуру уведомления Роскомнадзора до начала передачи. 9. Cookie и аналитические технологии 9.1. Необходимые cookie/аналогичные технологии могут использоваться для работы сайта, безопасности, сохранения пользовательского выбора и сессий. Они не предназначены для самостоятельной рекламной профилизации. 9.2. Аналитические и иные необязательные технологии включаются только в соответствии с фактическими настройками сайта и применимым согласием пользователя. Подробности и способы изменить выбор указываются в Политике использования cookie. 10. Права субъекта и порядок обращений • получить сведения об обработке своих персональных данных; • потребовать уточнения неточных или неактуальных данных; • потребовать блокирования/уничтожения данных в предусмотренных законом случаях; • отозвать согласие, если обработка основана на согласии; • потребовать прекращения обработки, если отсутствует иное законное основание; • обжаловать действия Оператора в Роскомнадзор или суд. 10.2. Запрос направляется по e-mail или почтовому адресу Оператора, указанным в разделе «Сведения об операторе», и должен позволять идентифицировать заявителя и содержание требования. 10.3. Информация по запросу субъекта предоставляется в течение 10 рабочих дней с даты получения запроса; срок может быть продлен не более чем на 5 рабочих дней с направлением мотивированного уведомления. Подтвержденные неточные данные уточняются в течение 7 рабочих дней. 11. Прекращение обработки и уничтожение 11.1. При достижении цели обработки данные прекращают обрабатываться и уничтожаются в срок не более 30 дней, если закон, договор или иное законное основание не требует дальнейшего хранения. 11.2. При отзыве согласия данные уничтожаются в срок не более 30 дней, если сохранение не требуется на ином законном основании. Требование о прекращении обработки исполняется в срок до 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней при мотивированном уведомлении. 11.3. Если уничтожение в установленный срок невозможно, данные блокируются и уничтожаются в срок не более 6 месяцев, если иной срок не установлен законом. Факт уничтожения подтверждается в порядке, установленном законодательством. 12. Меры по обеспечению безопасности • разграничение и минимизация прав доступа; • использование индивидуальных учетных записей, сложных паролей и двухэтапной/многофакторной аутентификации там, где она реализована; • обновление программного обеспечения и контроль уязвимостей; • резервное копирование и контроль восстановления; • защита каналов связи, HTTPS и безопасное хранение секретов; • журналирование существенных событий и ограничение доступа к административной части; • периодический пересмотр перечня обрабатываемых данных, сервисов и сроков хранения. 13. Инциденты и взаимодействие с Роскомнадзором 13.1. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов, Оператор действует по статье 21 Закона № 152-ФЗ: направляет первичное уведомление Роскомнадзору в течение 24 часов и сведения о результатах внутреннего расследования — в течение 72 часов. 13.2. По словам Оператора, уведомление об обработке персональных данных в Роскомнадзор уже подано. При изменении сведений, содержащихся в уведомлении, Оператор проверяет необходимость их актуализации и направляет изменения не позднее 15-го числа месяца, следующего за месяцем изменений. 14. Заключительные положения 14.1. Политика действует с даты, указанной в редакции, до ее замены новой версией. Оператор сохраняет архив предыдущих редакций. 14.2. Существенные изменения, затрагивающие содержание ранее полученного согласия, не применяются ретроспективно без надлежащего правового основания; при необходимости запрашивается новое согласие.