Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) разработана Обществом с ограниченной ответственностью «МСТ» (далее — Оператор) в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и иными нормативными правовыми актами Российской Федерации в области персональных данных.

1.2. Политика определяет цели, правовые основания, условия и порядок обработки персональных данных, принимаемые Оператором меры по их защите, а также права субъектов персональных данных и порядок их реализации.

1.3. Политика действует в отношении всех персональных данных, которые Оператор получает от пользователей сайта https://medstore.su (далее — Сайт), представителей клиентов и контрагентов Оператора, а также иных физических лиц, чьи персональные данные обрабатываются Оператором в связи с деятельностью Сайта.

1.4. Политика является общедоступным документом и публикуется по адресу https://medstore.su/privacy. Использование Сайта и отправка форм Сайта означают, что пользователь ознакомлен с Политикой.

2. Основные понятия

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Оператор — ООО «МСТ», самостоятельно организующее и осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных и действия, совершаемые с ними.

2.3. Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

2.4. Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.

2.5. Блокирование — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для их уточнения).

2.6. Уничтожение — действия, в результате которых становится невозможным восстановить содержание персональных данных и (или) уничтожаются их материальные носители.

2.7. Обезличивание — действия, в результате которых становится невозможным без дополнительной информации определить принадлежность персональных данных конкретному субъекту.

2.8. Предоставление — действия, направленные на раскрытие персональных данных определённому лицу или кругу лиц.

2.9. Распространение — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

2.10. Трансграничная передача — передача персональных данных на территорию иностранного государства органу власти, физическому или юридическому лицу иностранного государства.

2.11. Сайт — совокупность программ и информации, доступная в сети Интернет по адресу https://medstore.su и его поддоменам.

2.12. Пользователь — любое физическое лицо, использующее Сайт, в том числе отправляющее формы Сайта.

2.13. Файлы cookie и технические данные — небольшие фрагменты данных, сохраняемые браузером пользователя, а также данные, передаваемые автоматически при использовании Сайта: IP-адрес, сведения о браузере и устройстве, дата и время обращения, адреса запрошенных страниц.

3. Оператор персональных данных

3.1. Оператор: Общество с ограниченной ответственностью «МСТ» (ООО «МСТ»), ИНН 7814808914, КПП 781301001, ОГРН 1227800067505.

3.2. Адрес места нахождения: 197198, г. Санкт-Петербург, вн.тер.г. муниципальный округ Чкаловское, ул. Красного Курсанта, д. 25, литера Д, пом. 1-Н, помещ. 53. Адрес офиса: г. Санкт-Петербург, ул. Красного Курсанта, д. 25, литера Д, офис 313.

3.3. Контакты по вопросам обработки персональных данных: e-mail supply.medst@gmail.com, телефон +7 (952) 243-43-09.

3.4. Лицо, ответственное за организацию обработки персональных данных, назначено приказом Оператора. Обращения к ответственному лицу направляются на адрес электронной почты, указанный в п. 3.3.

3.5. Оператор не является оператором, осуществляющим обработку специальных категорий и биометрических персональных данных.

4. Субъекты персональных данных

4.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• пользователи Сайта, оформляющие заказы, запросы коммерческих предложений и счетов, тендерные заявки, заявки на подключение электронного документооборота, подписки на регулярные поставки;
• представители компаний-клиентов, использующие личный кабинет Сайта;
• представители (работники, должностные лица) клиентов, партнёров и контрагентов Оператора;
• работники и кандидаты на работу Оператора (обработка регулируется внутренними документами Оператора и в настоящей Политике описывается в объёме, необходимом для информирования).

5. Принципы обработки персональных данных

5.1. Обработка осуществляется на законной и справедливой основе.

5.2. Обработка ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка, несовместимая с целями сбора.

5.3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

5.4. Обрабатываются только те персональные данные, которые отвечают целям обработки; их содержание и объём соответствуют заявленным целям и не являются избыточными.

5.5. Оператор обеспечивает точность, достаточность и, при необходимости, актуальность персональных данных; принимает меры по удалению или уточнению неполных или неточных данных.

5.6. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом или договором.

5.7. Обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в их достижении.

6. Цели обработки персональных данных

6.1. Оператор обрабатывает персональные данные в следующих целях:

• приём и обработка заказов, запросов коммерческих предложений и счетов, подготовка и направление документов по заказу;
• обработка тендерных заявок и заявок на подключение электронного документооборота;
• предоставление доступа к личному кабинету, отображение истории заказов, оформление и ведение подписок на регулярные поставки;
• связь с пользователем по вопросам исполнения его заявки или заказа, направление сервисных сообщений о статусе заказа;
• заключение, исполнение и прекращение гражданско-правовых договоров с клиентами и контрагентами Оператора;
• ведение финансово-хозяйственной деятельности, бухгалтерского и налогового учёта;
• исполнение требований законодательства Российской Федерации.

6.2. Обезличенные данные о посещении Сайта, собираемые сервисами интернет-статистики (при наличии согласия пользователя, выраженного в cookie-баннере Сайта), используются для анализа посещаемости и улучшения работы Сайта. Данные, собираемые сервисами статистики, не используются Оператором для идентификации пользователя.

6.3. Оператор не осуществляет рассылку рекламных сообщений без отдельно выраженного согласия пользователя и не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки.

7. Правовые основания обработки

7.1. Правовыми основаниями обработки персональных данных являются:

• Конституция Российской Федерации; Гражданский кодекс Российской Федерации; Налоговый кодекс Российской Федерации; Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»; Федеральный закон от 05.04.2013 № 44-ФЗ и Федеральный закон от 18.07.2011 № 223-ФЗ — в части участия Оператора в закупках; Трудовой кодекс Российской Федерации — в отношении работников;
• договоры, заключаемые между Оператором и субъектом персональных данных либо организацией, представителем которой он является, а также действия по их заключению (п. 5 ч. 1 ст. 6 152-ФЗ);
• согласие субъекта персональных данных на обработку его персональных данных (ст. 9 152-ФЗ), выражаемое при отправке форм Сайта установкой отметки в соответствующем поле;
• согласие на использование файлов cookie и сервисов статистики, выражаемое в cookie-баннере Сайта.

7.2. Оператор обрабатывает персональные данные только при наличии хотя бы одного из оснований, предусмотренных ст. 6 152-ФЗ.

8. Объём и категории обрабатываемых персональных данных

8.1. Оператор обрабатывает персональные данные в объёме, который субъект указывает самостоятельно при отправке форм Сайта, и который необходим для достижения целей, указанных в разделе 6.

8.2. Категории персональных данных пользователей Сайта:

8.3. В отношении представителей клиентов и контрагентов Оператор обрабатывает: фамилию, имя, отчество; должность; наименование организации; служебные номер телефона и адрес электронной почты; сведения, содержащиеся в договорах и документах по их исполнению.

8.4. Оператор не обрабатывает специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни), биометрические персональные данные, а также персональные данные, разрешённые субъектом для распространения.

8.5. Оператор не осуществляет сбор персональных данных лиц младше 18 лет. Формы Сайта предназначены для представителей организаций.

9. Условия и порядок обработки персональных данных

9.1. Обработка персональных данных осуществляется смешанным способом — с использованием средств автоматизации и без их использования, с передачей по внутренней сети Оператора и по сети Интернет.

9.2. Данные, направленные через формы Сайта и личный кабинет, поступают в информационную систему учёта клиентов Оператора (CRM). Базы данных, содержащие персональные данные граждан Российской Федерации, размещены на серверах, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

9.3. Доступ к персональным данным имеют только работники Оператора, которым они необходимы для выполнения служебных обязанностей и которые приняли обязательство о неразглашении.

9.4. Оператор вправе поручить обработку персональных данных другому лицу на основании договора, содержащего перечень действий с персональными данными, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность персональных данных. Ответственность перед субъектом за действия такого лица несёт Оператор.

9.5. Оператор не раскрывает персональные данные третьим лицам и не распространяет их без согласия субъекта, за исключением случаев, предусмотренных законодательством Российской Федерации (в том числе по запросам уполномоченных государственных органов).

9.6. Для защиты персональных данных Оператор применяет организационные и технические меры: назначено ответственное лицо; утверждены внутренние документы по обработке и защите персональных данных; определён уровень защищённости информационной системы; разграничен доступ работников к данным; применяются средства идентификации и аутентификации, шифрование каналов связи и резервных копий, регистрация событий доступа; проводится оценка вреда, который может быть причинён субъектам, и внутренний контроль соответствия обработки требованиям 152-ФЗ.

9.7. Сроки обработки и хранения:

• персональные данные, полученные через формы Сайта, обрабатываются до достижения цели обработки либо до отзыва согласия субъектом;
• по достижении цели обработки или при отзыве согласия персональные данные уничтожаются либо обезличиваются в срок, не превышающий 30 дней, если иной срок не установлен договором или законодательством Российской Федерации;
• персональные данные, содержащиеся в договорах, первичных учётных и бухгалтерских документах, хранятся в течение сроков, установленных законодательством о бухгалтерском учёте и архивном деле;
• если уничтожить персональные данные в установленный срок невозможно, Оператор блокирует их и обеспечивает уничтожение в срок не более 6 месяцев.

9.8. Отзыв согласия на обработку персональных данных направляется на адрес электронной почты supply.medst@gmail.com с темой письма «Отзыв согласия на обработку персональных данных» с указанием фамилии, имени, отчества и контактных данных, использованных при заполнении формы Сайта. Оператор прекращает обработку персональных данных и уничтожает их в срок не более 30 дней с даты получения отзыва, за исключением случаев, когда обработка может быть продолжена без согласия субъекта на основаниях, предусмотренных 152-ФЗ.

9.9. Файлы cookie и сервисы статистики:

• Сайт использует технические cookie и локальное хранилище браузера для работы Сайта: сохранение состава корзины, списка сравнения, сессии личного кабинета и факта ответа на cookie-баннер. Эти данные не покидают браузер пользователя, за исключением данных, явно отправляемых через формы Сайта и личный кабинет.
• При согласии пользователя, выраженном в cookie-баннере, Сайт использует сервис интернет-статистики Яндекс Метрика (ООО «Яндекс», Российская Федерация) для анализа посещаемости без записи содержимого сессий. Обезличенные данные обрабатываются сервисом в соответствии с его условиями. Без согласия пользователя сервис статистики не подключается.
• Пользователь может в любой момент изменить своё решение, очистив данные Сайта в браузере, после чего баннер будет показан повторно.

10. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы

10.1. Субъект персональных данных имеет право получать информацию, касающуюся обработки его персональных данных (ст. 14 152-ФЗ), в том числе: подтверждение факта обработки; правовые основания и цели обработки; применяемые способы обработки; наименование и место нахождения Оператора; обрабатываемые персональные данные и источник их получения; сроки обработки и хранения; порядок осуществления прав; сведения о лицах, которым данные могут быть раскрыты.

10.2. Субъект вправе требовать уточнения, блокирования или уничтожения его персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

10.3. Запросы и обращения субъектов направляются на адрес электронной почты supply.medst@gmail.com либо почтой по адресу места нахождения Оператора. Запрос должен содержать фамилию, имя, отчество, контактные данные, сведения, подтверждающие участие субъекта в отношениях с Оператором (например, адрес электронной почты или телефон, указанные в форме Сайта), и подпись субъекта или его представителя.

10.4. Сроки:

• ответ на запрос субъекта — в течение 10 рабочих дней с даты получения; срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта о причинах;
• уточнение неполных, неточных или неактуальных персональных данных — в течение 7 рабочих дней с даты получения подтверждающих сведений;
• при выявлении неправомерной обработки — прекращение обработки в течение 3 рабочих дней, уничтожение персональных данных (если обеспечить правомерность невозможно) — в течение 10 рабочих дней;
• уничтожение по достижении цели обработки или при отзыве согласия — в течение 30 дней;
• при отказе в удовлетворении запроса Оператор даёт мотивированный ответ в письменной форме.

10.5. В случае выявления неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов, Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования, а также принимает меры по устранению последствий инцидента.

10.6. Субъект вправе обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

11. Трансграничная передача персональных данных

11.1. Трансграничная передача персональных данных пользователей Сайта Оператором не осуществляется.

11.2. Серверы, на которых обрабатываются и хранятся персональные данные пользователей Сайта, расположены на территории Российской Федерации.

12. Конфиденциальность персональных данных

12.1. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом.

12.2. Работники Оператора, имеющие доступ к персональным данным, ознакомлены с положениями законодательства о персональных данных, внутренними документами Оператора и настоящей Политикой и несут ответственность за нарушение требований конфиденциальности.

13. Заключительные положения

13.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения на Сайте, если иное не предусмотрено новой редакцией. Действующая редакция всегда доступна по адресу https://medstore.su/privacy; дата редакции указана в начале документа.

13.2. Условия согласия на обработку персональных данных, выражаемого при отправке форм Сайта, изложены в документе «Согласие на обработку персональных данных», опубликованном по адресу https://medstore.su/consent.

13.3. По всем вопросам, связанным с обработкой персональных данных, можно обратиться к Оператору по адресу электронной почты supply.medst@gmail.com.