Политика в отношении обработки персональных данных

1. Общие положения и сведения об операторе

Настоящая Политика в отношении обработки персональных данных (далее — Политика) действует в отношении всей информации, которую ООО «ОРКЕСТРИЯ» (далее — Оператор) может получить о субъекте персональных данных при использовании им сайта https://orkestria.ru (далее — Сайт) и при направлении обращений через формы обратной связи, диагностический квиз и иные интерактивные элементы Сайта.

Настоящая Политика носит информационный характер: ознакомление с ней само по себе не является согласием на обработку персональных данных и не заменяет его. Согласие на обработку персональных данных, направляемых через формы Сайта, даётся субъектом отдельно — проставлением соответствующей отметки в форме; без такой отметки обращение не принимается. Согласие на веб-аналитику даётся отдельно и дополнительно — нажатием кнопки «Принять» в информационном сообщении об использовании cookie; до этого сервис веб-аналитики не подключается. Каждое из согласий может быть отозвано независимо от другого. Если субъект не согласен с изложенными в настоящей Политике условиями обработки, ему следует воздержаться от направления обращения через формы Сайта.

Оператором персональных данных является:

• Полное наименование: Общество с ограниченной ответственностью «ОРКЕСТРИЯ».
• Сокращённое наименование: ООО «ОРКЕСТРИЯ».
• ИНН 1685026070, КПП 168501001, ОГРН 1261600021990.
• Юридический адрес: Республика Татарстан, г. Казань, проспект Ямашева, д. 36Д, помещ. 1137.
• Адрес электронной почты для обращений субъектов персональных данных: sales@orkestria.ru.
• Адрес Сайта: https://orkestria.ru.

2. Основные понятия, используемые в Политике

Термины и определения в настоящей Политике используются в значениях, установленных статьёй 3 152-ФЗ, в том числе:

• персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных);
• оператор — юридическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без их использования с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
• предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц;
• блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

3. Правовые основания обработки персональных данных

Обработка персональных данных осуществляется Оператором на законной и справедливой основе. Правовыми основаниями обработки персональных данных являются:

• согласие субъекта персональных данных на обработку его персональных данных (пункт 1 части 1 статьи 6 и статья 9 152-ФЗ), выражаемое субъектом при отправке обращения через формы Сайта посредством проставления соответствующей отметки согласия;
• необходимость обработки персональных данных для исполнения договора, стороной которого является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных (пункт 5 части 1 статьи 6 152-ФЗ), — в части подготовки к заключению и исполнения договора на оказание услуг;
• Конституция Российской Федерации, Гражданский кодекс Российской Федерации, 152-ФЗ, иные нормативные правовые акты Российской Федерации в области обработки и защиты персональных данных, а также учредительные документы Оператора.

4. Цели обработки персональных данных

Оператор обрабатывает персональные данные субъектов исключительно в заранее определённых и законных целях. Обработка ограничивается достижением следующих целей:

• приём, регистрация и рассмотрение обращений (заявок), направленных субъектом через формы обратной связи, размещённые на страницах Сайта, включая диагностический опросник;
• осуществление обратной связи с субъектом персональных данных, в том числе консультирование, направление ответов, разъяснений и предложений по существу обращения;
• подготовка к заключению и исполнение договора на оказание услуг, а также совершение действий, направленных на заключение такого договора по инициативе субъекта персональных данных;
• оценка посещаемости Сайта и удобства его использования, улучшение работы Сайта (веб-аналитика) — исключительно при наличии отдельного согласия субъекта, выраженного в информационном сообщении об использовании cookie.
• Сведения по каждой цели — категории субъектов, перечень обрабатываемых данных, способ обработки, срок хранения и правовое основание — приведены в Приложении № 1 к настоящей Политике.

5. Категории субъектов и перечень обрабатываемых персональных данных

Субъектами персональных данных, чьи данные обрабатывает Оператор, являются физические лица, добровольно направившие обращение через формы Сайта (в том числе потенциальные клиенты и представители потенциальных клиентов).

Оператор обрабатывает только те персональные данные, которые предоставлены субъектом при заполнении форм Сайта, а также технические данные, автоматически получаемые сервером при направлении обращения. Данные из иных источников Оператором не собираются. Оператор не запрашивает и не имеет цели обрабатывать специальные категории персональных данных и не обрабатывает биометрические персональные данные; подробнее — раздел 17 настоящей Политики.

Оператор не осуществляет распространение персональных данных, то есть не раскрывает их неопределённому (неограниченному) кругу лиц. Передача (предоставление) персональных данных третьим лицам осуществляется исключительно в случаях, предусмотренных законодательством Российской Федерации, либо с согласия субъекта персональных данных.

Перечень обрабатываемых персональных данных:

• имя (в том виде, в котором субъект представился в форме);
• контактные данные для связи по выбору субъекта — адрес электронной почты, либо номер телефона, либо идентификатор (хэндл) в мессенджере Telegram;
• текст обращения — сведения, добровольно указанные субъектом при описании своей задачи (запроса);
• ответы на вопросы диагностического квиза и сформированная по их итогам рекомендация — обрабатываются исключительно опционально и только при явно выраженном отдельном согласии субъекта на их приложение к обращению;
• отметка о согласии на обработку персональных данных (проставление такой отметки является обязательным условием отправки формы; сервер принимает обращение только при подтверждённом согласии);
• технические метаданные запроса, автоматически получаемые при отправке формы: IP-адрес, сведения о браузере и устройстве (User-Agent), адрес источника перехода (Referer), а также дата и время получения обращения и служебный идентификатор обращения;
• сведения, обрабатываемые сервисом веб-аналитики при наличии отдельного согласия субъекта: IP-адрес, идентификаторы файлов cookie сервиса, технические сведения о браузере и устройстве, источник перехода, просмотренные страницы и действия на странице; их состав раскрыт в разделе 9, данные, введённые в формы Сайта, из них исключены.

6. Принципы и условия обработки персональных данных

Обработка персональных данных осуществляется Оператором в соответствии с принципами, установленными статьёй 5 152-ФЗ:

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только персональные данные, которые отвечают целям их обработки; содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки и не являются избыточными по отношению к ним;
• при обработке обеспечиваются точность персональных данных, их достаточность, а при необходимости и актуальность по отношению к целям обработки; Оператор принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных;
• хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором; обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
• Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством Российской Федерации.

7. Порядок, способы обработки и меры по защите персональных данных

Обработка персональных данных на Сайте осуществляется с использованием средств автоматизации. Оператор вправе осуществлять обработку персональных данных без использования средств автоматизации — например, при подготовке ответа на обращение и ведении переписки; в этом случае применяются требования постановления Правительства Российской Федерации от 15.09.2008 № 687. Сбор персональных данных производится путём их добровольного внесения субъектом в формы Сайта и последующей передачи на сервер Оператора (эндпоинт приёма обращений). Оператор не осуществляет обработку персональных данных, влекущую принятие решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки.

Оператор вправе поручить обработку персональных данных другому лицу (в частности, хостинг-провайдеру, обеспечивающему размещение Сайта и хранение поступивших обращений) с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с таким лицом договора. Существенным условием указанного договора является обязанность лица, осуществляющего обработку персональных данных по поручению Оператора, соблюдать принципы и правила обработки персональных данных, предусмотренные 152-ФЗ, обеспечивать конфиденциальность персональных данных и их безопасность при обработке (часть 3 статьи 6 152-ФЗ). Обработка персональных данных по такому поручению осуществляется на территории Российской Федерации. Ответственность перед субъектом персональных данных за действия лица, которому поручена обработка, несёт Оператор. Перечень лиц, которым может быть предоставлен доступ к персональным данным, с указанием их роли и страны нахождения приведён в Приложении № 2 к настоящей Политике.

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, в соответствии со статьями 18.1 и 19 152-ФЗ. К числу таких мер относятся, в частности:

• назначение лица, ответственного за организацию обработки персональных данных, и определение внутренних процедур, направленных на предотвращение и выявление нарушений законодательства;
• ознакомление работников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных и с настоящей Политикой;
• ограничение доступа к обращениям и содержащимся в них персональным данным: файл (хранилище) заявок ведётся с техническим ограничением доступа на уровне прав файловой системы и изоляции сервиса; Оператор обязуется предоставлять доступ только лицам, которым он необходим для исполнения обязанностей, и определять их перечень внутренним документом;
• применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационной системе;
• разграничение прав доступа к файлу поступивших обращений на уровне операционной системы: файл и каталог хранения доступны только учётной записи, от имени которой работает серверное приложение;
• запуск серверного приложения от имени непривилегированной учётной записи в изолированной среде, в которой запись возможна только в каталог хранения обращений;
• защита канала передачи данных между браузером субъекта и Сайтом протоколом HTTPS;
• исключение содержимого форм из журналов веб-сервера: сведения, введённые субъектом в форму, в журналы не записываются;
• хранение реквизитов доступа к внешним сервисам вне репозитория кода, в файле с ограниченными правами доступа;
• защита форм Сайта от автоматизированных (роботизированных) обращений, в том числе ограничение частоты отправки и проверка источника запроса;
• резервное копирование файла поступивших обращений с ограничением прав доступа к копиям и их автоматическим удалением по истечении срока хранения копий;
• периодический пересмотр применяемых мер защиты и внутренний контроль их соблюдения;
• оценка вреда, который может быть причинён субъектам персональных данных, и внутренний контроль соответствия обработки персональных данных требованиям законодательства и настоящей Политике.
• Хранение и обработка персональных данных граждан Российской Федерации, включая их запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение, осуществляются с использованием баз данных, находящихся на территории Российской Федерации (серверные мощности расположены в Российской Федерации), что соответствует требованиям части 5 статьи 18 152-ФЗ.

8. Реагирование на инциденты, связанные с персональными данными

Инцидентом Оператор считает случай неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкший нарушение прав субъектов персональных данных, а также случай неправомерного или случайного доступа к персональным данным, их уничтожения, изменения или копирования.

При выявлении инцидента Оператор незамедлительно принимает меры к прекращению неправомерного доступа и устранению его причин, определяет состав затронутых персональных данных и круг затронутых субъектов, проводит внутреннее расследование и оценивает вред, который может быть причинён субъектам.

Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в сроки, установленные частью 3.1 статьи 21 152-ФЗ:

• в течение 24 (двадцати четырёх) часов с момента выявления инцидента — о произошедшем инциденте, о предполагаемых причинах и предполагаемом вреде правам субъектов персональных данных, о принятых мерах по устранению последствий, а также о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по вопросам инцидента;
• в течение 72 (семидесяти двух) часов с момента выявления инцидента — о результатах внутреннего расследования, а также сведения о лицах, действия которых стали причиной инцидента (при наличии таких лиц).
• Указанные сроки исчисляются непрерывно с момента выявления инцидента. Если инцидент затрагивает персональные данные конкретных субъектов и это необходимо для защиты их прав, Оператор информирует таких субъектов по контактным данным, указанным ими при направлении обращения, о характере инцидента и о мерах, которые им целесообразно принять.

9. Использование файлов cookie и локального хранилища

Сайт не устанавливает собственных файлов cookie. Для сохранения выбора Пользователя в отношении веб-аналитики используется локальное хранилище браузера (localStorage): соответствующая запись хранится в браузере Пользователя до её удаления им и на сервер Оператора не передаётся. Файлы cookie устанавливает только сервис веб-аналитики «Яндекс.Метрика» (счётчик № 110709068), предоставляемый ООО «ЯНДЕКС», и только после того, как Пользователь дал согласие на веб-аналитику. Иные сторонние счётчики и системы веб-аналитики (в том числе Google Analytics и аналогичные) на Сайте не используются.

Счётчик Яндекс.Метрики загружается только после того, как Пользователь нажал «Принять» в информационном баннере об использовании cookie. До получения согласия, а также при отказе, счётчик не загружается: запросы к сервису не отправляются и его файлы cookie не устанавливаются. Отозвать согласие можно в любой момент — ссылка «Настройки cookie» в нижней части любой страницы, далее «Отклонить»; при отзыве файлы cookie сервиса удаляются из браузера, а счётчик более не подключается.

При наличии согласия через Яндекс.Метрику обрабатываются: IP-адрес, идентификаторы cookie сервиса, технические данные браузера и устройства (тип, версия, разрешение экрана, язык), источник перехода, просмотренные страницы и время их просмотра, а также действия Пользователя на странице (перемещения курсора, клики, прокрутка) и запись сессии средствами технологии «Вебвизор». Поля формы обращения (сообщение, контакт, имя) исключены из записи Вебвизора техническими средствами, поэтому данные, вводимые Пользователем в форму, в сервис веб-аналитики не передаются. Обработка данных сервисом осуществляется на условиях, публикуемых ООО «ЯНДЕКС» по адресу https://yandex.ru/legal/confidential/, на серверах, расположенных на территории Российской Федерации.

Локальное хранилище браузера применяется вне зависимости от выбора Пользователя в отношении веб-аналитики — исключительно для того, чтобы запомнить сам этот выбор. Ниже приведены сведения о применяемых записях и файлах cookie: наименование, назначение, тип (сеансовый или постоянный) и срок хранения.

• «orkestria.cookies.v1» — запись в локальном хранилище браузера (localStorage). Назначение: сохранение выбора Пользователя («Принять» или «Отклонить»), сделанного в информационном сообщении об использовании cookie, чтобы не запрашивать его повторно. Тип: постоянная; хранится до её удаления Пользователем, на сервер Оператора не передаётся;
• «_ym_uid», «_ym_d», «_ym_isad» — файлы cookie сервиса веб-аналитики, устанавливаемые ООО «ЯНДЕКС» после получения согласия Пользователя. Назначение: различение посетителей и учёт посещений Сайта. Тип: постоянные; сроки хранения определяются ООО «ЯНДЕКС» и публикуются в документации сервиса;
• «_ym_visorc» — файл cookie сервиса веб-аналитики, устанавливаемый ООО «ЯНДЕКС» после получения согласия Пользователя. Назначение: обеспечение работы технологии записи действий на странице «Вебвизор». Тип: сеансовый;
• до получения согласия Пользователя файлы cookie сервиса веб-аналитики не устанавливаются и обращений к серверам сервиса не происходит; при отзыве согласия ранее установленные файлы cookie сервиса удаляются из браузера.
• Пользователь вправе самостоятельно ограничить или запретить использование cookie в настройках своего браузера; при этом отдельные функции Сайта могут работать некорректно.

10. Сроки хранения и порядок уничтожения персональных данных

Персональные данные хранятся в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки. Персональные данные подлежат хранению до достижения целей обработки либо до отзыва субъектом согласия на обработку персональных данных — в зависимости от того, какое из указанных обстоятельств наступит ранее, если иной срок хранения не установлен федеральным законом или договором.

В целях недопущения избыточного хранения Оператор дифференцирует сроки хранения по целям обработки: обращения, не приведшие к переговорам о заключении договора, хранятся не более 12 (двенадцати) месяцев с даты последнего взаимодействия с субъектом; персональные данные, обрабатываемые в связи с подготовкой к заключению и исполнением договора, хранятся в течение срока действия договора и не более 3 (трёх) лет после прекращения обязательств по нему, если более длительный срок хранения не установлен законодательством Российской Федерации. Сроки хранения по каждой цели приведены в Приложении № 1 к настоящей Политике.

По достижении целей обработки, по истечении срока хранения, а также в случае отзыва субъектом согласия (при отсутствии иных законных оснований для продолжения обработки) персональные данные подлежат уничтожению или обезличиванию. Порядок и сроки прекращения обработки, уничтожения и блокирования персональных данных установлены разделами 11 и 15 настоящей Политики.

11. Прекращение обработки, уничтожение и блокирование персональных данных

Оператор прекращает обработку персональных данных и обеспечивает их уничтожение в следующих случаях: достижение целей обработки или утрата необходимости в их достижении; истечение срока хранения, установленного разделом 10 настоящей Политики; отзыв субъектом согласия на обработку при отсутствии иных предусмотренных законодательством оснований для продолжения обработки; поступление требования субъекта о прекращении обработки; выявление факта неправомерной обработки, если обеспечить её правомерность невозможно.

Сроки совершения каждого из указанных действий приведены в разделе 15 настоящей Политики.

Уничтожение персональных данных осуществляется способом, исключающим возможность восстановления их содержания. Факт уничтожения фиксируется Оператором в порядке, установленном уполномоченным органом (приказ Роскомнадзора от 28.10.2022 № 179). Уничтожение персональных данных, полученных через формы Сайта, производится без использования средств автоматизации, и его факт подтверждается актом об уничтожении. Порядок подтверждения, предусмотренный для уничтожения с использованием средств автоматизации (акт об уничтожении и выгрузка из журнала регистрации событий в информационной системе), применяется Оператором с момента ввода в эксплуатацию такого журнала.

Уничтожение охватывает все носители, на которых персональные данные хранятся у Оператора, включая резервные копии файла поступивших обращений. Резервные копии перезаписываются и удаляются по мере их ротации; срок хранения резервных копий не превышает срока, отведённого законодательством на уничтожение соответствующих персональных данных, после чего восстановление уничтоженных сведений становится невозможным.

Если уничтожение персональных данных в установленный срок невозможно, Оператор блокирует их — временно прекращает обработку, за исключением случаев, когда обработка необходима для уточнения персональных данных, — и обеспечивает уничтожение в срок не более 6 (шести) месяцев, если иной срок не установлен федеральными законами (часть 6 статьи 21 152-ФЗ).

При выявлении неправомерной обработки персональных данных Оператор блокирует такие персональные данные с момента обращения субъекта персональных данных или получения запроса уполномоченного органа на период проверки (часть 1 статьи 21 152-ФЗ). После подтверждения факта неточности персональных данных Оператор уточняет их и снимает блокирование (часть 2 статьи 21 152-ФЗ).

Отзыв согласия и требование о прекращении обработки не влияют на законность обработки персональных данных, осуществлённой Оператором до момента их получения. При наличии оснований, предусмотренных пунктами 2–11 части 1 статьи 6 152-ФЗ, обработка может быть продолжена и после отзыва согласия (часть 2 статьи 9 152-ФЗ); в этом случае Оператор сообщает субъекту, какие данные и на каком основании продолжают обрабатываться.

12. Права субъекта персональных данных

Субъект персональных данных имеет права, предусмотренные 152-ФЗ, в том числе статьями 14, 20 и 21. Субъект персональных данных вправе:

• получать информацию, касающуюся обработки его персональных данных, а именно: подтверждение факта обработки; правовые основания и цели обработки; применяемые Оператором способы обработки; наименование и место нахождения Оператора; обрабатываемые персональные данные, относящиеся к субъекту, и источник их получения; сроки обработки, в том числе сроки хранения; порядок осуществления субъектом прав, предусмотренных 152-ФЗ; сведения о лицах, которым могут быть раскрыты персональные данные или которым они могут быть поручены (Приложение № 2 к настоящей Политике); порядок обжалования действий или бездействия Оператора — в объёме, предусмотренном частью 7 статьи 14 152-ФЗ;
• требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать ранее данное согласие на обработку персональных данных;
• требовать прекращения обработки персональных данных;
• принимать предусмотренные законом меры по защите своих прав, в том числе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

13. Порядок реализации прав субъекта, направления обращений и отзыва согласия

Для реализации своих прав, получения информации об обработке персональных данных, а также для уточнения, блокирования, уничтожения персональных данных или прекращения их обработки субъект персональных данных направляет Оператору обращение (запрос) на адрес электронной почты sales@orkestria.ru. Требования к содержанию обращения приведены в разделе 14 настоящей Политики. Требования к содержанию запроса установлены частью 3 статьи 14 152-ФЗ. Оператор не запрашивает и не обрабатывает данные документа, удостоверяющего личность, и поэтому принимает обращения к рассмотрению по существу и при отсутствии таких сведений — если принадлежность персональных данных обратившемуся лицу подтверждается контактными данными, указанными им при отправке формы на Сайте. Это собственное обязательство Оператора, улучшающее положение субъекта, а не изъятие из требований закона.

Оператор рассматривает обращение и предоставляет ответ в сроки, установленные 152-ФЗ. По общему правилу сведения об обработке персональных данных предоставляются субъекту в течение 10 (десяти) рабочих дней со дня обращения либо получения запроса; указанный срок может быть продлён, но не более чем на 5 (пять) рабочих дней, с направлением субъекту мотивированного уведомления о продлении. Ответ направляется субъекту тем же способом, которым поступило обращение, либо иным способом, указанным субъектом в обращении. При наличии оснований, предусмотренных законодательством Российской Федерации, в том числе частью 8 статьи 14 152-ФЗ, Оператор направляет субъекту мотивированный отказ в предоставлении сведений в письменной форме (часть 2 статьи 20 152-ФЗ). Полный перечень сроков рассмотрения обращений и исполнения требований субъекта приведён в разделе 15 настоящей Политики.

Согласие на обработку персональных данных может быть отозвано субъектом персональных данных в любой момент путём направления письменного обращения на адрес электронной почты sales@orkestria.ru. В случае отзыва согласия Оператор прекращает обработку персональных данных и обеспечивает их уничтожение в срок, не превышающий 30 (тридцати) дней с даты поступления отзыва (часть 5 статьи 21 152-ФЗ), если сохранение персональных данных более не требуется для целей обработки и отсутствуют иные предусмотренные законодательством основания для продолжения обработки. Отзыв согласия не влияет на законность обработки персональных данных, осуществлённой Оператором до момента получения такого отзыва.

Уведомление об обработке персональных данных направлено Оператором в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) до начала обработки в порядке, установленном статьёй 22 152-ФЗ; Оператор включён в реестр операторов, осуществляющих обработку персональных данных. Об изменении сведений, содержащихся в уведомлении, Оператор информирует уполномоченный орган не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, а о прекращении обработки персональных данных — в течение 10 (десяти) рабочих дней с даты прекращения (часть 7 статьи 22 152-ФЗ).

14. Порядок направления обращений субъекта персональных данных

Обращение (запрос, требование) субъекта персональных данных направляется Оператору на адрес электронной почты sales@orkestria.ru либо в письменной форме по адресу местонахождения Оператора, указанному в разделе 1 настоящей Политики. Оба канала равнозначны: если по каким-либо причинам обращение не доставлено по электронной почте, субъект вправе воспользоваться письменным каналом, и срок рассмотрения исчисляется с даты фактического получения обращения Оператором.

Требования к содержанию запроса установлены частью 3 статьи 14 152-ФЗ и включают, в частности, сведения о документе, удостоверяющем личность. Оператор такие данные не запрашивает и не обрабатывает, поэтому принимает обращения к рассмотрению по существу и при отсутствии этих сведений — если принадлежность персональных данных обратившемуся лицу подтверждается контактными данными, указанными им при отправке формы на Сайте. Обращение рекомендуется составлять так, чтобы оно содержало:

• контактные данные (адрес электронной почты, номер телефона или идентификатор в мессенджере), которые субъект указал при отправке формы на Сайте, — по ним Оператор соотносит обращение с обрабатываемыми персональными данными;
• ориентировочную дату направления обращения через Сайт либо иные сведения, позволяющие определить, о каком обращении идёт речь;
• существо требования: предоставление сведений об обработке, уточнение (актуализацию) персональных данных, их блокирование или уничтожение, прекращение обработки, отзыв согласия;
• способ и адрес, по которому субъект просит направить ответ;
• подпись субъекта или его представителя — для обращения в письменной форме; для обращения в форме электронного документа — электронную подпись в соответствии с законодательством Российской Федерации. Обращение, направленное с адреса электронной почты, ранее указанного субъектом при отправке формы на Сайте, рассматривается Оператором по существу и без электронной подписи.
• Если представленных сведений недостаточно для того, чтобы установить принадлежность персональных данных обратившемуся лицу, Оператор вправе запросить дополнительные сведения, необходимые исключительно для идентификации, и приостановить рассмотрение обращения до их получения. Сведения предоставляются в доступной форме и не должны содержать персональных данных других субъектов (часть 2 статьи 14 152-ФЗ).

15. Сроки рассмотрения обращений и исполнения требований субъекта

Оператор рассматривает обращения субъектов персональных данных и исполняет их требования в следующие сроки:

• предоставление сведений об обработке персональных данных, предусмотренных частью 7 статьи 14 152-ФЗ, — в течение 10 (десяти) рабочих дней со дня обращения субъекта или получения его запроса; срок может быть продлён, но не более чем на 5 (пять) рабочих дней, с направлением субъекту мотивированного уведомления с указанием причины продления (часть 1 статьи 20 152-ФЗ). При личном обращении субъекта Оператор предоставляет возможность ознакомления с его персональными данными непосредственно при обращении;
• мотивированный отказ в предоставлении сведений при наличии оснований, предусмотренных законодательством, в том числе частью 8 статьи 14 152-ФЗ, — в письменной форме, в тот же срок: 10 (десять) рабочих дней с возможностью продления не более чем на 5 (пять) рабочих дней (часть 2 статьи 20 152-ФЗ);
• внесение изменений в персональные данные (уточнение, актуализация), если субъект представил сведения, подтверждающие их неполноту, неточность или неактуальность, — в течение 7 (семи) рабочих дней со дня представления таких сведений; о внесённых изменениях Оператор уведомляет субъекта и принимает разумные меры для уведомления третьих лиц, которым эти персональные данные передавались (часть 3 статьи 20, часть 2 статьи 21 152-ФЗ);
• уничтожение персональных данных, если субъект представил сведения, подтверждающие, что они являются незаконно полученными или не являются необходимыми для заявленной цели обработки, — в течение 7 (семи) рабочих дней со дня представления таких сведений, с уведомлением субъекта (часть 3 статьи 20 152-ФЗ);
• блокирование персональных данных на период проверки при выявлении неправомерной обработки — с момента обращения субъекта или получения запроса уполномоченного органа (часть 1 статьи 21 152-ФЗ);
• прекращение неправомерной обработки персональных данных, выявленной Оператором или лицом, действующим по его поручению, — в срок, не превышающий 3 (трёх) рабочих дней с даты выявления; если обеспечить правомерность обработки невозможно — уничтожение персональных данных в срок, не превышающий 10 (десяти) рабочих дней с даты выявления, с уведомлением субъекта (часть 3 статьи 21 152-ФЗ);
• прекращение обработки персональных данных по требованию субъекта, не связанному с отзывом согласия, — в течение 10 (десяти) рабочих дней со дня получения требования; срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением субъекту мотивированного уведомления (часть 5.1 статьи 21 152-ФЗ);
• прекращение обработки и уничтожение персональных данных при отзыве субъектом согласия — в срок, не превышающий 30 (тридцати) дней с даты поступления отзыва, если сохранение персональных данных более не требуется для целей обработки и отсутствуют иные основания, предусмотренные пунктами 2–11 части 1 части 1 статьи 6 152-ФЗ (часть 5 статьи 21 152-ФЗ);
• уничтожение персональных данных по достижении цели обработки — в срок, не превышающий 30 (тридцати) дней с даты достижения цели, если иное не предусмотрено договором с субъектом или федеральным законом (часть 4 статьи 21 152-ФЗ);
• при отсутствии у Оператора технической возможности уничтожить персональные данные в указанные сроки — блокирование персональных данных с последующим уничтожением в срок не более 6 (шести) месяцев (часть 6 статьи 21 152-ФЗ).
• Повторный запрос сведений об обработке персональных данных направляется субъектом не ранее чем через 30 дней после первоначального обращения или запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором (часть 4 статьи 14 152-ФЗ). Субъект вправе направить повторный запрос и до истечения этого срока, если по результатам рассмотрения первоначального обращения сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объёме; такой запрос должен содержать обоснование его направления (части 4 и 5 статьи 14 152-ФЗ). Право требовать уточнения, блокирования или уничтожения персональных данных (часть 1 статьи 14 152-ФЗ) сроком повторного запроса не ограничено.

16. Трансграничная передача персональных данных

Оператор не осуществляет трансграничную передачу персональных данных. Обработка и хранение персональных данных осуществляются на территории Российской Федерации; персональные данные не передаются на территорию иностранных государств, органам власти иностранных государств, иностранным физическим или юридическим лицам. Уведомление Оператора о поступившем обращении и последующая работа с ним осуществляются с использованием сервисов, инфраструктура которых расположена на территории Российской Федерации. При подключении сервиса, предполагающего передачу персональных данных за пределы Российской Федерации, Оператор до начала такой передачи направляет в уполномоченный орган уведомление о намерении осуществлять трансграничную передачу персональных данных (часть 3 статьи 12 152-ФЗ) и вносит соответствующие изменения в настоящую Политику.

17. Сведения, которые Оператор не обрабатывает, и действия, которые не осуществляет

Для устранения возможных сомнений Оператор прямо заявляет следующее.

• Оператор не запрашивает и не имеет цели обрабатывать специальные категории персональных данных — сведения о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, судимости (статья 10 152-ФЗ). Формы Сайта не содержат полей для таких сведений. Оператор просит субъектов не указывать их в свободном поле описания задачи; при обнаружении таких сведений в тексте обращения Оператор удаляет их.
• Оператор не обрабатывает биометрические персональные данные (статья 11 152-ФЗ): Сайт не предусматривает загрузку фотографий, изображений, аудио- и видеозаписей, доступ к камере и микрофону на страницах Сайта отключён техническими средствами. Технология записи действий на странице, применяемая сервисом веб-аналитики при наличии согласия, фиксирует поведение пользователя (перемещения курсора, прокрутку, клики), а не физиологические и биологические характеристики, и биометрическими персональными данными не является.
• Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных. Диагностический опрос на Сайте является вспомогательным инструментом: подсчёт результата выполняется в браузере субъекта, полученная рекомендация носит справочный характер, не является офертой, оценкой стоимости услуг или обязательством Оператора. Все решения по обращению принимает работник Оператора.
• Оператор не осуществляет распространение персональных данных, то есть не раскрывает их неопределённому кругу лиц, и не публикует полученные обращения.
• Оператор не получает персональные данные из иных источников, кроме самого субъекта: данные поступают только через формы Сайта. Оператор не запрашивает копии документов, платёжные реквизиты, банковские и учётные данные — на Сайте не принимаются платежи и не создаются личные кабинеты.
• Оператор не обрабатывает персональные данные в целях продвижения услуг путём прямых контактов с субъектом (рекламные рассылки, обзвон): форм подписки на Сайте нет, рассылки не ведутся. Такая обработка возможна только при наличии отдельного предварительного согласия субъекта и прекращается немедленно по его требованию (статья 15 152-ФЗ).
• На Сайте не размещаются вакансии и формы направления резюме; персональные данные соискателей и работников через Сайт не собираются и настоящей Политикой не регулируются.

18. Актуализация Политики и заключительные положения

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция Политики размещается на Сайте по адресу https://orkestria.ru и вступает в силу с даты её размещения, если иное не предусмотрено новой редакцией. Субъектам персональных данных рекомендуется периодически знакомиться с действующей редакцией Политики.

Во всём, что не урегулировано настоящей Политикой, Оператор и субъекты персональных данных руководствуются действующим законодательством Российской Федерации, в первую очередь 152-ФЗ. Настоящая Политика является внутренним документом Оператора, подлежащим неограниченному доступу и опубликованию на Сайте в соответствии с частью 2 статьи 18.1 152-ФЗ.

Приложение № 1. Перечень целей обработки персональных данных

По каждой цели обработки ниже приведены категории субъектов персональных данных, перечень обрабатываемых данных, способ обработки, срок хранения и правовое основание. Перечень является исчерпывающим: обработка в иных целях Оператором не осуществляется.

• Цель 1: приём, регистрация и рассмотрение обращения, направленного через форму Сайта, и обратная связь по нему (ответы, разъяснения, предложения по существу обращения). Категории субъектов: физические лица, добровольно направившие обращение через форму Сайта, в том числе потенциальные клиенты и представители потенциальных клиентов. Перечень персональных данных: имя (в том виде, в каком субъект представился); контактные данные по выбору субъекта (адрес электронной почты, номер телефона или идентификатор в мессенджере); текст обращения; отметка о согласии на обработку персональных данных; технические метаданные запроса (IP-адрес, User-Agent, Referer, дата и время получения обращения) и служебный идентификатор обращения. Способ обработки: с использованием средств автоматизации; при подготовке ответа и ведении переписки — также без использования средств автоматизации. Срок хранения: не более 12 (двенадцати) месяцев с даты последнего взаимодействия с субъектом, если обращение не привело к переговорам о заключении договора; при отзыве согласия — в сроки, указанные в разделе 15. Правовое основание: согласие субъекта (пункт 1 части 1 статьи 6 и статья 9 152-ФЗ).
• Цель 2: подготовка к заключению и исполнение договора на оказание услуг, а также совершение действий, направленных на заключение такого договора по инициативе субъекта. Категории субъектов: физические лица, обратившиеся к Оператору с намерением заключить договор, а также представители контрагентов — сторон договора. Перечень персональных данных: имя; контактные данные; сведения, необходимые для подготовки и исполнения договора, сообщённые субъектом в переписке. Способ обработки: с использованием средств автоматизации и без использования таких средств. Срок хранения: в течение срока действия договора и не более 3 (трёх) лет после прекращения обязательств по нему, если более длительный срок хранения не установлен законодательством Российской Федерации. Правовое основание: пункт 5 части 1 статьи 6 152-ФЗ.
• Цель 3: учёт результатов диагностического опроса, приложенных субъектом к обращению, для подготовки предметного ответа и предложения. Категории субъектов: физические лица, направившие обращение и отдельно согласившиеся приложить к нему ответы диагностического опроса. Перечень персональных данных: ответы на вопросы опроса, сформированная по их итогам рекомендация и отметка об отдельном согласии на их приложение. Способ обработки: с использованием средств автоматизации; результат опроса рассчитывается в браузере субъекта. Срок хранения: совпадает со сроком хранения обращения, к которому приложены ответы; при отзыве отдельного согласия — уничтожаются ранее, в сроки раздела 15. Правовое основание: отдельное согласие субъекта (пункт 1 части 1 статьи 6 и статья 9 152-ФЗ); отказ от приложения ответов не препятствует рассмотрению обращения.
• Цель 4: оценка посещаемости Сайта и удобства его использования, улучшение работы Сайта (веб-аналитика). Категории субъектов: посетители Сайта, давшие согласие на веб-аналитику в информационном сообщении об использовании cookie. Перечень персональных данных: IP-адрес, идентификаторы файлов cookie сервиса веб-аналитики, технические сведения о браузере и устройстве (тип, версия, разрешение экрана, язык), источник перехода, просмотренные страницы и время их просмотра, действия на странице (перемещения курсора, клики, прокрутка) и запись сессии средствами технологии «Вебвизор»; данные, введённые в формы Сайта, из записи исключены и в сервис не передаются. Способ обработки: с использованием средств автоматизации, силами сервиса веб-аналитики «Яндекс.Метрика» (ООО «ЯНДЕКС»). Срок хранения: самостоятельного хранения этих сведений Оператор не осуществляет — обработка и хранение производятся сервисом веб-аналитики в соответствии с условиями, публикуемыми ООО «ЯНДЕКС»; при отзыве согласия сбор прекращается, а установленные сервисом файлы cookie удаляются из браузера. Правовое основание: согласие субъекта, выраженное нажатием кнопки «Принять» в информационном сообщении об использовании cookie (пункт 1 части 1 статьи 6 и статья 9 152-ФЗ).

Приложение № 2. Перечень лиц, которым может быть предоставлен доступ к персональным данным

Настоящее приложение раскрывает сведения о лицах, которые имеют доступ к персональным данным субъектов или которым такие данные могут быть раскрыты, — во исполнение права субъекта, предусмотренного частью 7 статьи 14 152-ФЗ.

Лица, перечисленные в настоящем приложении, имеют разный правовой статус. Поставщик услуг размещения действует по поручению Оператора: обработка осуществляется на основании договора, устанавливающего перечень действий с персональными данными, цели обработки, обязанность соблюдать конфиденциальность и требования к защите персональных данных (части 3 и 4 статьи 6 152-ФЗ); ответственность перед субъектом за действия такого лица несёт Оператор. Сервис веб-аналитики обрабатывает сведения о посещении Сайта на основании отдельного согласия субъекта, выраженного в информационном сообщении об использовании cookie, и на условиях, публикуемых самим сервисом; объём поручения Оператора на такую обработку не распространяется.

• Работники Оператора. Роль: приём, рассмотрение обращений и подготовка ответов. Оператор обязуется ограничивать круг лиц, допущенных к обращениям, теми работниками, которым доступ необходим для исполнения их обязанностей, и определять такой перечень внутренним документом. Страна: Российская Федерация.
• ООО «ЯНДЕКС». Роль: предоставление сервиса веб-аналитики «Яндекс.Метрика» (счётчик № 110709068), включая технологию записи действий на странице «Вебвизор»; обрабатывает сведения о посещении Сайта исключительно при наличии согласия субъекта, выраженного в информационном сообщении об использовании cookie; данные, введённые в формы Сайта, из записи исключены и в сервис не передаются. Страна: Российская Федерация.
• Поставщик услуг размещения (хостинг-провайдер), предоставляющий Оператору виртуальный сервер. Роль: размещение Сайта и хранение файла поступивших обращений; доступ к персональным данным носит технический характер и ограничен объёмом, необходимым для обслуживания инфраструктуры. Страна: Российская Федерация.
• Иным лицам персональные данные не передаются, за исключением случаев, предусмотренных законодательством Российской Федерации, в том числе по мотивированным запросам государственных органов, действующих в пределах предоставленных им полномочий.
• Настоящий перечень обновляется одновременно с подключением любого сервиса, получающего доступ к персональным данным субъектов; до внесения изменений в настоящее приложение такой сервис не используется.