ФСБ и ФСТЭК
по персональным данным
в законе и делать бумажки
маленькая компания
в интернете
составлено неправильно
в законе и делать бумажки
маленькая компания
в интернете
составлено неправильно
Проверки приходят без предупреждения, а с июля 2025 года конкуренты начали заказывать проверки — новый вид корпоративного мошенничества.
очень высокий
А конкуренты подают фиктивные жалобы, чтобы вызвать проверки и получить преимущество
от 300 000₽
Роскомнадзоре
Решение под ключ
Минимум ваших усилий, максимум результата: доступная цена, короткие сроки и уверенность при проверке Роскомнадзора.
юридических процессов
на основании ст. 13.1, ст.18.1 ФЗ-152
Более 50 профессиональных документов, которые неоднократно проходили проверки в Роскомнадзоре.
Готовые документы на подпись
Вам не нужно разбираться в законах
Всё происходит полностью автоматически — без вашего участия, что позволяет экономить время и исключить ошибки при ведении документации.
Автоматизация рутины
Доверьте эту работу профессионалам — мы обеспечим полное соответствие и надёжную защиту ваших данных.
Спокойствие и уверенность
Преимущества готового решения
Практико-ориентированные мероприятия
для ИП и ООО с численностью до 10 сотрудников!**
**Цена указана за готовое решение для ИП и ООО имеющих штат до 10 чел и не осуществляющие лицензированную деятельность, включающее комплект документов, регистрацию в РКН, аудит и предоставление программного обеспечения. Иные услуги оплачиваются отдельно.
Уже более 10 лет помогаю компаниям избегать штрафов, проходить проверки и строить надёжную систему защиты данных. Начиная от правильной организации защиты персональных данных, заканчивая сертификацией систем в ФСБ и ФСТЭК.
Работал в Роскомнадзоре, знаю систему изнутри.
Партнер системы информационной безопасности Группы компаний СКБ Контур.
Имею высшее образование по направлениям юриспруденции и информационных технологий, регулярно прохожу повышение квалификации под новые требования законодательства.
Основатель и руководитель проекта DOCMY | Юридические технологии.
DOCMY | Юридические технологии
Юрист по информационной безопасности
Опыт в корпоративном праве более 20 лет. Специалист по сертификации оборудования в ФСБ.
Бывший программист Госкорпорации Ростех.
Наши услуги
New! Готовое решение по персональным данным
New! Готовое решение по персональным данным
- Готовое решение для ИП / ООО...............................................................................................................
- Готовое решение для АО..............................................................................................................................
- Готовое решение для НКО.........................................................................................................................
- Готовое решение для ФГБУ/МУП............................................................................................................
- Готовое решение для ИП / ООО.
- Готовое решение для АО
- Готовое решение для НКО.
- Готовое решение для ФГУБ и МУП
**Работаем с ФГБУ только по 223-ФЗ за счет личных средств (не бюджет).
Организационно-правовые документы для ИП/ЮЛ
Организационно-правовые документы для ИП/ЮЛ
- Комплект организационно-правовых документы по ПДн для ИП/ЮЛ ...............................................
- Комплект документов по ИСПДН для ИП/ЮЛ....................................................................................
- Документы по СКЗИ (Акты и регламенты) ..................................................................................................
- Документы по ГИС с 2026г.............................................................................................................................
- Документы по ПДн для веб-сайта (Политика, куки, пол.согл., форма согласия) ............................
- Доработка договоров и форм согласий под требования 152-ФЗ ..........................................................
- Консультация по персональным данным .......................................................................................................
- Комплект организационно-правовых документы по ПДн для ИП/ЮЛ
- Комплект документов по ИСПДН для ИП/ЮЛ
- Документы по СКЗИ (Акты и регламенты)
- Документы по ГИС с 2026г.
- Документы по ПДн для веб-сайта (Политика, куки, пол.согл., форма согласия)
- Доработка договоров и форм согласий под требования 152-ФЗ
- Консультация по персональным данным
Аудит текущей документации по Пдн
Аудит текущей документации по Пдн
- Аудит документации по ПДн в ИП до 10 чел .......................................................................................
- Аудит документации по ПДн в ИП от 50 чел .......................................................................................
- Аудит документации по ПДн в ЮЛ до 10 чел .......................................................................................
- Аудит документации по ПДн в ЮЛ от 50 чел .......................................................................................
- Аудит документации по ПДн в ИП до 10 чел
- Аудит документации по ПДн в ИП от 50 чел
- Аудит документации по ПДн в ЮЛ до 10 чел
- Аудит документации по ПДн в ЮЛ от 50 чел
Взаимодействие с Роскомнадзором
Взаимодействие с Роскомнадзором
- Подача заявления в реестр Операторов ПДн (уведомление или изменение) ...........................
- Обжалование решения по внесению в реестр.....................................................................................
- Срочная подготовка к документарной проверке................................................................................
- Срочная подготовка к выездной проверке.............................................................................................
- Обжалование решений(штрафов) РКН в порядке надзора.............................................................
- Судебное обжалование решений(штрафов) РКН................................................................................
- Подача заявления в реестр Операторов ПДн (уведомление или изменение)
- Обжалование решения по внесению в реестр
- Срочная подготовка к документарной проверке
- Срочная подготовка к выездной проверке.
- Обжалование решений(штрафов) РКН в порядке надзора
- Судебное обжалование решений(штрафов) РКН
Внедрение автоматизации по учету обработки ПДн для сайта (β*)
Внедрение автоматизации по учету обработки ПДн для сайта (β*)
- Подключение программного обеспечения к сайту (β*) на нашем сервере................................
- Подключение программного обеспечения к сайту (β*) в вашем сервере................................
- Подключение программного обеспечения к сайту (β*) в рамках готового решения.........................
- Подключение программного обеспечения к сайту (β*) на нашем сервере.
- Подключение программного обеспечения к сайту (β*) в вашем сервере.
- Подключение программного обеспечения к сайту (β*) в рамках готового решения
**Цена за неисключительную лицензию составляет 50 000 рублей за год лицензионного договора. Возможны ограничения по уровню защиты сервера.
Лицензирование оборудования в ФСБ или ФСТЭК
Лицензирование оборудования в ФСБ или ФСТЭК
- Лицензирование ИСПДн в Федеральной службе безопасности РФ (до 6 мес).........................
- Сертификация систем ИСПДН в ФСТЭК...........................................................................................
- Проектирование и внедрение систем безопасности данных.......................................................
- Выездной аудит систем безопасности ИСПДн....................................................................................
- Дистанционный аудит систем безопасности ИСПДн................................................................................
- Лицензирование ИСПДн в Федеральной службе безопасности РФ (до 6 мес).
- Сертификация систем ИСПДН в ФСТЭК
- Проектирование и внедрение систем безопасности данных
- Выездной аудит систем безопасности ИСПДн.
- Дистанционный аудит систем безопасности ИСПДн
Интеграция ИСПДн с ЕСИА и ЕБС
Интеграция ИСПДн с ЕСИА и ЕБС
- Интеграция ИСПДн с ЕСИА (Госуслуги) ...........................................................................................
- Интеграция ИСПДн с ЕБС (Единая Биометрическая Система)...................................................
- Интеграция ИСПДн с ЕСИА (Госуслуги)
- Интеграция ИСПДн с ЕБС (Единая Биометрическая Система)
Частые вопросы
ОТВЕТЫ
🤯 Ничего в этом не понимаю, сделаете как нужно?
🤯 Ничего в этом не понимаю, сделаете как нужно?
Вам не нужно разбираться в законах и требованиях — мы оформим всё «под ключ», с учётом особенностей именно вашей компании.
Мы подготовим полный пакет по 152‑ФЗ, включая: политику по персональным данным, приказы, положения, регламенты, инструкции, журналы, паспорта, модель угроз, положения по СКЗИ (если необходимо), зарегистрируем или внесем изменения в реестр оператора персональных данных в Роскомнадзоре.
Вам останется только подписать документы и при необходимости выдать их сотрудникам. Всё просто, быстро и законно!
Какой порядок оплаты? Работаете по договору?
Какой порядок оплаты? Работаете по договору?
- Мы работаем с физическими и юридическими лицами по договору-оферте или договору оказания юридических услуг, при использовании программного обеспечения — по лицензионному договору, а с ФГБУ и государственными учреждениями — в рамках 223-ФЗ без проведения торгов.
- Оплата за услуги осуществляется безналичным способом по счету или через СБП для физических лиц.
- По общему правилу работа ведётся с предоплатой 100% или 50% в зависимости от вида услуг. Мы работаем без НДС, закрывающие документы предоставляются своевременно.
*Для услуги готового решения возможна постоплата при условии подписания договора через ЭДО.
У меня ИП без сотрудников, я попадаю под закон?
У меня ИП без сотрудников, я попадаю под закон?
- Да, даже если у вас ИП без сотрудников, закон о персональных данных (152‑ФЗ) всё равно может вас касаться.
- Если вы собираете и храните персональные данные других людей — например, клиентов, покупателей, подрядчиков, подписчиков — закон 152‑ФЗ на вас распространяется.
- Персональные данные — это любая информация, по которой можно идентифицировать человека: ФИО, телефон, email, паспортные данные и т.д. •
- Даже если у вас нет сотрудников, вы обязаны защищать эти данные и вести документы, подтверждающие, что вы делаете это законно.
- Пакет готовых документов «под ключ» как раз решает эту задачу: политика, приказы, журнал учёта, инструкции — всё подготовлено, чтобы вы соответствовали закону.
💡 Иными словами: собираете данные людей — нужно соблюдать 152‑ФЗ, не важно, есть ли у вас сотрудники или нет.
У нас есть сайт, что поменялось с 1 сентября? Проверите его?
- С 1 сентября 2025 года для сайтов действуют новые требования по обработке персональных данных. Политика обработки персональных данных должна быть оформлена документально внутри компании и иметь гриф принятия — подпись руководителя и дату. Этот документ обязательно должен быть опубликован на сайте. Отсутствие политики или её неподготовленность грозит штрафами от 50 000 рублей. (КоАП 13.11)
- Ранее используемые «политики конфиденциальности» устарели. Сейчас документ должен называться «Политика по обработке персональных данных» и содержать только те положения, которые предусмотрены законом, без лишней информации.
- На сайте необходимо иметь отдельное пользовательское соглашение и согласие на использование cookies. Эти элементы должны быть закреплены документально, чтобы соблюсти требования закона.
- Согласие на обработку персональных данных должно быть отдельным и явным. Пользователь должен самостоятельно поставить галочку, автогалочки запрещены. Это согласие должно быть именно на обработку данных, а не на принятие политики.
- На сайте также должно быть размещено согласие на обработку и передачу данных, включая информацию о передаче данных в государственные сервисы, что станет обязательным с 01.01.2026.
- Все документы и согласия должны быть документально закреплены и храниться в компании, чтобы при проверках можно было подтвердить соответствие требованиям 152‑ФЗ.
Зачем вы ставите программу на сайт? Что она делает?
Зачем вы ставите программу на сайт? Что она делает?
- Наша система автоматически собирает и фиксирует согласия пользователей прямо с формы на сайте и ведёт журнал учёта согласий в автоматическом режиме — без вашего участия.
- Данные хранятся на нашем сервере в зашифрованном виде на оборудовании Курчатовского института и защищены с использованием сертифицированного ФСБ оборудования; для расшифровки требуется секретный ключ.
- Сбор таких согласий с форм на сайте осуществляется в соответствии с новыми требованиями законодательства, вступившими в силу с 1 сентября 2025 года. Мы не передаём данные третьим лицам и обеспечиваем их хранение по современным стандартам безопасности.
Сколько времени занимает разработка и внедрение?
Сколько времени занимает разработка и внедрение?
- Срок разработки документации составляет до 7 рабочих дней, однако в большинстве случаев мы успеваем в 2–4 рабочих дня. Конкретные сроки зависят от сложности и объёма документации.
- Срок внедрения документов начинается от 1 дня и зависит от объёма пакета, количества сотрудников и организационно‑правовой формы компании.
- Все документы будут подготовлены таким образом, чтобы вы могли сразу внедрять их в компании и ознакомить сотрудников. Мы изучим специфику вашей компании и внесём все необходимые данные в документы, чтобы они полностью соответствовали вашим требованиям и закону.
Какой перечень документов в готовом решении?
Какой перечень документов в готовом решении?
- Организационно правовые приказы, к ним относятся приказы о назначении ответственных лиц, распределении доступа, формировании испдн, принятии документов. и другие.
- Положения (о ПДн, ИСПДн, СКЗИ), и различные регламенты.
- Инструкции (более 12 видов)
- Журналы (более 10 видов)
- Документы по ИСПДн (от моделей угроз до актов и паспорта ИСПДн)
- Документы по СКЗИ (для эл. подписи, при наличии)
- Документы для сайта (Политика, соглашения и др.)
- Формы согласий: шаблоны для сотрудников, клиентов и сайта под Вашу деятельность.
- ГИС 2025 (Документы для взаимодействия с госсистемами)
Мы будем защищены от проверок?
Мы будем защищены от проверок?
Однако мы готовим Вашу компанию к возможной проверке по-максимальному перечиню пунктов организационных мероприятий, чтобы у проверяющих не было вопросов, в случае возникновения проверки.
Наши документы неоднократно проходят проверки в Роскомнадзоре и при правильном их ведении, у проверяющих не будет вопросов к Вашей компании.
Например, по одной из наших жалоб на акт проверки, после предоставления всей документации, акт проверки был отменен в части грубых нарушений. И предприниматель избежал штрафов, отделавших только предписаниями на устранение несущестеных нарушений.
в области защиты персональных данных
на консультацию
мессендежре
Контакты
Услуги
Штрафы за ПДн выросли в десятки раз — риски высоки!
С июня 2025 года вступили в силу положения Федерального закона № 420-ФЗ, резко усилившие ответственность за нарушение требований обработки персональных данных.
АС МПДн — это автоматизированная система Роскомнадзора, которая:
- в круглосуточном режиме сканирует сайты российских компаний и ИП;
- автоматически выявляет нарушения законодательства;
- передаёт информацию в территориальные органы для проверок.
🚫 Что видит система?
❌ Нет политики обработки ПДн на сайте
❌ Нет согласия пользователя (чекбоксы, оферты, тексты)
❌ Нет SSL-сертификата (не защищено https)
❌ Не подано уведомление в Роскомнадзор
Даже новые сайты и рекламные кампании Яндекс.Директ, ВКонтакте, таргет и др. моментально попадают под мониторинг.
⚠️ Что происходит при нарушении?
- Нарушение фиксируется в АС ОЗПДн (система фиксации нарушений) и автоматически передаётся в Роскомнадзор
- Назначается внеплановая проверка. Проверяется весь комплект документации по: 152-ФЗ, 149-ФЗ, 63-ФЗ, приказам ФСТЭК, РКН, ФСБ
- Возможные последствия: предписания или штрафы от 300 000 руб, блокировка сайта!
⚠️ СХЕМА МОШЕННИЧЕСТВА ПОД ПРИКРЫТИЕМ “ПЕРСОНАЛЬНЫХ ДАННЫХ”
Как работает?
1.Подача жалобы от фейкового «пользователя». Мошенники (или нанятые лица конкурентами) от имени гражданина:
- отправляют жалобу в Роскомнадзор через официальный сайт или Госуслуги;
- указывают, что якобы на сайте нарушены их права:
Иногда добавляют: «Мне не ответили на запрос об удалении моих ПДн» — это тоже формальное нарушение.
2.РКН на основании жалобы выдает распоряжение о проведении внеплановой проверки.
3.Связь с компанией — “помощь” за деньги.
После регистрации компании в реестре операторов РКН с компанией связывается “юрист” или “эксперт”:
- якобы узнал о жалобе/проверке через реестр;
- предлагает “решить вопрос с РКН” за крупную сумму;
- обещает “влияние”, “отмену проверки”, “быстрое урегулирование”.
Будьте внимательны!
Проверьте свою документацию ЗАРАНЕЕ в компании и сайт на соответствии всем нормам законодательства в области защиты ПДн, чтобы не быть уязвимыми перед проверками и мошенниками!
По официальным данным РКН, только в 1 квартале 2025 года выявлено более 20 000 нарушений
Ссылка на отчет РКН (стр. 21 пресс-релиза Госдумы за июнь 2025)
С 1 сентября 2025 года вступили в силу важные изменения в Федеральный закон № 152-ФЗ «О персональных данных».
Они касаются буквально всех — от малого бизнеса и НКО до школ и госорганов.
Теперь операторам нужно внимательнее подходить к тому, как брать согласия и что делать с обезличенными данными.
Разберём всё по-человечески: что именно поменялось, где подводные камни и как быстро подготовиться.
🔹 1. Согласие теперь — только отдельным документом для ФИЗИЧЕСКИХ ЛИЦ
Главная новость: встроенные пункты и подписи под договором больше не считаются согласием на обработку персональных данных.
Теперь согласие должно быть отдельным документом, а не частью анкеты, пользовательского соглашения или договора.
Эти изменения внесены Федеральным законом № 156-ФЗ от 24 июня 2025 года, который дополнил статью 9 закона о персональных данных.
Что теперь должно быть в согласии:
- ФИО и документ, удостоверяющий личность субъекта;
- наименование оператора и его контакты;
- цель обработки;
- конкретный перечень персональных данных;
- сроки и порядок обработки;
- права субъекта и ответственность оператора.
Нарушение этих требований теперь будет отдельным составом административного правонарушения.
⚠️ Проще говоря — если «согласие» встроено в договор, это уже повод для штрафа.
🔹 2. Новая обязанность: передавать обезличенные данные в государственную систему
Это, пожалуй, самое заметное новшество.
Теперь по требованию Минцифры России оператор обязан передавать обезличенные персональные данные в специальную Государственную информационную систему (ГИС).
Для этого в закон добавлена новая статья 13.1.
Что это значит на практике:
- появилось официальное понятие «обезличенные персональные данные» — данные, из которых невозможно установить личность человека;
- формируются специальные датасеты — обезличенные наборы данных, которые можно использовать для госаналитики и исследований;
- определены требования к методам обезличивания — приказом Роскомнадзора № 140 от 19.06.2025.
Важно помнить: не всё можно обезличивать.
Из этого правила есть исключения — например, биометрические данные, сведения о здоровье и иные чувствительные категории.
⚠️ Подводные камни и риски
- Старые согласия остаются действительными. Всё, что было оформлено до 1 сентября 2025 года, менять не нужно. Новые правила действуют только на согласия, оформленные после этой даты.
- Ошибки в обезличивании. Если данные «обезличили» неправильно — например, просто заменили фамилии звёздочками — это всё ещё персональные данные. За их утечку и неправомерную обработку отвечает оператор.
- Запросы от Минцифры. Ответить придётся быстро — «разумный срок» законом не уточнён, но задержки могут расценить как нарушение.
- Иллюзия обезличенности. Даже если данные кажутся обобщёнными, иногда по совокупности признаков можно вычислить человека. Поэтому методы обезличивания должны быть формально утверждены.
✅ Что нужно сделать уже сейчас
- Проверить все формы и документы. Пройдитесь по анкетам, договорам, сайтам, CRM — и уберите встроенные согласия.
- Создать новый шаблон отдельного согласия. В нём должны быть все реквизиты, предусмотренные статьёй 9 ФЗ-152 в новой редакции.
- Разобраться с обезличиванием. Определите, какие данные можно обезличить, и выберите правильные методы по приказу № 140.
- Провести внутренний аудит. Осмотрите, где в компании вообще обрабатываются персональные данные — HR, маркетинг, аналитика, бухгалтерия.
- Настроить процессы на случай запросов от Минцифры. Чтобы не бегать потом в панике, стоит заранее прописать порядок действий и ответственных лиц.
- Обучить сотрудников. Особенно тех, кто работает с договорами, клиентскими формами и электронными сервисами.
💡 В двух словах
С 1 сентября 2025 года:
- согласие — только отдельным документом;
- появилось обязательство передавать обезличенные данные в ГИС;
- Роскомнадзор утвердил официальные методы обезличивания;
- старые согласия остаются в силе, но новые нужно оформлять по-новому.
📌 Итог
Изменения в законе — это не просто «новая бумажка», а перестройка всей системы сбора и использования данных.
Теперь операторы должны не просто защищать персональные данные, но и грамотно управлять ими, в том числе обезличенными.
📋 Если у вас ещё нет актуальных шаблонов согласий, положений и инструкций — самое время их обновить.
Так вы избежите штрафов и покажете, что работаете по-взрослому, по закону и с уважением к данным клиентов.
Всегда готовы помочь Вам привести компанию в соответствие с последними изменениями законодательства!
Многие делали это спешно — «лишь бы успеть» и «чтобы не было штрафа». Узнали себя?
Но выясняется: ошибки были не в сроках, а в содержании заявлений.
И именно за это в ближайшее время начнут штрафовать.
Разберём, где компании ошиблись и как всё исправить, пока не поздно.
Ошибка №1. Заявление не соответствует реальной деятельности
Большинство операторов подавали заявки по типовым шаблонам из интернета.
Там стояло стандартное:
«Обрабатываются персональные данные сотрудников и клиентов. Цель — кадровый и бухгалтерский учёт.»
Но если в реальности вы:
- работаете с ЭДО (Диадок, СБИС, 1С-Отчётность),
- используете усиленную квалифицированную подпись (УКЭП),
- ведёте сайт с формами обратной связи,
- запускаете рекламу через Яндекс или VK,
— а в заявлении этого нет, значит, сведения в реестре не соответствуют фактической деятельности.
📍 А это уже нарушение, предусмотренное частью 3 статьи 13.11 КоАП РФ — штраф от 300 000 рублей (для юрлиц).
💡 Почему это теперь легко проверить
Раньше никто не сверял, что вы там написали в заявлении. РКН массово принимал заявления.
Но с осени в 2025 году всё изменилось:
- ФНС теперь передаёт в Роскомнадзор данные об организациях, использующих электронную подпись. Если в заявлении вы указали «шифрование и средства криптографической защиты не применяются» — в налоговой числится УКЭП — это несоответствие, и РКН это видит.
- Рекламные системы (Яндекс Директ, VK Реклама) по 347-ФЗ передают в РКН сведения об операторах рекламы. Если у вас есть активные рекламные кампании, но в заявлении нет цели «осуществление рекламной деятельности» — это ещё одно нарушение.
- Проверяются также сайты и публичные формы: если на сайте есть сбор данных, а в заявлении указано только «кадровый учёт» —
Ошибка №2. Указаны неполные способы и методы обработки
В заявлении в РКН вы обязаны перечислить способы обработки персональных данных — например, сбор, систематизация, хранение, передача, блокирование, уничтожение и т.д.
Но в типовых шаблонах часто указано всего 2–3 пункта — а фактически компания обрабатывает гораздо шире (включая передачу по сети Интернет, использование СКЗИ, хранение в CRM и облаках).
📌 Пример: В заявлении написано «обработка без автоматизации», а в жизни — CRM, ЭДО, электронные формы, корпоративная почта. Это формально ложные сведения.
Ошибка №3. Забыли про цели обработки
Многие организации ограничились одной фразой:
«Кадровый и бухгалтерский учёт».
Но это только малая часть реальной картины.
Если вы:
- заключаете договоры с клиентами и подрядчиками,
- ведёте переписку и учёт обращений,
- размещаете рекламу и собираете лиды на сайте,
- используете онлайн-записи, CRM, рассылки,
- храните данные
- передаете отчетность в ФНС.
Всё это — отдельные цели обработки, и они должны быть отражены в заявлении.
Роскомнадзор прямо указывает: если цели в заявлении не соответствуют фактическим, оператор подлежит проверке.
Ошибка №4. Не обновляют заявление ежегодно
Многие компании думают:
«Один раз подали — и всё, забыли». На самом деле по пункту 7 статьи 22 ФЗ-152 оператор обязан держать сведения в реестре актуальными.
То есть если вы изменили:
- перечень обрабатываемых данных,
- цели обработки,
- применяемые меры защиты,
- или начали использовать новые сервисы (например, чат-боты, рекламу, CRM), — заявление нужно обновить.
Рекомендуется делать это не реже одного раза в год.
Роскомнадзор сам напоминает об этом на своих семинарах и письмах.
⚠️ Чем это грозит
Неправильное или устаревшее заявление = неверные сведения в государственном реестре.
А это:
- основание для проверки;
- штраф по КоАП;
- дополнительный риск при утечках или жалобах субъектов данных.
В некоторых случаях Роскомнадзор даже аннулирует регистрацию оператора и требует подать заявление заново с правильными данными.
✅ Что делать сейчас
- Проверьте своё заявление в реестре операторов ПДн на сайте Роскомнадзора. Сверьте, что написано — и что вы реально делаете.
- Обновите цели и методы обработки. Укажите всё: сайт, рекламу, ЭДО, использование электронной подписи, CRM, видеонаблюдение (если есть).
- Перепроверьте меры защиты. Если вы применяете УКЭП или шифрование — это надо отметить.
- Обновляйте ежегодно. Даже если ничего не поменялось — сделайте ревизию, чтобы убедиться, что всё соответствует факту.
- Храните копию актуального заявления и подтверждение отправки. Это поможет, если РКН задаст вопросы.
Мы помогаем профессионально внести изменения в текущий реестр после аудита Вашей компании.
«Нажимая кнопку, вы даёте согласие на обработку персональных данных» — больше не работает.
То, что раньше считалось нормой, теперь может стать основанием для штрафа.
Разберём, почему галочки и тексты под кнопками больше не спасают — и как сделать всё правильно.
Что изменилось с осени:
Федеральный закон № 156-ФЗ от 24 июня 2025 года внёс правки в статью 9 закона № 152-ФЗ «О персональных данных».
Теперь согласие субъекта должно быть отдельным и осознанным действием, а не «по умолчанию» при отправке формы, анкеты или заказа.
📍 Проще говоря:
- Нельзя считать, что человек дал согласие, просто кликнув «Отправить».
- Согласие не может быть встроено в текст формы, договора или пользовательского соглашения.
- Согласие должно быть подтверждено отдельным действием — например, установкой галочки в отдельном поле.
🔹 Как теперь правильно оформлять формы
Было (так делать больше нельзя):
[Имя] [Телефон] [Кнопка «Отправить»]
Нажимая кнопку, вы соглашаетесь с политикой конфиденциальности и даёте согласие на обработку персональных данных.
⚠️ Ошибка: такое согласие считается недействительным, потому что пользователь не совершает отдельного действия, направленного именно на согласие.
Стало (как правильно с 1 сентября 2025 года):
[Имя] [Телефон]
☑️ Я даю согласие на обработку моих персональных данных для целей, указанных в [Политике обработки персональных данных].
[Кнопка «Отправить»]
📌 Главное:
- галочка должна стоять отдельно,
- пользователь сам ставит её вручную,
- текст согласия должен указывать на цели обработки,
- ссылка — на Политику обработки персональных данных,
- а не «Политику конфиденциальности».
⚠️ Важный момент: «Политика конфиденциальности» ≠ «Политика обработки персональных данных»
Это частая путаница.
Политика конфиденциальности может быть любой — хоть о cookie, хоть о партнёрских программах.
Но закон требует ссылаться именно на Политику обработки персональных данных,
которая описывает:
- цели и правовые основания обработки,
- перечень данных,
- порядок хранения,
- права субъекта,
- и контакты оператора.
📍 Поэтому фраза вроде:
«Я согласен с политикой конфиденциальности» теперь юридически ничего не значит и не считается согласием по ФЗ-152.
💡 Что ещё нужно учесть
- Никаких «скрытых» галочек. Галочка должна быть пустой по умолчанию, пользователь сам её отмечает.
- Отдельная галочка для каждого вида согласия. Например: если вы собираете данные для обратной связи и для рассылки — должно быть два отдельных согласия.
- Фиксируйте факт согласия. Лучше сохранять лог, дату и IP-адрес — чтобы подтвердить, что пользователь сам поставил галочку.
- Ссылка должна вести на актуальную Политику. Проверяйте, что страница доступна и содержит актуальные данные об операторе.
🧩 Почему это важно
Роскомнадзор уже предупреждает: массовые автоматические проверки сайтов начнутся в конце 2025 года, и основное внимание будет уделено именно формам обратной связи и онлайн-заявкам.
Если форма оформлена неправильно:
- согласие считается неполученным,
- данные собраны без законного основания,
- возможен штраф до 75 000 ₽ (ст. 13.11 КоАП РФ).
✅ Что сделать прямо сейчас
- Проверьте все формы на сайте — обратная связь, заявки, подписки, регистрация.
- Уберите формулировки «Нажимая кнопку, вы соглашаетесь…».
- Добавьте отдельную галочку с чёткой фразой: «Я даю согласие на обработку моих персональных данных для целей, указанных в Политике обработки персональных данных».
- Ссылку укажите именно на Политику обработки ПДн, а не на «конфиденциальность».
- Обновите политику, если в ней не прописаны конкретные цели обработки.
Обычная галочка под формой теперь — юридически значимое действие.
Если её нет, то пользовательское согласие считается неполученным, а обработка персональных данных — незаконной.
Проводим комплексный аудит Вашего сайта и поможем привести его в соответствие с последними нормами законодательства!
Сейчас проверки всё чаще начинаются… по жалобе от конкурентов, бывших работников и даже «обиженных» клиентов.
Кто подаёт жалобы.
За последние месяцы количество обращений в Роскомнадзор выросло в разы.
Жалуются:
- Конкуренты — чтобы «подрезать» бизнес или создать вам проблемы;
- Бывшие сотрудники — часто пишут, что их персональные данные использовались неправомерно;
- Клиенты, которым просто не понравился сервис — в заявлении через «Госуслуги» пишут, что им не объяснили, зачем собирали паспортные данные или номер телефона и они ничего не подписывали;
- И даже мошенники, которые специально отправляют жалобу, а потом звонят с «предложением помочь».
Как это выглядит на практике
- Жалоба через “Госуслуги” — любому человеку достаточно пары кликов, чтобы отправить заявление в Роскомнадзор. В нём указывают: «Я бывший клиент компании, мои персональные данные обрабатывают без согласия».
- Роскомнадзор получает обращение и автоматически проверяет, зарегистрирована ли ваша компания как оператор ПДн. Если регистрации нет — приходит первое письмо: «Предоставьте пояснения и документы». Если есть — начинается документарная проверка. А в некоторых случаях — выездная.
«Письма счастья» стали реальностью
Проверка начинается с простого запроса:
«Просим представить документы, подтверждающие организацию обработки персональных данных».
И дальше — список из от 10 до 90 пунктов: политика, положения, согласия, приказы, журналы, регламенты, модель угроз
Если документов нет или они «для галочки» — готовьтесь к штрафам, суммарно штрафы на проверках могут достигать несколько миллионов.
Появились мошенники
На фоне этой волны активизировались мошенники, которые представляются «юридическими компаниями».
Они звонят или пишут:
«В реестре увидели, против вашей компании началась проверка Роскомнадзора. Мы можем срочно всё закрыть, но нужно оплатить наши услуги».
Цена — от 50 до 500 тысяч рублей.
Обещают «помочь» и «уладить», и вовсе исчезают после оплаты.
⚠️ Важно: настоящие уведомления и проверки приходят только:
- через систему межведомственного взаимодействия (ЭДО) или заказным письмом.
- Реестр плановых проверок РКН не работает из-за моратория. Внеплановые проверки нигде не публикуют.
- Никаких «срочных звонков» и «проверок по телефону» не существует.
Что нужно сделать прямо сейчас
- Проверьте, зарегистрирована ли ваша компания в Роскомнадзоре. Это можно сделать через официальный реестр операторов ПДн.
- Проверьте актуальность уведомления. Оно должно отражать все цели: сайт, клиенты, реклама, ЭДО, договора.
- Подготовьте документы по персональным данным. Проверяющие запрашивают полные комплекты — политика, положения, журналы, инструкции, приказы.
- Назначьте ответственного и обучите сотрудников. Часто проверка начинается с вопросов менеджерам или администраторам.
- Не ведитесь на «помощников» из звонков и электронных рассылок. Проверяйте адрес, реквизиты и всегда уточняйте, есть ли реальное письмо от РКН запросом в РКН. Помните, любые письма можно подделать.
Изменения в КоАП вступили в силу с 1 июня 2025 года и новые постановления привели к тому, что штрафы теперь в 10–20 раз выше, чем раньше — и касаются не только крупных компаний, но и ИП, физ лиц, онлайн-магазинов, школ, медицинских центров, СТО, салонов, турагентств — всех, кто хоть раз собрал данные клиента.
Что изменилось
Теперь ответственность предусмотрена за каждый факт нарушения, а не «в целом за компанию».
То есть, если вы:
- не зарегистрированы в Роскомнадзоре,
- не оформили согласие правильно,
- не разместили политику на сайте,
- не защищаете данные,
- то штраф может быть по каждому пункту отдельно.
Новые размеры штрафов:
- 🔹 от 100 000 до 300 000 ₽ — за отсутствие уведомления оператора ПДн;
- 🔹 до 500 000 ₽ — за неправомерную обработку данных без согласия;
- 🔹 до 700 000 ₽ — за утечку персональных данных;
- 🔹 до 1 000 000 ₽ — за повторные нарушения или отсутствие мер защиты.
А раньше, напомним, эти суммы не превышали 500–30 тысяч рублей.
Почему компании начали получать «письма счастья»
Роскомнадзор активно сравнивает сведения:
- реестр операторов ПДн,
- данные из ФНС,
- рекламу из Яндекс.Директ и VK,
- формы с сайтов и CRM.
А дальше приходит знакомое письмо:
«Просим в течение 10 дней представить документы, подтверждающие организацию обработки персональных данных».
И вот уже началась документарная проверка.
Как выглядят типичные нарушения
- Политика конфиденциальности — копия из интернета, без реквизитов компании, без целей, без перечня данных.
- Согласие на обработку встроено в кнопку («нажимая, вы соглашаетесь…») — с 1 сентября 2025 года это уже нарушение.
- В уведомлении указана только “кадровая обработка”, хотя есть клиенты, реклама и CRM.
- Нет модели угроз и приказов о назначении ответственного.
- ПДн сотрудников хранятся в открытых папках, без ограничений доступа.
Каждый пункт — это отдельное основание для штрафа.
⚠️ Новая тенденция: «автоматические проверки»
С 2025 года Роскомнадзор внедрил систему автоматического мониторинга сайтов.
По официальным данным РКН, только в 1 квартале 2025 года выявлено более 20 000 нарушений
Ссылка на отчет РКН (стр. 21 пресс-релиза Госдумы за июнь 2025)
Она проверяет:
- наличие политики,
- формы обратной связи,
- корректность ссылок на согласие.
Если что-то не соответствует требованиям, компания включается в список для внеплановой проверки.
Как избежать штрафа
- Проверьте, зарегистрирована ли ваша компания как оператор ПДн — можно по реестру на сайте Роскомнадзора.
- Обновите уведомление — укажите реальные цели: сайт, клиенты, реклама, ЭДО, CRM.
- Приведите в порядок политику и формы согласия на сайте — с отдельной галочкой и правильной формулировкой.
- Назначьте ответственного за защиту ПДн приказом.
- Проведите внутренний аудит — проверьте, где реально обрабатываются данные.
- Обучите сотрудников — незнание теперь не освобождает от ответственности.
Проводим комплексный аудит Вашей компании и поможем привести все в соответствие с последними нормами законодательства!
Кота Кирилла Алексеевича
АТиСО г. Москвы 2019
КУбГУ г. Краснодара 2023
в области защиты персональных данных
на консультацию
мессендежре
Отправляя заполненную форму на сайте, я подтверждаю, своей волей и в своих интересах, в соответствии с положениями статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», даю своё согласие на обработку моих персональных данных, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, обезличивание, блокирование, удаление и уничтожение.
Настоящим свободно, своей волей и в своём интересе даю согласие
на передачу моих персональных данных в государственные органы и информационные системы
Оператора, включая, но не ограничиваясь:
• Государственные информационные системы (ГИС) Госуслуги;
• Федеральную службу государственной статистики (Росстат);
• иные органы государственной власти и внебюджетные фонды, предусмотренные действующим законодательством РФ;
• Третьим лицам, перечень которых утвержден в Приложении №2 к Политике по обработке персональных данных,
доступной по публичному адресу в сети интернет .
Обработка и передача моих персональных данных осуществляется с целью:
• заключение, исполнение и прекращение договоров на оказание услуг, работ;
• идентификация при взаимодействии с организацией;
• направление информационных и уведомительных сообщений (включая по электронной почте и телефону);
Обработка может осуществляться как с использованием средств автоматизации, так и без них. Перечень персональных данных, разрешённых к обработке и передаче: фамилия, имя, отчество (при наличии), номер контактного телефона, а также автоматически собираемые cookie-файлы (идентификаторы сессий, предпочтения, поведение на сайте) и технические данные (IP-адрес, тип устройства, браузер, дата и время визита) в целях обеспечения обратной связи, функционирования и безопасности сайта, проведения аналитики и улучшения пользовательского опыта, иные персональные данные, которые субъект пожелал сообщить о себе и обработка которых соответствует цели обработки.
Я уведомлён(а), что: могу в любой момент отозвать согласие, направив письменное заявление по адресу электронной почты: , отказ от рекламных рассылок не влияет на получение сервисных уведомлений и сообщений, связанных с оформлением и исполнением заказов или договоров.
Настоящее согласие действует бессрочно до момента его отзыва, если иное не установлено законодательством
РФ или соглашением сторон. Я подтверждаю, что ознакомлен(а) с:
1) Политикой обработки персональных данных Оператора, доступной по публичному адресу в сети интернет
;
2) Тем, что передача данных третьим лицам осуществляется только на законных основаниях и в объёме,
необходимом для целей обработки;
3) Я уведомлён(а), что могу отозвать согласие на обработку персональных данных путём подачи письменного
заявления в адрес на электронный адрес ;
3) Настоящим свободно, своей волей и в своих интересах, в соответствии с положениями п.4 ст.13.1. Федерального
закона от 27.07.2006 № 152-ФЗ «О персональных данных» даю согласие на внесение моих персональных данных
в государственные информационные системы (ГИС) с соблюдением требований законодательства, начиная с 1 сентября
2025 года, включая случаи, когда данные могут быть использованы в обезличенном виде.
Настоящее пользовательское соглашение (далее — Соглашение) определяет порядок и условия использования материалов и сервисов, размещённых в сети Интернет по адресу между Пользователями (как этот термин определён ниже) данного Сайта. Использование Пользователями Сайта означает, что они безоговорочно принимают и обязуются соблюдать все условия настоящего Соглашения.
1.Общие положения
1.1. В настоящем Соглашении, если из текста Соглашения прямо не вытекает иное, следующие указываемые в письменной форме с заглавной буквы слова и выражения, используемые при взаимодействии сторон в ходе исполнения обязательств, будут иметь указанные ниже значения:
Администратор — компания указанная в разделе №11 Соглашения, которой принадлежат все соответствующие права на Сайт.
Акцепт — полное и безоговорочное принятие условий настоящего Соглашения, размещённого на Сайте по адресу , осуществляемое путём совершения Пользователем любых действий по использованию Сайта.
Аутентификационные данные Пользователя — логин (номер мобильного телефона / адрес электронной почты Пользователя) и пароль (код доступа, который направляется Пользователю на указанный им в качестве логина номер мобильного телефона или адрес электронной почты), которые в совокупности признаются простой электронной подписью Пользователя. Пользователь самостоятельно обеспечивает сохранность своих Аутентификационных данных, а также возможность получения направляемых ему кодов доступа.
Пользователь — лицо, осуществляющее доступ к Сайту и использующее материалы и сервисы, размещённые на Сайте.
Контент — любое информационно значимое наполнение Сайта, включая, но не ограничиваясь, фото, аудио, видео, текст и иные медиаматериалы.
Личный кабинет — персонализированная часть Сайта, посредством которой обеспечивается обмен информацией и документацией в электронном виде между Пользователем и Сайтом. Доступ к Личному кабинету осуществляется путём ввода Пользователем Аутентификационных данных.
Персональные данные — любая информация, относящаяся к определённому или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, день и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.
Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Сайт — ресурс в сети Интернет, представляющий собой совокупность содержащихся в информационной системе информации и объектов интеллектуальной собственности (в том числе программа для ЭВМ, база данных, графическое оформление интерфейса (дизайн) и др.), доступ к которому обеспечивается с различных пользовательских устройств, подключённых к сети Интернет, посредством специального программного обеспечения для просмотра веб-страниц (браузер) по сетевому адресу
1.2. Все остальные термины и определения, встречающиеся в тексте Соглашения, толкуются в соответствии с действующим законодательством Российской Федерации.
2. Предмет соглашения
2.1. В соответствии с настоящим Соглашением Администратор предоставляет любому Пользователю право безвозмездного использования Сайта любым способом и в любой форме в пределах его объявленных функциональных возможностей и на условиях, изложенных в настоящем Соглашении.
2.2. Использование Сайта осуществляется в соответствии с принятым в мировой правоприменительной практике принципом «как есть» (as is). В соответствии с данным принципом никакие гарантии, что Сайт будет соответствовать всем требованиям Пользователя, работать непрерывно, быстро и без ошибок; результаты, которые могут быть получены с использованием Сайта, будут точными и надёжными не прилагаются и не предусматриваются.
2.3. Пользователь считается присоединившимся к настоящему Соглашению в соответствии с положениями статьи 438 ГК РФ, получая доступ к материалам и сервисам Сайта и осуществляя использование Сайта любым способом и в любой форме в пределах его функциональных возможностей, включая:
2.3.1. просмотр материалов, размещённых на Сайте;
2.3.2. использование сервисов Сайта;
2.3.3. регистрация в Личном кабинете;
2.3.4. направление любых сообщений с использованием онлайн-форм на Сайте;
2.3.5. иное использование Сайта.
2.4. Используя Сайт в порядке, предусмотренном п. 2.3 Соглашения, Пользователь подтверждает, что:
2.4.1. ознакомился с условиями настоящего Соглашения в полном объёме до начала использования Сайта;
2.4.2. безоговорочно принимает все условия настоящего Соглашения в полном объёме без каких-либо изъятий и ограничений, а также обязуется соблюдать их или прекратить использование Сайта в случае несогласия с условиями настоящего Соглашения.
2.5. Никакое из положений Соглашения не может трактоваться как установление между Администратором и Пользователем агентских отношений, отношений по ведению совместной деятельности или каких-либо иных правоотношений, прямо не предусмотренных настоящим Соглашением.
2.6. Все возможные споры, вытекающие из настоящего Соглашения или связанные с ним, подлежат разрешению в соответствии с действующим законодательством Российской Федерации.
2.7. Порядок исполнения обязательств, возникающих в соответствии с иными договорами, заключаемыми между Пользователем и Администратором, устанавливается в таких договорах.
3.Регистрация на сайте
3.1. Для использования отдельного функционала Сайта Пользователю необходимо пройти процедуру регистрации, в результате которой ему будет предоставлен персональный доступ в Личный кабинет.
3.2. В процессе регистрации Пользователь обязуется достоверно и полно заполнить информацию о себе по вопросам, предлагаемым в форме регистрации, и поддерживать эту информацию в актуальном состоянии. Если Пользователь предоставил неверную информацию или у Администратора есть основания полагать, что предоставленная Пользователем информация неполна или недостоверна, Администратор имеет право по своему усмотрению заблокировать доступ в Личный кабинет либо удалить учётную запись Пользователя и отказать Пользователю в использовании отдельного функционала Сайта.
3.3. Администратор вправе потребовать от Пользователя подтверждения данных, указанных при регистрации, и запросить в связи с этим подтверждающие документы. В случае если данные Пользователя, указанные в предоставленных им документах, не соответствуют данным, указанным при регистрации, а также в случае, когда данные, указанные при регистрации, не позволяют идентифицировать Пользователя, Администратор вправе отказать Пользователю в доступе в Личный кабинет и использовании Сайта.
3.4. Пользователь подтверждает и гарантирует, что все действия, предусмотренные для Пользователя настоящим Соглашением, совершаются лицом, чьи данные направлены Администратору при прохождении процедуры регистрации.
3.5. Пользователь самостоятельно несёт ответственность за безопасность и сохранность своих Аутентификационных данных. Пользователь самостоятельно несёт ответственность за все действия (а также их последствия) при использовании Сайта под Аутентификационными данными Пользователя, такие действия считаются произведёнными самим Пользователем.
3.6. Пользователь обязан немедленно уведомить Администратора о любом случае несанкционированного доступа к Личному кабинету Пользователя и (или) о любом нарушении (подозрениях о нарушении) конфиденциальности своего пароля.
3.7. Пользователь не вправе воспроизводить, повторять и копировать, продавать и перепродавать, а также использовать для каких-либо коммерческих целей Сайт, его Контент или доступ к нему, кроме тех случаев, когда Пользователь получил такое разрешение от Администратора либо когда это прямо предусмотрено настоящим Соглашением.
3.8. При регистрации на Сайте Пользователь даёт согласие на получение от Администратора рассылок, пуш-уведомлений, смс-уведомлений и иных уведомлений рекламно-информационного характера. Настройка параметров рассылки (периодичность получения, возможность и способы отказа от рассылки и пр.) будет возможна для Пользователя непосредственно через сообщения на электронную почту Администратора или по телефону. Рассылки поступают в виде электронного письма на адрес, звонка и (или) короткого сообщения (смс, пуш или аналог) на номер телефона, указанный Пользователем при регистрации. Рекламно-информационные материалы могут предоставляться в виде бумажно-полиграфической и сувенирной продукции, вкладываться в заказы клиентов и доставляться на указанный почтовый адрес в виде писем и посылок.
4. Права и обязанности администратора
4.1. В целях повышения качества Сайта Администратор или действующие по его поручению лица вправе осуществлять сбор мнений и отзывов Пользователей по различным вопросам путём направления информационных сообщений при очередном посещении Пользователем Сайта либо осуществления связи по контактным данным, указанным Пользователем при регистрации Личного кабинета, посредством телефонных звонков или электронных писем. Собранные мнения и отзывы могут быть использованы для формирования статистических данных, которые могут быть использованы в сервисах, реализуемых на Сайте. Отзывы, предоставленные Пользователем при проведении опроса, также могут быть опубликованы (или обнародованы иным способом) Администратором.
4.2. Администратор вправе направлять на адрес электронной почты и (или) абонентский номер Пользователя информационные сообщения, в том числе, но не ограничиваясь, сообщения, связанные с функционированием Сайта, уведомления, связанные с исполнением договоров, заключённых с Пользователем, информацию о восстановлении пароля и т. д. Подтверждением согласия Пользователя на получение от Администратора указанных в настоящем пункте информационных сообщений является принятие условий Соглашения.
4.3. Администратор оставляет за собой право заблокировать Личный кабинет Пользователя в соответствии с условиями Соглашения либо в случае нарушения Пользователем условий настоящего Соглашения.
4.4.Сайт или его сервисы могут быть в то или иное время частично или полностью недоступны по причине проведения профилактических или иных работ или по любым другим причинам технического характера. Администратор вправе производить модификацию любого программного обеспечения Сайта, проводить необходимые профилактические или иные работы, приостанавливать работу Сайта в то или иное время по личному усмотрению с предварительным уведомлением Пользователя или без такового.
4.5. Администратор не несёт ответственности за любые ошибки, упущения, прерывания, удаление, дефекты, задержку в обработке или передаче данных, сбое линий связи, кражу, уничтожение или неправомерный доступ к информации Пользователя, размещённой на Сайте или в любом другом месте. Администратор не отвечает за любые технические сбои или иные проблемы любых телефонных сетей или служб, компьютерных систем, серверов или провайдеров, компьютерного или телефонного оборудования, программного обеспечения, сбоев сервисов электронной почты или скриптов по техническим причинам.
4.6. В течение срока действия настоящего Соглашения Администратор предпримет все усилия для устранения каких-либо технических сбоев и ошибок в случае их возникновения в разумный срок. При этом Администратор не гарантирует полного отсутствия технических ошибок и сбоев по причинам, вызванным неисправностью оборудования, некорректной работой программного обеспечения либо программной среды.
4.7. Пользователю не предоставляется никаких интеллектуальных прав, за исключением прямо предусмотренных настоящим Соглашением, в отношении как Сайта в целом, так и в отношении отдельного программного обеспечения, дизайнерских решений, литературных, графических и аудиовизуальных произведений, входящих в состав Сайта.
5. Права и обязанности пользователя
5.1. Пользователь обязуется знакомиться с актуальной версией Соглашения при каждом посещении Сайта до начала использования функционала Сайта и соблюдать его условия.
5.2. Пользователь обязуется предоставлять достоверную и полную информацию при использовании Сайта.
5.3. Пользователь соглашается не предпринимать действий и не оставлять комментарии и записи, которые могут рассматриваться как нарушающие российское законодательство или нормы международного права, в том числе в сфере интеллектуальной собственности, авторских и (или) смежных прав, общепринятые нормы морали и нравственности, а также любых действий, которые приводят или могут привести к нарушению нормальной работы Сайта.
5.4. Использование материалов Сайта без согласия правообладателей не допускается.
5.5. При цитировании материалов Сайта, включая охраняемые авторские произведения, ссылка на Сайт обязательна.
5.6. Пользователь обязуется нести ответственность за все действия, совершённые при использовании его Личного кабинета, а также за последствия, вызванные такими действиями.
5.7. При использовании Сайта Пользователь не вправе нарушать права и законные интересы третьих лиц, а также причинять вред в какой-либо форме, включая вред деловой репутации.
5.8. Пользователь не вправе нарушать нормальную работу как отдельных сервисов Сайта, так и Сайта в целом.
5.9. Пользователь обязан самостоятельно отслеживать внесение изменений в настоящее Соглашение.
5.10. Пользователь вправе прекратить доступ к Личному кабинету путём направления соответствующего уведомления Администратору.
6. Ограничение ответственности администратора
6.1. Администратор гарантирует достоверность, точность, полноту или качество только той информации, которую он сам непосредственно разместил на Сайте. Администратор не несёт ответственности за достоверность, точность, полноту и качество информации, размещённой на Сайте третьими лицами, в том числе Пользователями.
6.2. Администратор не несёт ответственности за некорректное поведение лиц, использующих Сайт.
6.3. Администратор не гарантирует, что:
6.3.1. Сайт будет соответствовать требованиям Пользователя;
6.3.2. результаты, которые могут быть получены с использованием Сайта, будут точными и надёжными;
6.3.3. качество какого-либо продукта, услуг, информации, полученных с использованием Сайта, будет соответствовать ожиданиям Пользователя;
6.3.4. Сайт будет работать непрерывно, быстро, надёжно и без ошибок и будет соответствовать ожиданиям Пользователя;
6.3.5. все ошибки на Сайте будут исправлены.
6.4. Администратор не несёт ответственности и не имеет прямых или косвенных обязательств перед Пользователем в связи с любыми возможными или возникшими потерями или убытками, связанными с любым содержанием Сайта, регистрацией авторских прав и сведениями о такой регистрации, товарами или услугами, доступными или полученными через внешние сайты или ресурсы либо иные контакты Пользователя, в которые он вступил, используя размещённую на Сайте информацию или ссылки на внешние ресурсы.
6.5. Администратор не несёт ответственности за полноту и достоверность сведений, предоставляемых Пользователями при осуществлении регистрационных действий на Сайте, а также не отвечает за возможный ущерб, связанный с недостоверностью или неполнотой таких сведений. Администратор не принимает на себя никаких обязательств по проверке достоверности Персональных данных, указанных Пользователем, и не несёт ответственности в случае, если Пользователь предоставит больший объём данных, чем это предусмотрено соответствующими формами на Сайте.
6.6. Администратор не несёт ответственности перед Пользователем или любыми другими третьими лицами и не возмещает любой ущерб, включая упущенную выгоду или потерянные данные, вред, причинённый чести, достоинству или деловой репутации, и иные убытки, причинённые в связи с использованием Сайта или иных материалов и сервисов, содержащихся на Сайте, за исключением случаев, прямо предусмотренных Соглашением.
6.7. Администратор исходит из того, что все формы на Сайте заполняет непосредственно Пользователь. Ответственность за правомерность предоставления и достоверность Персональных данных Пользователя и иных лиц, данные которых сообщены, несёт исключительно Пользователь.
6.8. Администратор не несёт ответственности за утрату, подмену или порчу данных, а также за иные последствия, наступившие в результате невыполнения Пользователем условий, предусмотренных настоящим Соглашением.
6.9. Администратор не несёт ответственности за организацию использования протоколов OpenID и OAuth третьими лицами и надлежащее обеспечение ими защиты информации о Пользователях, а также получение законного предварительного согласия Пользователей на обработку Администратором их Персональных данных в рамках использования указанных протоколов.
7. Доступ к ресурсам третьих лиц
7.1. Доступ Пользователя к Сайту может вызвать обращение на интернет-ресурсы третьих лиц и загрузку с них программного кода или графических объектов (в том числе невидимых при отображении интернет-страниц браузером), используемых в рекламных целях и в целях сбора статистики. Владельцы интернет-ресурсов имеют техническую возможность осуществлять сбор информации о Пользователях и самостоятельно определяют условия её использования.
7.2. Пользователь имеет возможность заблокировать запросы на графические изображения, размещённые на серверах третьих лиц, путём настройки программного обеспечения. Блокировка может привести к потере читаемости и появлению ошибок при отображении ресурсов.
7.3. При переходе Пользователей с Сайта на страницы интернет-ресурсов третьих лиц Пользователи самостоятельно определяют пределы использования информации о них в рамках условий и правил, определяемых владельцами соответствующих интернет-ресурсов. Последние при этом имеют технологическую возможность доступа к информации, хранящейся на стороне браузера, и несут ответственность за соблюдение прав Пользователей в связи с её использованием.
8. Использование информации, хранящейся на стороне браузера
8.1. Администратор использует информацию, хранящуюся на стороне браузера Пользователя, для определения уникального идентификатора доступа Пользователя к Сайту с целью:
8.1.1. поддержки функциональности ресурсов, требующих использования информации, хранящейся на стороне браузера;
8.1.2. измерения размеров аудитории Сайта;
8.1.3. определения статистических информационных предпочтений Пользователей при доступе к различным страницам Сайта;
8.1.4. определения в исследовательских целях корреляции статистических данных о посещаемости Сайта с социометрическими данными о Пользователях.
8.2. Путём настройки программного обеспечения Пользователь имеет возможность запретить использование информации, хранящейся на стороне браузера, на своём компьютере, однако это может привести к частичной или полной потере функциональности страниц Сайта.
9. Cогласие на обработку персональных данных. Регламент и согласие на обработку файлов cookie
9.1. Обработка персональных данных Пользователей осуществляется Администратором в соответствии с Политикой на обработку персональных данных, размещённой по адресу /politica/
9.1. Внося при регистрации на Сайте в качестве Пользователя или при заполнении любых других форм на Сайте Персональные данные, Пользователь даёт информированное и сознательное согласие на Обработку персональных данных Администратором и его работниками, а равно иными лицами, которым Администратор поручил обработку Персональных данных на основании заключаемых с этими лицами договоров, как с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, так и без использования таких средств.
9.2. Заключая настоящее Соглашение, Пользователь подтверждает, что он передаёт свои Персональные данные для Обработки Администратору и согласен на их обработку. Пользователь также уведомлён, что обработка его Персональных данных будет осуществляться Администратором в полном соответствии с требованиями Федерального закона № 152-ФЗ от 27 июля 2006 года «О персональных данных».
9.3. Администратор вправе обрабатывать следующие Персональные данные Пользователей:
● Фамилия, имя, отчество, адрес электронной почты, номер мобильного телефона, а также иные сведения, добровольно предоставленные субъектом персональных данных.
● техническая информация о Пользователях, а именно файлы cookie, IP-адрес, тип браузера, плагины и версии браузера; данные о посещении Сайта (статистика кликов при переходе/посещении/выходе с Сайта, темы, которые были интересны Пользователям, ошибки загрузки данных, длительность пребывания на каждой из страниц, прокручивание информации, клики).
9.4. Администратор осуществляет Обработку персональных данных Пользователя в следующих целях:
● обеспечение надлежащего функционирования Сайта;
● оказание информационной и консультационной поддержки Пользователей;
● разработка и предоставление Пользователям персонализированных сервисов Сайта;
● направление рекламной и маркетинговой информации Пользователям.
● Продвижение товаров и/или услуг, заключение сделок, соглашений, договоров, а также в иных целях определяемых Политикой на обработку персональных данных.
9.5. Согласие на Обработку персональных данных может быть отозвано Пользователем в том числе путём направления письменного заявления на . В случае отзыва Пользователем согласия на обработку Персональных данных Администратор вправе продолжить обработку Персональных данных без согласия Пользователя при наличии оснований, предусмотренных законом.
10. Изменение условий и расторжение соглашения
10.1. Соглашение может быть расторгнуто в любое время по инициативе любой из сторон. Для этого Администратор размещает уведомление о расторжении Соглашения на Сайте и (или) направляет Пользователю соответствующее уведомление по адресу электронной почты, указанному Пользователем при регистрации, с момента такого размещения / направления такого уведомления Соглашение считается расторгнутым.
10.2. Пользователь может расторгнуть настоящее Соглашение путём направления Администратору уведомления о расторжении по электронной почте ., на который Пользователь может написать, чтобы отозвать согласие, расторгнуть соглашение.
10.3. Пользователь соглашается, что настоящее Соглашение может быть изменено Администратором в одностороннем порядке путём размещения обновлённого текста Соглашения в сети Интернет. Пользователь подтверждает своё согласие с изменениями условий Соглашения путём использования Сайта. При несогласии с изменённой версией Соглашения Пользователь обязуется прекратить использование Сайта.
11. РЕКВИЗИТЫ ОПЕРАТОРА (ОПЕРАТОРА ПЕРСОНАЛЬНЫХ ДАННЫХ)
1.1. Настоящая Политика (далее – Политика) разработана в соответствии с пунктом 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и является локальным нормативным актом, регулирующим порядок и условия обработки персональных данных.
Политика определяет принципы, цели, способы и меры по обеспечению безопасности персональных данных, обрабатываемых индивидуальным предпринимателем в отношении следующих категорий субъектов персональных данных: пользователей веб-сайта site; клиентов и заказчиков услуг, работ; контрагентов и их представителей; соискателей на замещение вакансий; иных лиц, взаимодействующих с Оператор.
Настоящая Политика направлена на обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе права на неприкосновенность частной жизни, личную и семейную тайну, а также на обеспечение прозрачности политики оператора в отношении обработки персональных данных.
1.2. Политика действует в отношении всех персональных данных, которые обрабатывает (далее - Оператор).
1.3. Политика распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики.
1.4. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте Оператора.
1.5. Основные понятия, используемые в Политике:
Автоматизированная обработка персональных данных – обработка персональных данных с использованием средств вычислительной техники.
Безопасность персональных данных – состояние защищенности персональных данных, которое характеризуется способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке.
Биометрические персональные данные – сведения, которые характеризуют физиологические и биологические особенности Субъекта персональных данных, позволяют установить (идентифицировать) его личность и используются Оператором для такого установления (идентификации) личности (включая запись голоса, отпечаток пальцев и/или сосуды ладони; цифровое фотографическое изображение, рисунок радужной оболочки глаза).
Бывший работник – физическое лицо, ранее состоявшее с Оператором в трудовых отношениях на основании заключенного трудового договора.
Доступ к персональным данным – возможность получения персональных данных и их использования.
Законодательство РФ – совокупность положений нормативных правовых актов РФ, которыми определены случаи и особенности обработки персональных данных, а также установлены требования к обработке персональных данных.
Информационная система персональных данных (ИСПДн/АС) – совокупность информационных технологий и технических средств, которые обеспечивают обработку персональных данных, а также баз данных и систем хранения данных, в которых обрабатываются персональные данные.
Иные персональные данные – персональные данные, не относящиеся к Специальным категориям персональных данных или к Биометрическим персональным данным.
Клиент – 1) физическое лицо; 2) юридическое лицо; 3) физическое лицо, осуществляющее предпринимательскую деятельность без образования юридического лица (индивидуальный предприниматель); 4) физическое лицо, занимающееся частной практикой в порядке, установленном законодательством РФ; 5) физическое лицо, применяющее специальный налоговый режим (самозанятый), заключившее договор, на основании и во исполнение которого Оператор предоставляет Клиенту продукты и/или сервисы, и/или услуги.
Конфиденциальность персональных данных – обязательное для соблюдения Оператором или иным получившим доступ к персональным данным лицом требование не допускать их передачи в отсутствие согласия Субъекта персональных данных или наличия иного законного основания.
Материальный носитель ПДн – бумажный, электронный, машинный и прочие носители информации, используемые для воспроизведения (в том числе копирования, скачивания, сохранения, записи) и/или хранения информации, содержащей ПДн, обрабатываемой в автоматизированном виде (с использованием средств вычислительной техники) и не автоматизированном виде (без использования средств вычислительной техники).
Надзорный орган – орган, уполномоченный на осуществление государственного контроля (надзора) за соответствием обработки персональных данных требованиям Законодательства РФ о персональных данных (Роскомнадзор).
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с персональными данными с использованием средств автоматизации или без использования таких средств, включая сбор (получение), запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Обработка персональных данных без использования средств автоматизации (неавтоматизированная обработка персональных данных) – обработка персональных данных, осуществляемая при непосредственном участии человека.
Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и/или осуществляющие обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (Субъекту персональных данных).
Потенциальный клиент – 1) физическое лицо, которое обратилось за продуктами и/или сервисами, и/или услугами Оператора, в том числе за консультацией относительно условий договора, преимуществ продуктов и/или сервисов, и/или услуг, и/или заинтересовано в получении/приобретении указанных продуктов, сервисов, услуг, но еще не заключило договор, на основании которого может получить указанные продукты и/или сервисы, и/или услуги.
Представитель – 1) законный представитель недееспособного, ограниченно дееспособного или не обладающего дееспособностью в полном объеме Субъекта персональных данных (родители, усыновители, опекуны, попечители или иные лица в соответствии, которые признаются представителями указанных Субъектов персональных данных в соответствии с законодательством РФ); 2) представитель Субъекта персональных данных, действующий на основании доверенности или договора; 3) представитель в соответствии с требованиями применимых нормативных правовых актов РФ (адвокат, арбитражный управляющий и пр.); 4) работник Клиента (юридического лица, индивидуального предпринимателя, лица, занимающегося частной практикой), Третьего лица, Партнера; 5) физическое лицо, являющееся членом органа управления (в том числе единоличного органа управления) Клиента (юридического лица), Третьего лица (юридического лица), Партнера.
Работник – лицо, состоящее с Оператором и/или Партнером Оператора в трудовых отношениях на основании заключенного трудового договора.
Родственник – близкие родственники (родственники по прямой восходящей и нисходящей линии: родители и дети, дедушки, бабушки и внуки, – полнородные и не полнородные (имеющие общих отца и мать) братья и сестры), супруг/супруга, а также усыновители и усыновленные.
Специальные категории персональных данных – персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также сведения о судимости.
Субъект персональных данных – прямо или косвенно определенное или определяемое физическое лицо.
Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Третье лицо – 1) юридическое лицо; 2) индивидуальный предприниматель; 3) физическое лицо, применяющее специальный налоговый режим (самозанятый); 4) физическое лицо, занимающееся частной практикой (нотариус, адвокат и прочие физические лица, которые в соответствии с применимым законодательством РФ являются лицами, занимающимися частной практикой), вступившее с Оператором в договорные отношения, не связанные с предоставлением Оператором продуктов, сервисов, услуг, и/или взаимодействующие по вопросам сотрудничества, не связанного с предоставлением Оператором продуктов, сервисов, услуг.
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в ИСПДн и/или в результате которых уничтожаются Материальные носители персональных данных.
Государственная информационная система (ГИС) — это организационно-техническая система, представляющая собой совокупность баз данных, информационных ресурсов, технологий и программно-технических средств, обеспечивающих сбор, учет, накопление, хранение, обработку, поиск, передачу и предоставление информации в целях реализации полномочий государственных органов и организаций. Для целей статистического учета, мониторинга, прогнозирования, аналитики и составления отчетности данные, содержащие персональные сведения, могут подвергаться процедуре обезличивания — преобразованию информации, исключающему возможность прямо или косвенно идентифицировать конкретного субъекта персональных данных. Обезличенные данные допускается использовать в аналитических расчетах, при формировании рейтингов, отчетов, статистических выборок и для иных целей, не связанных с идентификацией субъектов.
Сайт — ресурс в сети Интернет по адресу: site
1.6. Основные права и обязанности Оператора.
1.6.1. Оператор имеет право:
1) самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о персональных данных или другими федеральными законами;
2) поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом о персональных данных;
3) в случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе о персональных данных.
1.6.2. Оператор обязан:
1) организовывать обработку персональных данных в соответствии с требованиями Закона о персональных данных;
2) отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями Закона о персональных данных;
3) сообщать в уполномоченный орган по защите прав субъектов персональных данных (Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)) по запросу этого органа необходимую информацию в течение 10 рабочих дней с даты получения такого запроса. Данный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить в Роскомнадзор мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации;
4) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование его о компьютерных инцидентах, которые повлекли неправомерную передачу (предоставление, распространение, доступ) персональных данных.
1.7. Основные права субъекта персональных данных. Субъект персональных данных имеет право:
1) получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются субъекту персональных данных Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных. Перечень информации и порядок ее получения установлен Законом о персональных данных;
2) требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
3) дать предварительное согласие на обработку персональных данных в целях продвижения на рынке товаров, работ и услуг;
4) обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействие Оператора при обработке его персональных данных.
1.8. Контроль за исполнением требований настоящей Политики осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных у Оператора.
1.9. Ответственность за нарушение требований законодательства Российской Федерации и нормативных актов индивидуального предпринимателя сфере обработки и защиты персональных данных определяется в соответствии с законодательством Российской Федерации.
2. Цели обработки персональных данных
2.1. Общие положения
2.1.1. Обработка персональных данных (далее — ПДн) осуществляется Оператором исключительно в целях, заранее определённых и законных, соответствующих оквэдной деятельности и нормативным правовым актам Российской Федерации.
2.1.2. Не допускается обработка ПДн, несовместимая с первоначальными целями их сбора.
2.1.3. К обработке допускаются только те ПДн, которые отвечают заявленным целям обработки и являются необходимыми и достаточными для их достижения.
2.1.4. Категории субъектов ПДн, в отношении которых осуществляется обработка, а также цели обработки каждой категории, определены в Приложении № 1 к настоящей Политике.
2.2. Цели обработки персональных данных
2.2.1. Оператор осуществляет обработку ПДн в следующих целях, конкретный перечень которых закреплён в Приложении № 1 к настоящей Политике:
а) Осуществление деятельности Оператор, включая заключение, исполнение, изменение и прекращение гражданско-правовых договоров, а также обеспечение взаимодействия с контрагентами, клиентами и партнёрами.
б) Исполнение требований трудового законодательства и иных нормативных актов в рамках трудовых и связанных с ними отношений, в том числе:
— оформление, ведение и прекращение трудовых договоров и договоров гражданско-правового характера;
— содействие работникам в трудоустройстве, получении образования, повышении квалификации и продвижении по службе;
— привлечение, отбор и оформление кандидатов на работу;
— обеспечение личной безопасности работников, контроля количества и качества выполняемой работы;
— организация и ведение кадрового делопроизводства, бухгалтерского и налогового учёта;
— обеспечение сохранности имущества Оператора;
— подготовка, оформление и представление обязательной отчётности в уполномоченные государственные органы (в том числе налоговые органы, Социальный фонд России, органы статистики и иные);
— организация индивидуального (персонифицированного) учёта работников в системах обязательного пенсионного и социального страхования.
в) Организация пропускного и внутриобъектового режима, включая учёт посещений, контроль доступа в помещения Оператора и обеспечение безопасности на территории.
г) Выполнение обязанностей, возложенных на Оператора законодательством РФ, включая обязательную обработку и передачу ПДн в государственные органы и информационные системы в случаях, прямо установленных федеральными законами (в том числе Федеральным законом от 24.06.2025 № 156-ФЗ).
д) Иные цели, прямо предусмотренные законодательством Российской Федерации или договорами, заключёнными с субъектами ПДн.
2.3. Цели обработки персональных данных работников
2.3.1. Обработка ПДн работников осуществляется исключительно для целей, связанных с исполнением трудового законодательства, требований налогового, пенсионного и социального законодательства, а также для обеспечения соблюдения иных нормативных правовых актов РФ.
3. Правовые основания обработки персональных данных
3.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе:
• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 06.12.2011 N 402-ФЗ "О бухгалтерском учете";
• Федеральный закон от 15.12.2001 N 167-ФЗ "Об обязательном пенсионном страховании в Российской Федерации";
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Постановление Правительства РФ от 15.09.2008 № 687 (ред. от 18.01.2025) «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.
3.2. Правовым основанием обработки персональных данных также являются:
• договоры, заключаемые между Оператором и субъектами персональных данных;
• согласие субъектов персональных данных на обработку их персональных данных.
4. Объем и категории обрабатываемых персональных данных,
категории субъектов персональных данных
4.1. Общие положения
4.1.1. Состав и объём персональных данных (далее — ПДн), обрабатываемых Оператором, определяются исходя из целей обработки, установленных в разделе 2 настоящей Политики, и должны быть строго соразмерны и необходимы для их достижения.
4.1.2. Обработка ПДн, не относящихся к целям, заявленным в Политике, а также избыточных сведений, не допускается.
4.2. Категории субъектов персональных данных
4.2.1. Категории субъектов, чьи ПДн подлежат обработке, определяются в Приложении № 1 к настоящей Политике.
4.2.2. К таким субъектам, в частности, могут относиться:
— работники Оператора;
— кандидаты на замещение должностей;
— контрагенты — физические лица и представители юридических лиц;
— клиенты (пользователи услуг/сайта);
— иные лица, в отношении которых Оператор получает и обрабатывает ПДн на законных основаниях.
4.3. Биометрические персональные данные
4.3.1. Обработка биометрических ПДн (сведений, характеризующих физиологические и биологические особенности человека, позволяющих установить его личность, включая изображение лица, отпечатки пальцев, радужную оболочку глаз и иные данные, прямо отнесённые к биометрическим) Оператором не осуществляется.
4.3.2. Исключение возможно только в случаях и порядке, прямо предусмотренных законодательством Российской Федерации, при наличии письменного согласия субъекта ПДн, если иное не установлено законом.
4.4. Специальные категории персональных данных
4.4.1. Оператор не осуществляет обработку специальных категорий ПДн, касающихся расовой и национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.
4.4.2. Обработка указанных категорий ПДн допускается исключительно в случаях, предусмотренных ст. 10 Федерального закона № 152-ФЗ «О персональных данных», а именно:
— при наличии письменного согласия субъекта;
— в целях осуществления правосудия, исполнения судебного акта или акта иного органа;
— для защиты жизни, здоровья или иных жизненно важных интересов субъекта либо иных лиц, когда получение согласия невозможно;
— в иных случаях, прямо установленных федеральным законодательством.
5. Порядок и условия обработки персональных данных
5.1. Обработка персональных данных осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации.
5.2. Обработка персональных данных осуществляется с согласия субъектов персональных данных на обработку их персональных данных, а также без такового в случаях, предусмотренных законодательством Российской Федерации.
5.3. Оператор осуществляет обработку персональных данных для каждой цели их обработки следующими способами:
• неавтоматизированная обработка персональных данных;
• автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
• смешанная обработка персональных данных.
5.4. К обработке персональных данных допускаются работники Оператора, в должностные обязанности которых входит обработка персональных данных.
5.5. Обработка персональных данных для каждой цели обработки, указанной в п. 2.3 Политики, осуществляется путем:
• получения персональных данных в устной и письменной форме непосредственно от субъектов персональных данных;
• внесения персональных данных в журналы, реестры и информационные системы Оператора;
• использования иных способов обработки персональных данных.
5.6. Не допускается раскрытие третьим лицам и распространение персональных данных без согласия субъекта персональных данных, за исключением случаев, предусмотренных федеральным законодательством или настоящим Положением. Пользователь, подтверждая согласие на обработку персональных данных на страницах сайта, подтверждает, что ознакомлен с настоящим Положением и осознаёт, что его персональные данные могут быть переданы третьим лицам, перечень которых приведён в Приложении № 2 к Положению, и выражает своё согласие на такую передачу.
Требования к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, утверждены Приказом Роскомнадзора от 24.02.2021 № 18.
5.7. Передача персональных данных органам дознания и следствия, в Федеральную налоговую службу, Социальный фонд России и другие уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.
5.8. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в том числе:
• определяет угрозы безопасности персональных данных при их обработке;
• принимает локальные нормативные акты и иные документы, регулирующие отношения в сфере обработки и защиты персональных данных;
• назначает лиц, ответственных за обеспечение безопасности персональных данных в структурных подразделениях и информационных системах Оператора;
• создает необходимые условия для работы с персональными данными;
• организует учет документов, содержащих персональные данные;
• организует работу с информационными системами, в которых обрабатываются персональные данные;
• хранит персональные данные в условиях, при которых обеспечивается их сохранность и исключается неправомерный доступ к ним;
• организует обучение работников Оператора, осуществляющих обработку персональных данных.
5.9. Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требует каждая цель обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором.
5.9.1. Персональные данные на бумажных носителях хранятся в Оператор в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ (Федеральный закон от 22.10.2004 N 125-ФЗ "Об архивном деле в Российской Федерации", Перечень типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения (утв. Приказом Росархива от 20.12.2019 № 236)).
5.9.2. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.
5.10. Оператор прекращает обработку персональных данных в следующих случаях:
• выявлен факт их неправомерной обработки. Срок - в течение трех рабочих дней с даты выявления;
• достигнута цель их обработки;
• истек срок действия или отозвано согласие субъекта персональных данных на обработку указанных данных, когда по Закону о персональных данных обработка этих данных допускается только с согласия.
5.11. При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку Оператор прекращает обработку этих данных, если:
• иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
• Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами;
• иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.
5.12. При обращении субъекта персональных данных к Оператору с требованием о прекращении обработки персональных данных в срок, не превышающий 10 рабочих дней с даты получения Оператором соответствующего требования, обработка персональных данных прекращается, за исключением случаев, предусмотренных Законом о персональных данных. Указанный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить субъекту персональных данных мотивированное уведомление с указанием причин продления срока.
5.13. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами Российской Федерации, не допускаются, за исключением случаев, указанных в Законе о персональных данных.
6. Актуализация, исправление, удаление, уничтожение
персональных данных, ответы на запросы субъектов на доступ
к персональным данным.
6.1. Подтверждение факта обработки персональных данных Оператором, правовые основания и цели обработки персональных данных, а также иные сведения, указанные в ч. 7 ст. 14 Закона о персональных данных, предоставляются Оператором субъекту персональных данных или его представителю в течение 10 рабочих дней с момента обращения либо получения запроса субъекта персональных данных или его представителя. Данный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору следует направить субъекту персональных данных мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации.
В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
Запрос должен содержать:
• номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
• подпись субъекта персональных данных или его представителя.
Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
Оператор предоставляет сведения, указанные в ч. 7 ст. 14 Закона о персональных данных, субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
Если в обращении (запросе) субъекта персональных данных не отражены в соответствии с требованиями Закона о персональных данных все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.
Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с ч. 8 ст. 14 Закона о персональных данных, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
6.2. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу Роскомнадзора Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектом персональных данных или его представителем либо Роскомнадзором, или иных необходимых документов уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
6.3. В случае выявления неправомерной обработки персональных данных при обращении (запросе) субъекта персональных данных или его представителя либо Роскомнадзора Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения запроса.
6.4. При выявлении Оператором, Роскомнадзором или иным заинтересованным лицом факта неправомерной или случайной передачи (предоставления, распространения) персональных данных (доступа к персональным данным), повлекшей нарушение прав субъектов персональных данных, Оператор:
• в течение 24 часов - уведомляет Роскомнадзор о произошедшем инциденте, предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, предполагаемом вреде, нанесенном правам субъектов персональных данных, и принятых мерах по устранению последствий инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором по вопросам, связанным с инцидентом;
• в течение 72 часов - уведомляет Роскомнадзор о результатах внутреннего расследования выявленного инцидента и предоставляет сведения о лицах, действия которых стали его причиной (при наличии).
6.5. Порядок уничтожения персональных данных Оператором.
6.5.1. Условия и сроки уничтожения персональных данных Оператором:
• достижение цели обработки персональных данных либо утрата необходимости достигать эту цель - в течение 30 дней;
• достижение максимальных сроков хранения документов, содержащих персональные данные, - в течение 30 дней;
• предоставление субъектом персональных данных (его представителем) подтверждения того, что персональные данные получены незаконно или не являются необходимыми для заявленной цели обработки, - в течение семи рабочих дней;
• отзыв субъектом персональных данных согласия на обработку его персональных данных, если их сохранение для цели их обработки более не требуется, - в течение 30 дней.
6.5.2. При достижении цели обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:
• иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
• Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами;
• иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.
6.5.3. Уничтожение персональных данных осуществляет комиссия, созданная приказом индивидуального предпринимателя.
6.5.4. Способы уничтожения персональных данных устанавливаются в локальных нормативных актах Оператора.
7. Сведения о реализуемых требованиях к защите персональных данных
7.1. Общие положения и нормативная база.
7.1.1. В целях обеспечения безопасности персональных данных (далее — ПДн) при их обработке Оператор реализует совокупность правовых, организационных, технических и физических мер, соответствующих требованиям законодательства Российской Федерации, включая Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», подзаконные акты Правительства РФ, ФСТЭК России, ФСБ России, Роскомнадзора, а также локальные нормативные акты Оператора.
7.1.2. При обработке ПДн в информационных системах персональных данных (ИСПДн) Оператор руководствуется, в числе прочего:
а) Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
б) Постановлением Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки ПДн, осуществляемой без использования средств автоматизации»;
в) Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн»;
г) Приказом ФСБ России от 10.07.2014 № 378 (при использовании средств криптографической защиты информации, далее — СКЗИ);
д) Приказом Роскомнадзора от 14.11.2022 № 187 о порядке взаимодействия с операторами при учёте инцидентов в области ПДн;
е) иными действующими нормативно-правовыми актами РФ.
7.1.3. При сборе ПДн граждан РФ Оператор обеспечивает локализацию соответствующих операций (запись, систематизация, накопление, хранение, уточнение, извлечение) с использованием баз данных, находящихся на территории РФ, в порядке, установленном ч. 5 ст. 18 152-ФЗ (с учётом действующей редакции с 24.06.2025).
7.1.4. При передаче ПДн в государственные информационные системы и/или при использовании многофункционального сервиса обмена информацией Оператор действует в соответствии с 152-ФЗ и специальным Федеральным законом от 24.06.2025 № 156-ФЗ, соблюдая установленные требования и условия такой передачи, включая наличие соответствующих правовых оснований и (при необходимости) согласий субъектов ПДн.
7.2. Определение угроз, категорирование и уровни защищённости
7.2.1. До ввода ИСПДн в эксплуатацию и при изменении условий обработки ПДн Оператор осуществляет моделирование актуальных угроз безопасности ПДн и нарушителя, определяет класс ИСПДн и уровень защищённости (1–4) в соответствии с ПП РФ № 1119, с фиксацией результатов в модели угроз/рисков и отчётных материалах.
7.2.2. Модель угроз пересматривается при: (а) изменении архитектуры ИСПДн и/или состава обрабатываемых ПДн; (б) изменении внешних и внутренних угроз; (в) выявлении инцидента ИБ; (г) по итогам аудита/проверки.
7.3. Организационные меры
7.3.1. Назначение ответственного за организацию обработки и защиту ПДн приказом руководителя; утверждение распределения ролей и ответственности.
7.3.2. Утверждение и актуализация локальных актов: Положение и Политика, Порядок доступа, Регламенты учёта носителей, УРД (управление рисками/инцидентами), Приказы о допуске и о разграничении полномочий, Порядок обработки запросов субъектов ПДн, Порядок трансграничной передачи и пр.
7.3.3. Ведение реестра процессов обработки ПДн (категории субъектов, цели, правовые основания, сроки хранения, состав операций, пользователи ПДн, передача и поручение обработки).
7.3.4. Договорная работа: включение в договоры с контрагентами-порученными лицами условий об обеспечении конфиденциальности, безопасности ПДн и выполнении мер по 152-ФЗ и подзаконным актам; проверка и периодическая оценка надёжности поставщиков/аутсорсеров.
7.3.5. Управление доступом: принцип минимально необходимого доступа (Need-to-Know/Least Privilege), матрица ролей, порядок предоставления/изменения/отзыва прав, ежегодная ревизия прав.
7.3.6. Обучение и проверка знаний работников, допущенных к ПДн; получение обязательств о неразглашении/конфиденциальности.
7.3.7. Управление жизненным циклом ПДн: минимизация, актуализация, хранение в пределах сроков, обезличивание (при необходимости), уничтожение по утверждённым процедурам с документальным подтверждением.
7.3.8. Локализация: организационное обеспечение выполнения требований ч. 5 ст. 18 152-ФЗ (включая выбор ИТ-инфраструктуры, маршрутизацию трафика, регламенты «первичной записи» ПДн в РФ).
7.3.9. Взаимодействие с Роскомнадзором: подача уведомления об обработке (ст. 22 152-ФЗ), внесение изменений не позднее 15-го числа месяца, следующего за месяцем изменения, предоставление сведений по запросу в сроки, установленные законом.
7.4. Технические меры (ИСПДн)
7.4.1. Реализация мер в объёме, предусмотренном Приказом ФСТЭК № 21, с учётом определённого уровня защищённости, архитектуры ИСПДн и результатов моделирования угроз. Минимально включают: идентификацию и аутентификацию пользователей и сервисов; управление доступом; межсетевое экранирование и сегментацию; защиту от НСД; антивирусную/EDR-защиту; актуализацию программного обеспечения (патч-менеджмент); управление уязвимостями; резервное копирование и восстановление; контроль целостности; регистрацию событий безопасности; средства обнаружения/предотвращения вторжений; защиту трафика; защиту веб-ресурсов; средства ДЛП — при наличии соответствующих рисков.
7.4.2. Применение сертифицированных средств защиты информации, подтверждённых оценкой соответствия в установленном порядке (ФСТЭК/ФСБ) и поддерживающих нейтрализацию актуальных угроз.
7.4.3. Использование СКЗИ при передаче ПДн по открытым каналам связи и/или при хранении в случаях, предусмотренных моделью угроз, с соблюдением требований Приказа ФСБ № 378 (управление ключами, сертификатами, регламент эксплуатации СКЗИ).
7.4.4. Протоколирование (журналирование) действий пользователей и администраторов: фиксируются как минимум идентификатор субъекта доступа, время (с учётом синхронизации времени), тип операции, объект воздействия/ресурс, результат/статус, сетевые атрибуты (IP/узел). Журналы защищаются от несанкционированного изменения и ведутся в объёме, достаточном для расследования инцидентов.
7.4.5. Резервное копирование критичных компонентов и баз ПДн с шифрованием копий и периодической проверкой восстановимости (тест-восстановления).
7.4.6. Управление изменениями: тестирование в изолированной среде, оформление заявок на изменение, обратимость изменений, контроль конфигураций.
7.5. Физическая безопасность и носители
7.5.1. Разграничение зон доступа (режимные зоны), пропускной режим, контроль присутствия, видеонаблюдение в местах обработки/хранения ПДн — при наличии соответствующих рисков.
7.5.2. Учёт и контроль материальных носителей, содержащих ПДн (номера, владельцы, местонахождение, движение, сроки хранения), хранение в запираемых шкафах/сейфах, уничтожение с составлением акта по установленным методам.
7.6. Управление инцидентами и уведомления
7.6.1. Оператор организует процесс выявления, регистрации, классификации, локализации и расследования инцидентов ИБ, затрагивающих ПДн, с документированием причин, ущерба и принятых мер.
7.6.2. При выявлении инцидента, повлекшего неправомерную или случайную передачу (предоставление, распространение, доступ) ПДн с нарушением прав субъектов, Оператор направляет в Роскомнадзор:
— первичное уведомление — в течение 24 часов с момента выявления инцидента;
— дополнительное — в течение 72 часов с результатами внутреннего расследования, в порядке Приказа Роскомнадзора № 187.
7.6.3. Оператор взаимодействует с субъектами ПДн и иными лицами в объёме и порядке, установленном законодательством, включая случаи, когда уведомление субъектов является обязательным.
7.6.4. Материалы расследования и журналы событий хранятся в сроки, обеспечивающие возможность анализа повторных инцидентов и представления сведений контролирующим органам.
7.7. Восстановление после отказов и обеспечение непрерывности
7.7.1. Для ИСПДн устанавливаются целевые показатели восстановления (RTO/RPO) и сценарии аварийного восстановления.
7.7.2. Не реже установленной периодичности проводятся учения/тесты на предмет фактической восстановимости сервисов и целостности данных.
7.8. Контроль соответствия и оценка эффективности мер
7.8.1. Ведётся постоянный внутренний контроль за соблюдением требований 152-ФЗ, ПП РФ № 1119, Приказа ФСТЭК № 21, иных НПА и локальных актов Оператора, включая плановые и внеплановые проверки, а также самоконтроль в процессе эксплуатации ИСПДн.
7.8.2.По итогам контроля формируются отчёты, планы корректирующих/предупреждающих действий, проводится оценка эффективности реализованных мер и пересмотр модели угроз.
7.9. Разграничение доступа и контроль действий
7.9.1. Формируются и поддерживаются в актуальном состоянии перечни лиц, допущенных к обработке ПДн, с указанием ролей, уровней доступа и оснований допуска.
7.9.2. Действия таких лиц подлежат контролю посредством технических и организационных средств, в том числе путём обязательной регистрации операций в ИСПДн (см. п. 7.4.4).
7.10. Обучение персонала
7.10.1. Работники, допущенные к ПДн, до начала выполнения трудовых функций проходят ознакомление с нормативными и локальными актами и регулярно (не реже установленной периодичности) обучаются вопросам защиты ПДн и информационной безопасности, подтверждая ознакомление подписью.
7.10.2. Для отдельных ролей (администраторы ИСПДн, ИБ-подразделения) — специализированные программы обучения.
7.11. Информирование и взаимодействие с субъектами ПДн
7.11.1. Оператор обеспечивает реализацию прав субъектов ПДн, предусмотренных гл. 3 152-ФЗ, включая право на получение информации об обработке, доступ, уточнение, блокирование/уничтожение и иные права. Сведения, указанные в ч. 7 ст. 14 152-ФЗ, предоставляются в течение 10 рабочих дней с даты обращения (с возможностью продления не более чем на 5 рабочих дней при направлении мотивированного уведомления).
7.11.2. Уточнение недостоверных/неактуальных ПДн производится в срок, не превышающий 7 рабочих дней со дня предоставления подтверждающих сведений; уничтожение незаконно обрабатываемых ПДн — в тот же срок, согласно ст. 20 152-ФЗ.
7.11.3. Обращения субъектов рассматриваются Оператором по каналам связи, указанным в Политике, с соблюдением требований к идентификации заявителя и формату запросов.
7.12. Ответственность
7.12.1. Ответственным за организацию обработки и защиту ПДн является лицо, назначенное соответствующим распорядительным актом руководителя.
7.12.2. Должностные лица Оператора, виновные в нарушении норм обработки и защиты ПДн, несут дисциплинарную, материальную, гражданско-правовую, административную или уголовную ответственность в порядке, установленном законодательством РФ.
7.13. Порядок пересмотра и актуализации мер защиты
7.13.1. Меры безопасности подлежат пересмотру и актуализации в случаях:
— изменения законодательства РФ (включая изменения требований ПП РФ № 1119, № 687, Приказов ФСТЭК/ФСБ/РКН, в т. ч. вступление в силу Федерального закона № 156-ФЗ);
— изменения условий обработки ПДн, архитектуры ИСПДн, состава ПДн и пользователей;
— выявления новых угроз безопасности ПДн;
— по результатам проверок, аудитов и инцидентов ИБ.
7.13.2. Актуализированные меры вводятся в действие приказом Оператора и обязательны для исполнения всеми лицами, допущенными к обработке ПДн.
8. Сведения о передаче персональных данных третьим лицам
8.1. Общие положения
8.1.1. Оператор вправе осуществлять передачу персональных данных (далее — ПДн) третьим лицам исключительно в объёме, необходимом и достаточном для достижения заявленных целей обработки, предусмотренных настоящей Политикой, договорами с субъектами ПДн, а также законодательством Российской Федерации.
8.1.2. Передача ПДн осуществляется на основании:
— согласия субъекта ПДн на такую передачу (в случаях, предусмотренных ч. 4 ст. 9, ст. 10.1, ст. 11 Федерального закона № 152-ФЗ);
— исполнения договора, стороной которого или выгодоприобретателем/поручителем по которому является субъект ПДн;
— требований федеральных законов, иных нормативных правовых актов РФ, а также по запросам уполномоченных государственных органов в случаях и порядке, предусмотренных законодательством (в том числе в рамках Федерального закона от 24.06.2025 № 156-ФЗ);
— иных законных оснований, прямо установленных законодательством РФ.
8.2. Передача ПДн третьим лицам
8.2.1. Передача ПДн третьим лицам осуществляется в целях:
— исполнения договорных обязательств перед субъектом ПДн;
— оказания бухгалтерских, юридических, почтовых, курьерских, информационных, коммуникационных, рекламных, сервисных и иных сопутствующих услуг;
— исполнения обязанностей Оператора, установленных законодательством РФ, в том числе в рамках представления сведений в государственные информационные системы, в налоговые, судебные, правоохранительные, надзорные и иные органы;
— обеспечения работы сервисов и информационных систем Оператора, включая привлечение операторов связи, хостинг-провайдеров, ИТ-аутсорсинговых компаний, платёжных агентов, банков и иных лиц.
8.2.2. Перечень третьих лиц, которым могут передаваться ПДн, включая их наименование, цели передачи, правовые основания, категории передаваемых данных и описание обеспечиваемых ими мер безопасности, приведён в Приложении № 2 к настоящей Политике.
8.2.3. Передаваемые ПДн ограничиваются минимально необходимым объёмом для достижения целей передачи.
8.3. Согласие субъекта ПДн на передачу
8.3.1. Подтверждая согласие на обработку ПДн на страницах сайта/в иных формах, субъект ПДн подтверждает, что ознакомлен с настоящей Политикой, в том числе с положениями о передаче ПДн третьим лицам, и выражает согласие на такую передачу.
8.3.2. Согласие субъекта ПДн может быть отозвано в любой момент путём направления письменного заявления почтовым отправлением либо по электронной почте на адрес Оператора – email.
8.3.3. В случае отзыва согласия Оператор прекращает передачу ПДн третьим лицам, за исключением случаев, когда обработка и передача допускаются без согласия субъекта ПДн на основании законодательства РФ (ч. 5 ст. 5, ч. 1 ст. 6, ст. 10, 10.1, 11 152-ФЗ).
8.4. Обязанности третьих лиц, получающих ПДн
8.4.1. Все третьи лица, получающие доступ к ПДн, обязаны обеспечивать их конфиденциальность и безопасность, использовать ПДн исключительно в заявленных целях и соблюдать требования 152-ФЗ, 156-ФЗ, иных НПА и договоров с Оператором.
8.4.2. С каждым третьим лицом, которому Оператор поручает обработку ПДн, заключается договор (или вносятся специальные условия в основной договор), предусматривающий обязательство такого лица соблюдать принципы и правила обработки ПДн, установленные законодательством РФ и настоящей Политикой.
9. Передача информации в государственные информационные системы (ГИС)
9.1. Общие положения
9.1.1. В соответствии с пунктом 4 статьи 13.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и Федеральным законом от 24.06.2025 № 156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации» (далее — ФЗ-156), Оператор вправе осуществлять передачу персональных данных (далее — ПДн) субъектов в государственные информационные системы (далее — ГИС) в случаях, порядке и объёме, установленных законодательством Российской Федерации с 01.09.2025 года.
9.1.2. Передача ПДн в ГИС является обязательной, если такая обязанность прямо установлена федеральным законом, и добровольной — если осуществляется на основании согласия субъекта ПДн либо договора, заключённого с ним.
9.1.3. Передача ПДн в ГИС осуществляется с соблюдением принципов законности, справедливости, минимизации, целевого характера, достоверности, ограничения сроков хранения и конфиденциальности обработки ПДн.
9.2. Формы передачи персональных данных
9.2.1. Передача ПДн в ГИС может осуществляться в следующих формах:
а) в не обезличенной форме — если для достижения целей, установленных федеральным законодательством (например, ведение реестров, формирование отчётности, учёт социального обеспечения), требуется идентификация субъекта ПДн;
б) в обезличенной форме — если цели передачи могут быть достигнуты без установления личности субъекта (например, для статистического анализа, мониторинга, прогнозирования).
9.2.2. В каждом случае Оператор обязан определить правовое основание, объём и конкретный формат передаваемых сведений, зафиксировать их в локальных нормативных актах (ЛНА) и, при необходимости, в реестре процессов обработки ПДн.
9.3. Обезличивание персональных данных
9.3.1. При передаче ПДн в обезличенной форме Оператор проводит процедуры обезличивания, исключающие возможность прямой или косвенной идентификации субъекта ПДн.
9.3.2. Методы обезличивания определяются внутренними актами Оператора и могут включать удаление идентификаторов, агрегирование данных, использование маскирования и кодирования, псевдонимизацию и другие способы, предусмотренные законодательством и нормативными актами Роскомнадзора.
9.3.3. Оператор обязан документировать факт проведения обезличивания и обеспечивать проверяемость невозможности обратной идентификации субъекта.
9.4. Использование обезличенных сведений
9.4.1. Обезличенные сведения, передаваемые в ГИС, могут использоваться для:
— статистического учёта и аналитической обработки;
— мониторинга и прогнозирования социально-экономических процессов;
— составления государственных и муниципальных отчётностей;
— формирования рейтингов и индексов;
— иных целей, прямо предусмотренных федеральным законодательством и не связанных с идентификацией субъектов ПДн.
9.4.2. Использование обезличенных сведений не должно приводить к нарушению прав и законных интересов субъектов ПДн.
9.5. Передача по запросам государственных органов
9.5.1. Передача ПДн в ГИС по запросам государственных органов и регуляторов осуществляется исключительно при наличии официального требования, оформленного в установленном законодательством порядке (постановление, предписание, запрос, судебный акт).
9.5.2. Передача ПДн осуществляется только в объёме, необходимом и достаточном для достижения целей, указанных в запросе, и в пределах компетенции органа, направившего запрос.
9.5.3. Факт передачи ПДн фиксируется в учётных журналах (реестрах) Оператора с указанием: наименования органа, даты и реквизитов документа-основания, перечня переданных ПДн, должностного лица Оператора, осуществившего передачу.
9.6. Порядок и каналы передачи
9.6.1. Передача ПДн в ГИС осуществляется по защищённым каналам связи с использованием средств криптографической защиты информации (СКЗИ), сертифицированных в установленном порядке ФСБ России.
9.6.2. Форматы и технические протоколы передачи определяются требованиями конкретной ГИС, а также нормативными документами уполномоченных органов.
9.6.3. При передаче Оператор обеспечивает ведение технических журналов (логов) с фиксацией даты, времени, объёма и результата передачи.
9.7. Ответственность Оператора
9.7.1. Оператор несёт ответственность за:
— достоверность и полноту передаваемых сведений;
— соблюдение сроков предоставления данных, установленных законодательством или запросом;
— корректность процедур обезличивания;
— сохранность ПДн на всех этапах передачи;
— защиту передаваемых данных от несанкционированного доступа, изменения или уничтожения.
9.7.2. Должностные лица Оператора, виновные в нарушении правил передачи ПДн в ГИС, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном законодательством Российской Федерации.
9.8. Актуализация и контроль
9.8.1. Порядок передачи ПДн в ГИС подлежит пересмотру и актуализации при изменении законодательства, регламентов взаимодействия с государственными органами, а также по итогам проверок и аудитов.
9.8.2. Контроль за передачей ПДн в ГИС осуществляет назначенное ответственное лицо за организацию обработки и защиту ПДн, которое обеспечивает документирование всех операций и подготовку отчётности для руководства и проверяющих органов.
10. Заключительные положения
10.1. Политика разрабатывается лицами, ответственными за организацию обработки персональных данных в , и вводится в действие после утверждения руководителем..
10.2. Политика является общедоступным документом и предусматривает возможность ознакомления любых лиц с ее действующей версией, включая существующие переводы на иностранные языки, путем опубликования в сети интернет по адресу site/politica.
10.3. Веб-формы, бланки, типовые формы Оператор для сбора персональных данных в обязательном порядке содержат уведомления пользователей об обработке персональных данных в соответствии с Политикой с ссылкой на нее.
10.4. Политика действует бессрочно после утверждения и до ее замены новой версией. Оператор имеет право вносить изменения в Политику без уведомления любых лиц. Политика пересматривается ежегодно для поддержания в актуальном состоянии и актуализируется по мере необходимости.
10.5. Предложения и замечания для внесения изменений в Политику заинтересованные лица могут направлять Оператору.