Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана в соответствии с частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Обществом с ограниченной ответственностью «БАШСПЕЦАВТОТРАНС» (далее — Оператор).

1.2. Политика действует в отношении всех персональных данных, которые Оператор получает от посетителей и пользователей сайта, расположенного в сети Интернет по адресу https://bsa-st.ru (далее — Сайт), а также от клиентов, их представителей и иных лиц, обращающихся к Оператору по вопросам аренды специальной техники и сопутствующих услуг.

1.3. Оператор обеспечивает неограниченный доступ к настоящей Политике путём её размещения на Сайте по адресу: https://bsa-st.ru/privacy.

1.4. Политика является общедоступным документом и обязательна для исполнения всеми работниками Оператора и иными лицами, допущенными к обработке персональных данных по поручению Оператора.

1.5. Использование Сайта, направление заявки, звонок или письмо в адрес Оператора не заменяют собой согласие на обработку персональных данных. В случаях, когда Закон требует получения согласия, оно оформляется отдельно от иных документов в порядке, установленном статьёй 9 Закона (см. раздел 7 Политики).

1.6. Политика подлежит пересмотру при изменении законодательства о персональных данных, изменении состава или целей обработки персональных данных, а также по результатам внутреннего контроля. Новая редакция вступает в силу с момента размещения на Сайте, если иное не указано в самой редакции.

2. Сведения об Операторе

2.1. Основной вид деятельности Оператора — предоставление в аренду специальной (строительной, дорожной, грузоподъёмной и иной) техники с экипажем и без экипажа, а также сопутствующие транспортные услуги.

2.2. Лицо, ответственное за организацию обработки персональных данных, назначается приказом Генерального директора. Обращения субъектов персональных данных направляются на адрес электронной почты sttp2011@mail.ru либо почтовым отправлением на юридический адрес Оператора с пометкой «Персональные данные».

3. Термины и определения

Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

Субъект персональных данных — физическое лицо, к которому относятся персональные данные.

Оператор — ООО «БАШСПЕЦАВТОТРАНС», самостоятельно организующее и осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных и действия, совершаемые с ними.

Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.

Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных).

Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются материальные носители персональных данных.

Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.

Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Сайт — совокупность программ для ЭВМ, баз данных, графических и информационных материалов, доступных в сети Интернет по адресу https://bsa-st.ru и его поддоменам.

Пользователь — любое физическое лицо, использующее Сайт, в том числе посетитель, не оставлявший своих данных.

Cookie-файлы — небольшие фрагменты данных, отправляемые Сайтом и сохраняемые на устройстве Пользователя, которые позволяют распознавать браузер Пользователя при последующих посещениях.

Метрические программы — программное обеспечение и сервисы веб-аналитики (счётчики), используемые для сбора статистики о посещении Сайта и поведении Пользователей на нём.

Иные термины используются в значениях, установленных Законом.

4. Принципы и правовые основания обработки

4.1. Обработка персональных данных осуществляется Оператором на основе следующих принципов (статья 5 Закона):

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только персональные данные, которые отвечают целям их обработки; содержание и объём обрабатываемых данных соответствуют заявленным целям, избыточность не допускается;
• при обработке обеспечиваются точность, достаточность и, при необходимости, актуальность персональных данных;
• хранение персональных данных осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки; по достижении целей или утрате необходимости в них персональные данные уничтожаются либо обезличиваются.

4.2. Правовыми основаниями обработки персональных данных являются:

• Гражданский кодекс Российской Федерации, в том числе глава 34 «Аренда» (§ 1, § 3 «Аренда транспортных средств»);
• Налоговый кодекс Российской Федерации, Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте» — в части хранения первичных документов и договоров;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» и принятые в соответствии с ним нормативные правовые акты;
• Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» — в части направления рекламных сообщений;
• Устав Оператора;
• договоры, заключаемые между Оператором и субъектами персональных данных или юридическими лицами, представителями которых выступают субъекты;
• согласие субъекта персональных данных на обработку его персональных данных (пункт 1 части 1 статьи 6 Закона);
• необходимость исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект, а также заключения договора по инициативе субъекта (пункт 5 части 1 статьи 6 Закона);
• необходимость исполнения возложенных на Оператора законодательством обязанностей (пункт 2 части 1 статьи 6 Закона);
• необходимость осуществления прав и законных интересов Оператора или третьих лиц при условии, что не нарушаются права и свободы субъекта (пункт 7 части 1 статьи 6 Закона).

4.3. Оператор не обрабатывает специальные категории персональных данных (расовая, национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь, судимость) и биометрические персональные данные посредством Сайта.

4.4. Оператор не осуществляет обработку персональных данных, разрешённых субъектом для распространения (статья 10.1 Закона), и не размещает персональные данные Пользователей в открытом доступе.

4.5. Оператор не принимает решения, порождающие юридические последствия для субъекта или иным образом затрагивающие его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных.

5. Категории субъектов, состав и цели обработки персональных данных

5.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• Посетители Сайта — физические лица, использующие Сайт без оставления контактных данных;
• Пользователи, направившие заявку — физические лица, заполнившие форму на Сайте (заявка на аренду техники, расчёт стоимости, обратный звонок, вопрос и т. п.), а также обратившиеся по телефону или электронной почте;
• Клиенты и представители клиентов — физические лица, индивидуальные предприниматели, а также работники и уполномоченные представители юридических лиц, с которыми Оператор заключает или исполняет договоры аренды специальной техники и оказания услуг;
• Представители контрагентов — физические лица, действующие от имени поставщиков, подрядчиков и партнёров Оператора.

5.2. Состав, цели, сроки и правовые основания обработки персональных данных:

5.3. Оператор не запрашивает и не собирает через формы Сайта персональные данные, не указанные в таблице пункта 5.2. Если Пользователь по своей инициативе указывает в свободном поле формы дополнительные сведения, Оператор обрабатывает их исключительно в целях, для которых направлено обращение.

5.4. Сайт не предназначен для лиц младше 18 лет. Оператор не собирает намеренно персональные данные несовершеннолетних; при выявлении таких данных они подлежат уничтожению.

6. Порядок и условия обработки персональных данных

6.1. Способы обработки. Оператор осуществляет обработку персональных данных смешанным способом: с использованием средств автоматизации (ИСПДн Оператора, Сайт, электронная почта, программы учёта) и без использования средств автоматизации (бумажные договоры, доверенности, первичные документы), с передачей по внутренней сети Оператора и по сети Интернет.

6.2. Перечень действий. Оператор осуществляет с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение. Распространение персональных данных Оператором не осуществляется.

6.3. Источники получения. Персональные данные получаются Оператором непосредственно от субъекта (через формы Сайта, по телефону, электронной почте, при личном обращении, при подписании договора), от юридического лица — клиента или контрагента в отношении его представителей, а также автоматически при использовании Сайта (пункт 1 таблицы 5.2). Оператор не получает персональные данные из общедоступных источников для целей, указанных в настоящей Политике.

6.4. Конфиденциальность. Оператор и лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом.

6.5. Доступ работников. Доступ к персональным данным предоставляется только тем работникам Оператора, которым он необходим для исполнения трудовых обязанностей. Перечень таких работников утверждается приказом Генерального директора.

6.6. Передача третьим лицам. Оператор передаёт персональные данные третьим лицам только в следующих случаях:

6.7. При поручении обработки персональных данных третьему лицу Оператор заключает с ним договор (поручение), в котором определяются перечень действий с персональными данными, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность персональных данных, требования к защите, обязанность по запросу Оператора представлять документы и сведения, подтверждающие принятие мер, а также обязанность уведомлять Оператора об инцидентах. Ответственность перед субъектом персональных данных за действия лица, осуществляющего обработку по поручению, несёт Оператор.

6.8. Локализация. Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона). Серверы Сайта, почтовый сервис и сервис «Яндекс Метрика» размещены на территории Российской Федерации.

6.9. Трансграничная передача. Оператор не осуществляет трансграничную передачу персональных данных. Оператор не использует на Сайте иностранные сервисы веб-аналитики, встраиваемые виджеты и иные компоненты, передающие персональные данные Пользователей за пределы Российской Федерации.

7. Согласие на обработку персональных данных

7.1. В случаях, когда правовым основанием обработки является согласие субъекта, Оператор получает его в форме, позволяющей подтвердить факт его получения (часть 1 статьи 9 Закона). Согласие оформляется отдельно от иной информации и документов, которые подписывает или подтверждает субъект (договор, оферта, пользовательское соглашение), и не является их частью.

7.2. На Сайте согласие выражается путём совершения Пользователем конкретных, сознательных действий:

• при отправке форм — проставлением отметки в незаполненном по умолчанию чекбоксе «Даю согласие на обработку персональных данных» с активной ссылкой на текст Согласия и настоящую Политику; отправка формы без проставленной отметки технически невозможна;
• на получение рекламных рассылок — проставлением отметки в отдельном незаполненном по умолчанию чекбоксе; согласие на рассылки не является условием обработки заявки;
• на использование cookie-файлов и метрических программ — нажатием кнопки в cookie-баннере при первом посещении Сайта; до принятия решения Пользователем метрические программы не загружаются, за исключением технически необходимых cookie.

7.3. Оператор фиксирует факт получения согласия: дату и время, IP-адрес, идентификатор формы, а также редакцию текста согласия, с которым ознакомился Пользователь.

7.4. Тексты согласий размещены на Сайте по адресам: https://bsa-st.ru/privacy/consent (согласие на обработку персональных данных), https://bsa-st.ru/privacy/marketing (согласие на получение рекламных рассылок), https://bsa-st.ru/privacy/cookies (согласие на использование cookie-файлов и метрических программ).

7.5. Согласие действует до достижения целей обработки либо до его отзыва субъектом. Согласия, полученные Оператором до 1 сентября 2025 года, сохраняют силу.

8. Cookie-файлы и метрические программы

8.1. Сайт использует следующие категории cookie-файлов:

• технически необходимые — обеспечивают работу Сайта, сохранение выбора Пользователя в cookie-баннере, защиту от автоматизированных запросов; их отключение делает использование Сайта невозможным;
• аналитические — устанавливаются сервисом «Яндекс Метрика» для сбора статистики посещаемости и анализа поведения Пользователей.

8.2. На Сайте установлен счётчик сервиса веб-аналитики «Яндекс Метрика» (ООО «ЯНДЕКС»). Сервис собирает сведения, перечисленные в пункте 1 таблицы 5.2, и формирует для Оператора обезличенные отчёты о посещаемости. Условия использования сервиса: https://yandex.ru/legal/metrica_termsofuse/. Политика конфиденциальности ООО «ЯНДЕКС»: https://yandex.ru/legal/confidential/.

8.3. В сервисе «Яндекс Метрика» включена функция «Вебвизор», которая записывает действия Пользователя на страницах Сайта (движение курсора, прокрутку, клики, переходы) для анализа удобства Сайта. Функция настроена таким образом, что содержимое полей форм, в которые Пользователь вводит персональные данные (ФИО, телефон, адрес электронной почты, текст сообщения), не записывается и заменяется маскирующими символами. Записи сессий доступны только уполномоченным работникам Оператора и не передаются третьим лицам.

8.4. Пользователь вправе отказаться от аналитических cookie и метрических программ в cookie-баннере при первом посещении Сайта, изменить своё решение в настройках cookie на Сайте, а также заблокировать cookie-файлы в настройках браузера. Инструкция по отключению сбора данных «Яндекс Метрикой» на стороне Пользователя: https://yandex.ru/support/metrica/general/opt-out.html.

8.5. Отказ от аналитических cookie не ограничивает доступ к функциям Сайта.

9. Права субъектов персональных данных и порядок их реализации

9.1. Субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных (подтверждение факта обработки, правовые основания и цели, применяемые способы, наименование и место нахождения Оператора, сведения о лицах, имеющих доступ к данным, обрабатываемые персональные данные и источник их получения, сроки обработки и хранения, сведения об осуществлённой или предполагаемой трансграничной передаче, наименование лица, осуществляющего обработку по поручению) в объёме, предусмотренном статьёй 14 Закона;
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• отказаться от получения рекламных рассылок в любой момент;
• требовать прекращения обработки персональных данных в случаях, предусмотренных Законом;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций, Роскомнадзор) или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.

9.2. Порядок обращения. Запрос направляется на адрес электронной почты sttp2011@mail.ru или почтовым отправлением на юридический адрес Оператора. Запрос должен содержать: фамилию, имя, отчество субъекта; сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора, дата заявки, адрес электронной почты или телефон, указанные при обращении) либо иные сведения, подтверждающие факт обработки; суть требования; подпись субъекта (для электронного запроса — направление с адреса электронной почты, указанного при обращении к Оператору, либо усиленная квалифицированная электронная подпись).

9.3. Для защиты персональных данных от несанкционированного доступа Оператор вправе запросить дополнительные сведения, подтверждающие личность заявителя, если из запроса невозможно однозначно установить субъекта.

9.4. Сроки. Оператор предоставляет ответ на запрос в течение 10 рабочих дней с даты получения запроса. Указанный срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления (часть 1 статьи 20 Закона).

9.5. Отзыв согласия. Отзыв согласия направляется в порядке пункта 9.2 с пометкой «Отзыв согласия на обработку персональных данных». Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий 30 дней с даты получения отзыва, за исключением случаев, когда Закон допускает продолжение обработки без согласия (например, для исполнения договора или хранения документов в силу требований законодательства). В этих случаях Оператор уведомляет субъекта об основаниях продолжения обработки.

9.6. Отказ от рассылок. Отказ от получения рекламных сообщений осуществляется по ссылке в письме либо направлением сообщения на sttp2011@mail.ru. Оператор прекращает направление рассылок не позднее 3 рабочих дней с момента получения отказа.

9.7. Оператор вправе отказать в удовлетворении запроса при наличии оснований, предусмотренных частью 8 статьи 14 Закона, направив субъекту мотивированный ответ.

10. Обязанности Оператора и меры по обеспечению безопасности персональных данных

10.1. Во исполнение статей 18.1 и 19 Закона Оператор принимает следующие правовые, организационные и технические меры:

Организационные:

• назначено лицо, ответственное за организацию обработки персональных данных;
• утверждена настоящая Политика и локальные акты, устанавливающие процедуры обработки персональных данных, порядок доступа к ним, порядок реагирования на запросы субъектов и на инциденты;
• утверждён перечень работников, допущенных к обработке персональных данных; работники ознакомлены под подпись с положениями законодательства о персональных данных, локальными актами Оператора и приняли обязательство о неразглашении;
• проведена оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона, определено соотношение вреда и принимаемых мер;
• определены уровни защищённости персональных данных при их обработке в ИСПДн в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119;
• при неавтоматизированной обработке соблюдаются требования постановления Правительства РФ от 15.09.2008 № 687;
• осуществляется внутренний контроль соответствия обработки персональных данных требованиям Закона и настоящей Политики;
• с лицами, осуществляющими обработку по поручению Оператора, заключены договоры с условиями, предусмотренными частью 3 статьи 6 Закона;
• определён порядок уничтожения персональных данных и составления актов об уничтожении.

Технические:

• Сайт работает по протоколу HTTPS; данные форм передаются в зашифрованном виде;
• применяется разграничение прав доступа к базам данных Сайта, электронной почте, CRM и учётным системам; используется парольная защита, учётные записи персонализированы;
• осуществляется регистрация событий безопасности и действий с персональными данными в ИСПДн;
• применяются средства антивирусной защиты и межсетевого экранирования;
• обеспечивается резервное копирование персональных данных и возможность их восстановления;
• программное обеспечение Сайта и серверов поддерживается в актуальном состоянии;
• функция «Вебвизор» настроена с маскированием полей ввода персональных данных;
• бумажные носители хранятся в запираемых шкафах в помещениях с ограниченным доступом.

10.2. Уведомление уполномоченного органа. Оператор направил в Роскомнадзор уведомление об обработке персональных данных в соответствии со статьёй 22 Закона и своевременно вносит в него изменения при изменении сведений, указанных в уведомлении.

10.3. Инциденты. При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор в течение 24 часов уведомляет Роскомнадзор о произошедшем инциденте, предполагаемых причинах и вреде, принятых мерах, а в течение 72 часов — о результатах внутреннего расследования и лицах, действия которых стали причиной инцидента (часть 3.1 статьи 21 Закона). Оператор также взаимодействует с ГосСОПКА в порядке, установленном законодательством.

10.4. Обязанности при получении запроса. Оператор сообщает субъекту или его представителю информацию о наличии и содержании обрабатываемых персональных данных, предоставляет возможность ознакомления с ними, вносит в них необходимые изменения, уничтожает или блокирует их по требованию субъекта или уполномоченного органа в порядке и сроки, установленные Законом и разделом 9 Политики.

11. Прекращение обработки и уничтожение персональных данных

11.1. Обработка персональных данных прекращается:

• по достижении целей обработки или утрате необходимости в их достижении;
• по истечении сроков обработки, указанных в пункте 5.2;
• при отзыве субъектом согласия, если обработка осуществлялась исключительно на основании согласия;
• при выявлении неправомерной обработки, если обеспечить правомерность невозможно;
• по требованию субъекта или уполномоченного органа в случаях, предусмотренных Законом;
• при ликвидации Оператора.

11.2. Персональные данные уничтожаются в следующие сроки:

• при достижении цели обработки или утрате необходимости в ней — в течение 30 дней;
• при отзыве согласия — в течение 30 дней с даты получения отзыва;
• при выявлении неправомерной обработки — в течение 10 рабочих дней с даты выявления;
• при выявлении неточных данных — блокирование на период проверки, уточнение в течение 7 рабочих дней с даты представления подтверждающих сведений;
• по истечении сроков хранения, установленных законодательством, — в течение 30 дней после истечения срока.

11.3. Уничтожение персональных данных в ИСПДн производится способами, исключающими возможность восстановления (удаление записей из базы данных с последующей перезаписью, удаление из резервных копий в соответствии с их сроком ротации). Бумажные носители уничтожаются посредством шредирования.

11.4. Факт уничтожения оформляется актом об уничтожении персональных данных, а при уничтожении в ИСПДн — актом и выгрузкой из журнала регистрации событий в соответствии с требованиями приказа Роскомнадзора от 28.10.2022 № 179. Акты хранятся в течение 3 лет.

11.5. Если обработку по поручению Оператора осуществляет третье лицо, Оператор обеспечивает прекращение обработки и уничтожение персональных данных этим лицом в те же сроки.

12. Заключительные положения

12.1. Настоящая Политика является внутренним локальным актом Оператора и одновременно публичным документом, размещённым на Сайте в свободном доступе.

12.2. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации о персональных данных.

12.3. Оператор вправе вносить изменения в Политику в одностороннем порядке. Актуальная редакция всегда доступна по адресу https://bsa-st.ru/privacy с указанием даты вступления в силу. Продолжение использования Сайта после публикации новой редакции не означает согласия с обработкой персональных данных — согласие получается в порядке раздела 7.

12.4. Контакты для обращений по вопросам обработки персональных данных:

ООО «БАШСПЕЦАВТОТРАНС»
450522, Республика Башкортостан, Уфимский район, с. Зубово, ул. Кольцевая, зд. 1А
Телефон: +7 (917) 800-45-68
E-mail: sttp2011@mail.ru (тема письма: «Персональные данные»)

12.5. Уполномоченный орган по защите прав субъектов персональных данных: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), https://rkn.gov.ru; Управление Роскомнадзора по Республике Башкортостан, https://02.rkn.gov.ru.