Политика обработки персональных данных ООО «ОПТИМУС»

Настоящая Политика обработки персональных данных (далее — Политика) разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и другими нормативными правовыми актами Российской Федерации.

Политика определяет порядок и условия обработки персональных данных оператором — Общество с ограниченной ответственностью «ОПТИМУС» (далее — Оператор) и действует в отношении всех персональных данных, которые Оператор получает от субъектов персональных данных:

• при использовании ими платформы OpenLex (далее — Платформа);
• при осуществлении трудовых и гражданско-правовых отношений;
• при взаимодействии с контрагентами и посетителями сайта Оператора.

Политика распространяется на все процессы обработки персональных данных, осуществляемые Оператором, в том числе с использованием средств автоматизации и без использования таких средств.

Целью Политики является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Основные понятия, используемые в настоящей Политике, применяются в значениях, предусмотренных статьей 3 Закона № 152-ФЗ:

• персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
• распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Правовыми основаниями обработки персональных данных Оператором являются:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
• Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
• Федеральный закон от 08.02.1998 № 14-ФЗ «Об обществах с ограниченной ответственностью»;
• иные федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора;
• учредительные документы Оператора;
• договоры (соглашения, оферты), заключаемые между Оператором и субъектами персональных данных;
• согласия субъектов персональных данных на обработку их персональных данных.

Обработка персональных данных осуществляется Оператором в соответствии с принципами и условиями, предусмотренными статьями 5 и 6 Закона № 152-ФЗ.

Оператор собирает и обрабатывает персональные данные субъектов в следующих целях:

• Обеспечение функционирования Платформы — предоставление пользователю доступа к функциональным возможностям OpenLex, включая работу встроенного юридического ИИ-чат-бота, обработку запросов пользователя, формирование справочной информации по запросу.
• Осуществление гражданско-правовых отношений — заключение и исполнение соглашений (оферт), стороной которых является субъект персональных данных (пользователь Платформы, клиенты и контрагенты Оператора).
• Обеспечение конфиденциальности — сохранение конфиденциальности запросов пользователя в чат-боте, а также конфиденциальности переписки между пользователем и юристом в случае перевода пользователя на отдельный чат с юристом.
• Осуществление трудовых и иных непосредственно связанных с трудовыми отношений с работниками и соискателями, в том числе ведение кадрового и бухгалтерского учета, содействие в трудоустройстве (подбор персонала), соблюдение трудового законодательства.
• Заполнение и передача в уполномоченные органы требуемых форм отчетности, соблюдение налогового законодательства.
• Осуществление хозяйственной деятельности Оператора — заключение, исполнение и прекращение договоров с контрагентами.
• Продвижение услуг Оператора на рынке, проведение рекламной кампании (с согласия субъекта).
• Иные цели: направление информационных рассылок, рекламных материалов (с согласия субъекта); обработка обращений и заявок, поступающих от пользователей Платформы; проведение маркетинговых исследований и статистического анализа; улучшение качества работы ИИ-чат-бота.

Информационный характер Платформы. Платформа OpenLex не предоставляет юридические консультации и адвокатские услуги. Платформа является исключительно информационной платформой, предоставляющей справочную информацию по запросу пользователя. Ответы, формируемые встроенным ИИ-чат-ботом, носят справочно-информационный характер и не являются юридической консультацией, заключением специалиста или адвокатским советом.

Оператор обрабатывает персональные данные следующих категорий субъектов:

• пользователи Платформы OpenLex (зарегистрированные и незарегистрированные);
• посетители сайта Оператора;
• работники Оператора, их родственники (члены их семей);
• соискатели (кандидаты для приема на работу к Оператору);
• бывшие работники Оператора;
• клиенты и контрагенты Оператора (физические лица);
• представители клиентов и контрагентов Оператора (юридических лиц);
• лица, сведения о которых Пользователи размещают в Личном кабинете (доверители, контрагенты, участники споров и иные лица).

Перечень персональных данных, обрабатываемых Оператором, определяется целями обработки. При обработке персональных данных Оператор ограничивается достижением конкретных, заранее определенных и законных целей.

В отношении пользователей Платформы Оператор обрабатывает персональные данные, предоставляемые пользователем при регистрации и (или) использовании Платформы:

• фамилия, имя, отчество;
• возраст (дата рождения);
• место работы;
• место рождения;
• сведения о специальности и квалификации;
• контактные данные (адрес электронной почты, номер телефона);
• иные личные сведения, добровольно предоставляемые пользователем.

В отношении посетителей сайта Оператор обрабатывает данные (с использованием файлов cookie и иных технических средств):

• IP-адрес;
• сведения об устройстве (тип, модель, операционная система, браузер);
• сведения о посещенных страницах, времени посещения;
• данные, заполняемые в формах обратной связи на сайте (имя, адрес электронной почты, телефон и иные сведения, добровольно предоставляемые субъектом).

В отношении работников, включая бывших работников, обрабатываются:

• фамилия, имя, отчество, дата и место рождения, пол, сведения о гражданстве;
• место постоянной и временной регистрации, место фактического проживания;
• вид, серия, номер документа, удостоверяющего личность, дата выдачи, наименование выдавшего его органа;
• ИНН, номер СНИЛС;
• сведения о семейном положении, составе семьи, реквизиты свидетельства о регистрации брака, свидетельства о рождении ребенка;
• реквизиты полиса ОМС;
• сведения о трудовой деятельности;
• сведения о воинской обязанности, реквизиты военного билета;
• сведения об образовании, включая реквизиты документов об образовании;
• номер телефона, адрес электронной почты.

В отношении родственников работников (членов их семей) обрабатываются:

• фамилия, имя, отчество, дата и место рождения, пол, сведения о гражданстве;
• место постоянной и временной регистрации, место фактического проживания;
• реквизиты свидетельства о браке (для супруги/супруга), свидетельства о рождении (для ребенка);
• номер телефона.

В отношении клиентов и контрагентов Оператора (физических лиц) и их представителей обрабатываются:

• фамилия, имя, отчество, дата и место рождения, пол, сведения о гражданстве;
• место постоянной и временной регистрации, место фактического проживания;
• вид, серия, номер документа, удостоверяющего личность, дата выдачи, наименование выдавшего его органа;
• реквизиты документа, удостоверяющего полномочия действовать от имени клиента или контрагента Оператора (для представителей);
• номер телефона, адрес электронной почты.

При использовании встроенного ИИ-чат-бота пользователь может направлять запросы, содержащие персональные данные пользователя, сведения о конкретных юридических кейсах (ситуациях), в которых участвует пользователь, а также иную информацию, добровольно указываемую пользователем в запросе.

• Такие запросы обрабатываются Оператором исключительно в целях формирования справочной информации в рамках работы чат-бота. Оператор обязуется сохранять конфиденциальность содержания запросов пользователя в чат-боте.
• В случае, если в рамках работы чат-бота пользователь переводится на отдельный чат с юристом, персональные данные и содержание запросов из чат-бота не переносятся в новый чат. Пользователь самостоятельно определяет, какие сведения он пожелает сообщить юристу в новом чате.
• Оператор обязуется сохранять конфиденциальность переписки между пользователем и юристом в рамках отдельного чата.

Специальные категории персональных данных (касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни) Оператором не обрабатываются, за исключением случаев, прямо предусмотренных законодательством Российской Федерации и при наличии согласия субъекта персональных данных в письменной форме.

Биометрические персональные данные Оператором не обрабатываются.

Оператор не осуществляет обработку персональных данных, несовместимую с целями их сбора. Обрабатываются только те персональные данные, которые отвечают целям их обработки.

Обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется Оператором только на основании отдельного согласия, оформляемого отдельно от иных согласий субъекта на обработку его персональных данных (статья 10.1 Закона № 152-ФЗ). Оператор обеспечивает субъекту возможность определить перечень персональных данных по каждой категории, а также не препятствует установлению субъектом запретов и условий на обработку таких данных неограниченным кругом лиц.

Сведения о третьих лицах, размещаемые Пользователем в Личном кабинете. Пользователь, который размещает на Платформе сведения о доверителях, контрагентах, участниках споров и иных лицах (в делах, документах, досье, а также в запросах к ИИ-чат-боту), является оператором в отношении этих данных: он самостоятельно определяет цели и состав обработки и обеспечивает наличие правового основания. Оператор обрабатывает такие данные по поручению Пользователя (часть 3 статьи 6 Закона № 152-ФЗ) исключительно в объеме, необходимом для работы функций Личного кабинета: хранение, отображение, поиск, распознавание текста, формирование ответов, резервное копирование. Оператор не раскрывает такие данные третьим лицам, не использует их для собственных целей и соблюдает требования статьи 19 Закона № 152-ФЗ.

Посетители без регистрации, задающие вопросы ИИ-чат-боту на общедоступной странице. Учетная запись не создается, беседа не сохраняется. Обрабатываются текст вопроса — в объеме, необходимом для подготовки ответа, и необратимый хеш IP-адреса — исключительно для суточного ограничения числа бесплатных обращений. Сам IP-адрес в этом учете не сохраняется, записи учета удаляются в течение двух суток.

Обработка персональных данных должна осуществляться с соблюдением следующих принципов:

• обработка на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определенных и законных целей;
• не допускается обработка, несовместимая с целями сбора;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• не допускается избыточность обрабатываемых данных по отношению к заявленным целям;
• обеспечивается точность, достаточность и актуальность персональных данных;
• хранение осуществляется не дольше, чем этого требуют цели обработки;
• уничтожение или обезличивание по достижении целей обработки.

Обработка персональных данных осуществляется Оператором с согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.

Обработка персональных данных без согласия субъекта допускается в случаях, предусмотренных частью 2 статьи 6, частями 2–4 статьи 10, частью 2 статьи 11 Закона № 152-ФЗ.

Оператор осуществляет обработку персональных данных следующими способами:

• сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование;
• передача (распространение, предоставление, доступ) — только в случаях и в порядке, предусмотренных законодательством;
• обезличивание, блокирование, удаление, уничтожение.

Обработка персональных данных осуществляется:

• с использованием средств автоматизации — в информационных системах персональных данных;
• без использования средств автоматизации — на бумажных носителях, в том числе в соответствии с Постановлением Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

Персональные данные субъектов размещаются Оператором в следующих информационных системах:

• информационная система персональных данных работников Оператора;
• информационная система персональных данных лиц, не являющихся работниками Оператора, но персональные данные которых Оператор должен обрабатывать в соответствии с трудовым законодательством;
• информационная система персональных данных 1С Бухгалтерия предприятия;
• информационная система персональных данных клиентов и контрагентов Оператора (физических лиц) и представителей клиентов и контрагентов Оператора (физических и юридических лиц).

Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором. Персональные данные, для которых не установлен такой срок, хранятся в течение 3 лет.

Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

Передача персональных данных третьим лицам осуществляется только в случаях, предусмотренных законодательством Российской Федерации:

• по запросам государственных органов (суд, прокуратура, следственные органы, органы внутренних дел и др.) в случаях и порядке, предусмотренных законодательством;
• контрагентам, обеспечивающим деятельность Оператора (бухгалтерские, юридические, IT-услуги, услуги связи, почтовые/курьерские службы), — в объеме и на условиях, необходимых для оказания соответствующих услуг, при условии заключения с такими лицами договоров, включающих обязательства о конфиденциальности;
• с письменного согласия субъекта персональных данных.

Сроки хранения отдельных категорий данных на Платформе:

• данные учетной записи — в течение срока ее действия; при удалении учетной записи данные обезличиваются, а содержимое Личного кабинета удаляется;
• журналы событий безопасности (входы, изменения пароля, доступ службы поддержки) — не более 12 месяцев;
• резервные копии — не более 30 дней, после чего перезаписываются;
• сведения о расчетах и закрывающие документы — в сроки, установленные законодательством о бухгалтерском учете и о налогах.

Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных, в специальных разделах или на полях форм (бланков).

При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы.

Для обработки различных категорий персональных данных для каждой категории используется отдельный материальный носитель.

Оператор обеспечивает раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.

При хранении материальных носителей установлены меры, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ к ним.

Оператор гарантирует конфиденциальность всех запросов пользователя, направляемых через встроенный ИИ-чат-бот, а также конфиденциальность переписки между пользователем и юристом в отдельном чате. Сведения, полученные Оператором от пользователя в рамках взаимодействия с ИИ-чат-ботом и (или) юристом, не подлежат разглашению третьим лицам, за исключением случаев, прямо предусмотренных действующим законодательством.

Оператор, получивший доступ к персональным данным, не раскрывает третьим лицам и не распространяет персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом.

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, а именно:

• определение угроз безопасности персональных данных при их обработке в информационных системах;
• применение организационных и технических мер по обеспечению безопасности, необходимых для выполнения требований к защите персональных данных;
• применение средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;
• применение для уничтожения персональных данных средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, в составе которых реализована функция уничтожения информации;
• проведение оценки эффективности принимаемых мер по обеспечению безопасности до ввода в эксплуатацию информационной системы;
• ведение учета машинных носителей персональных данных;
• обнаружение фактов несанкционированного доступа и принятие мер, в том числе по предупреждению и ликвидации последствий компьютерных атак;
• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
• установление правил доступа к персональным данным, регистрация и учет всех действий, совершаемых с персональными данными;
• контроль за принимаемыми мерами по обеспечению безопасности персональных данных.

При обработке персональных данных в информационных системах Оператор соблюдает требования, установленные Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

При обработке персональных данных без использования средств автоматизации Оператор соблюдает требования, установленные Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденным Постановлением Правительства РФ от 15.09.2008 № 687.

Содержание запросов пользователя, направленных через ИИ-чат-бот, используется Оператором исключительно для формирования справочной информации и улучшения качества работы чат-бота в обезличенном виде.

Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

• подтверждение факта обработки персональных данных Оператором;
• правовые основания и цели обработки персональных данных;
• цели и применяемые Оператором способы обработки персональных данных;
• наименование и место нахождения Оператора, сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
• обрабатываемые персональные данные, относящиеся к соответствующему субъекту, источник их получения;
• сроки обработки персональных данных, в том числе сроки их хранения;
• порядок осуществления прав, предусмотренных Законом № 152-ФЗ;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора;
• информацию о способах исполнения Оператором обязанностей, установленных ст. 18.1 Закона № 152-ФЗ;
• иные сведения, предусмотренные Законом № 152-ФЗ.

Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

Субъект персональных данных имеет право отозвать согласие на обработку персональных данных в любой момент.

Субъект персональных данных вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Право субъекта на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе в случаях, указанных в ч. 8 ст. 14 Закона № 152-ФЗ.

Субъекты персональных данных обязаны исполнять обязанности, предусмотренные Законом № 152-ФЗ и иными нормативными правовыми актами.

Зарегистрированный Пользователь Платформы реализует часть указанных прав самостоятельно в разделе «Настройки» Личного кабинета: выгрузка копии своих данных в машиночитаемом формате и удаление учетной записи.

Оператор вправе:

• самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ;
• в порядке, установленном ч. 3 ст. 6 Закона № 152-ФЗ, поручать обработку персональных данных другому лицу с согласия субъекта персональных данных;
• в случае отзыва субъектом согласия продолжить обработку при наличии оснований, указанных в п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона № 152-ФЗ.

Оператор обязан:

• предоставить субъекту по его просьбе информацию, предусмотренную ч. 7 ст. 14 Закона № 152-ФЗ;
• разъяснить субъекту юридические последствия отказа предоставить персональные данные, если предоставление является обязательным;
• до начала обработки данных, полученных не от субъекта, предоставить последнему соответствующую информацию (за исключением случаев, предусмотренных ч. 4 ст. 18 Закона № 152-ФЗ);
• обеспечить запись, систематизацию, накопление, хранение, уточнение, извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации;
• принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Политикой и Законом № 152-ФЗ;
• ознакомить своих работников, непосредственно осуществляющих обработку персональных данных, с Политикой и локальными актами по вопросам обработки персональных данных;
• обеспечивать обучение работников, непосредственно осуществляющих обработку персональных данных, положениям законодательства Российской Федерации о персональных данных, в том числе требованиям к защите персональных данных (пункт 6 части 1 статьи 18.1 Закона № 152-ФЗ);
• до начала обработки персональных данных направить в Роскомнадзор уведомление о намерении осуществлять обработку персональных данных для внесения сведений в реестр операторов, за исключением случаев, предусмотренных частью 2 статьи 22 Закона № 152-ФЗ (статья 22 Закона № 152-ФЗ);
• осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных требованиям Закона № 152-ФЗ, требованиям к защите персональных данных, настоящей Политике и локальным актам Оператора (пункт 4 части 1 статьи 18.1 Закона № 152-ФЗ);
• проводить оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения Закона № 152-ФЗ, в соответствии с требованиями, установленными Роскомнадзором, и соотносить указанный вред с принимаемыми Оператором мерами защиты (пункт 5 части 1 статьи 18.1 Закона № 152-ФЗ);
• исполнять иные обязанности, предусмотренные законодательством.

Опубликование Политики. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать настоящую Политику и сведения о реализуемых требованиях к защите персональных данных на страницах принадлежащего Оператору сайта в сети «Интернет», с использованием которых осуществляется сбор персональных данных, и обеспечить возможность доступа к указанному документу (часть 2 статьи 18.1 Закона № 152-ФЗ).

В случае подтверждения факта неточности персональных данных Оператор обязан уточнить их в течение семи рабочих дней со дня представления сведений и снять блокирование.

Оператор осуществляет блокирование персональных данных в следующих случаях:

• при выявлении неправомерной обработки — с момента обращения субъекта на период проверки;
• при выявлении неточных данных — с момента обращения на период проверки;
• при отсутствии возможности уничтожения в срок, указанный в ч. 3–5.1 ст. 21 Закона № 152-ФЗ, — до момента уничтожения.

Оператор прекращает обработку персональных данных в следующих случаях:

• при устранении причин, вследствие которых осуществлялась обработка специальных категорий данных;
• при выявлении неправомерной обработки — в срок не более трех рабочих дней;
• при достижении целей обработки;
• при отзыве субъектом согласия;
• по требованию субъекта о прекращении обработки — в срок не более десяти рабочих дней (может быть продлен, но не более чем на пять рабочих дней).

Оператор уничтожает персональные данные в следующих случаях:

• при достижении целей обработки — в срок не более тридцати дней, если иное не предусмотрено договором;
• при предоставлении субъектом сведений о незаконности получения — в срок не более семи рабочих дней;
• при выявлении неправомерной обработки и невозможности обеспечить ее правомерность — в срок не более десяти рабочих дней;
• при отзыве субъектом согласия (если сохранение данных более не требуется) — в срок не более тридцати дней.

Уничтожение осуществляется в порядке, определенном Оператором. Документом, подтверждающим уничтожение персональных данных, является Акт об уничтожении персональных данных (при обработке без средств автоматизации). При автоматизированной обработке дополнительно оформляется Выгрузка из журнала регистрации событий в информационной системе. Указанные документы хранятся в течение 3 лет.

Уведомление об инцидентах. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Оператор обязан уведомить Роскомнадзор (часть 3.1 статьи 21 Закона № 152-ФЗ):

• в течение 24 (двадцати четырех) часов с момента выявления инцидента — о произошедшем инциденте, предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, предполагаемом вреде, о принятых мерах по устранению последствий инцидента, а также предоставить сведения о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором по вопросам инцидента;
• в течение 72 (семидесяти двух) часов с момента выявления инцидента — о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной инцидента (при наличии).

Субъекты персональных данных вправе обращаться к Оператору с запросами:

• на предоставление сведений, указанных в ч. 7 ст. 14 Закона № 152-ФЗ;
• на предоставление информации о наличии персональных данных и возможности ознакомления с ними;
• на уточнение, блокирование или уничтожение персональных данных;
• с требованием прекратить обработку персональных данных.

Оператор предоставляет сведения в течение десяти рабочих дней с момента обращения (срок может быть продлен, но не более чем на пять рабочих дней).

Сведения предоставляются в той форме, в которой направлены обращение либо запрос, если иное не указано.

Запрос должен содержать:

• номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе;
• сведения, подтверждающие участие субъекта в отношениях с Оператором;
• подпись субъекта или его представителя.

В случае отказа в предоставлении информации Оператор обязан дать письменный мотивированный ответ со ссылкой на ч. 8 ст. 14 Закона № 152-ФЗ или иной федеральный закон в срок не более десяти рабочих дней.

Настоящая Политика является внутренним документом Оператора и подлежит пересмотру при изменении законодательства Российской Федерации в области персональных данных.

Оператор вправе вносить изменения в настоящую Политику. При внесении изменений Оператор размещает новую редакцию Политики на сайте Оператора.

Политика размещается на сайте Оператора: https://openlex.ru; https://optimus-it.ru.

Контроль за исполнением требований настоящей Политики осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных у Оператора.

Все вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.

Вопросы, связанные с обработкой персональных данных, пользователь может направить Оператору по адресу: hello@openlex.ru.