Personal data processing policy

Настоящий документ (далее — Политика) определяет цели и общие принципы обработки персональных данных, а также реализуемые меры защиты персональных данных у Оператора персональных данных — оператора сервиса Nash, связанного с сайтом https://nashconnect.me (далее — Оператор, сервис Nash). Политика является общедоступным документом и предусматривает возможность ознакомления с ней любых лиц.

Политика действует бессрочно после утверждения и до её замены новой версией. В Политике используются термины и определения в соответствии с их значениями, как они определены в Федеральном законе РФ от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — ФЗ-152), в той мере, в какой этот закон применим к обработке данных пользователей сервиса Nash.

Обработка персональных данных Оператором осуществляется с соблюдением принципов и условий, предусмотренных настоящей Политикой и применимым законодательством в области персональных данных и защиты информации.

Обработка персональных данных осуществляется Оператором на законной и справедливой основе, в том числе на основании следующих актов (применительно к отношениям, подпадающим под право Российской Федерации):

• Конституция Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»;
• Федеральный закон от 04.05.2011 № 99-ФЗ «О лицензировании отдельных видов деятельности»;
• Федеральный закон от 07.07.2003 № 126-ФЗ «О связи»;
• Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учёте в системе обязательного пенсионного страхования»;
• Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»;
• Федеральный закон от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации».

Дополнительно, в отношении пользователей из ЕЭЗ и Соединённого Королевства Великобритании и Северной Ирландии применяются положения GDPR и применимого законодательства о защите данных (включая UK GDPR и Закон о защите данных 2018 года), в объёме, предусмотренном применимым правом.

Обработка персональных данных Оператором ведётся смешанным способом, то есть как с использованием средств автоматизации, так и без использования таковых.

Осуществляются следующие действия с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

При обработке обеспечиваются точность, достаточность и актуальность персональных данных по отношению к целям обработки. При обнаружении неточных или неполных персональных данных производится их актуализация.

Получение и обработка персональных данных в случаях, предусмотренных ФЗ-152, осуществляются с согласия субъекта персональных данных, если иное не предусмотрено законом. Равнозначным согласию на бумаге с собственноручной подписью может признаваться согласие в форме электронного документа, подписанного квалифицированной электронной подписью, а также согласие, выраженное путём совершения конкретных действий на Сайте (акцепт оферты, проставление отметок, заполнение форм) при условии, что такая форма допускается применимым правом.

Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, Оператором не осуществляется, за исключением случаев, прямо предусмотренных законом.

Биометрические персональные данные не обрабатываются, за исключением случаев наличия отдельного согласия в письменной форме, если такая обработка когда-либо потребуется и будет допущена законом.

Обработка и хранение персональных данных осуществляются не дольше, чем этого требуют цели обработки, если отсутствуют законные основания для дальнейшей обработки.

Обработка на основании договоров и иных соглашений Оператора, а также поручений на обработку персональных данных, осуществляется в соответствии с условиями этих документов. В случаях, прямо не предусмотренных законом или договором, обработка осуществляется после получения согласия субъекта или на ином законном основании.

Оператор предпринимает необходимые правовые, организационные и технические меры для обеспечения безопасности персональных данных, в том числе:

• назначение ответственных за организацию обработки и безопасность персональных данных;
• контроль конфиденциальности в договорах с контрагентами;
• локальные акты, обучение и инструктаж персонала;
• ограничение и разграничение доступа к персональным данным и средствам обработки;
• оценка угроз безопасности и применение средств защиты (в т.ч. антивирусы, межсетевые экраны, шифрование при передаче);
• учёт носителей информации, резервное копирование и внутренний контроль;
• реагирование на инциденты информационной безопасности.

Субъект персональных данных имеет право отозвать согласие на обработку персональных данных, направив соответствующий запрос Оператору по электронной почте support@nashconnect.me и/или через раздел поддержки на Сайте, а также обратившись иными способами, предусмотренными применимым законом.

Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в объёме, предусмотренном ФЗ-152 и иными применимыми актами, в том числе подтверждение факта обработки, правовые основания и цели, способы обработки, наименование и адрес Оператора, сведения о лицах, которым могут быть раскрыты данные, перечень обрабатываемых данных и источник их получения, сроки обработки, сведения о трансграничной передаче, наименование или ФИО и адрес лица, осуществляющего обработку по поручению Оператора, и иные сведения, предусмотренные законом.

Субъект вправе требовать уточнения, блокирования или уничтожения персональных данных, если они неполны, устарели, неточны, получены незаконно или не нужны для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Если субъект считает, что Оператор обрабатывает персональные данные с нарушением требований ФЗ-152 или иным образом нарушает его права, он вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (для Российской Федерации — Роскомнадзор) либо в судебном порядке.

Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке в случаях, предусмотренных применимым законодательством.

Права и обязанности Оператора определяются действующим законодательством и соглашениями Оператора с субъектами персональных данных и контрагентами. Контроль исполнения требований настоящей Политики осуществляется уполномоченным лицом (ответственным за организацию обработки персональных данных).

Ответственность лиц, участвующих в обработке персональных данных на основании поручений Оператора, за неправомерное использование персональных данных устанавливается в соответствии с условиями гражданско-правового договора или соглашения о конфиденциальности между Оператором и контрагентом.

Лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут ответственность в порядке, установленном федеральными законами, локальными актами и соглашениями Оператора.

Политика разрабатывается ответственным за организацию обработки персональных данных и вводится в действие после утверждения. Предложения и замечания по Политике направляются на адрес support@nashconnect.me. Политика подлежит пересмотру не реже одного раза в год и актуализируется по мере необходимости. Сведения об Операторе (наименование, адрес, контакты) размещены на странице «Контакты» на Сайте.

Условия использования сервиса Nash также изложены в документе «Условия использования» на https://nashconnect.me/terms.