3. Права и обязанности субъекта персональных данных и Оператора
3.1. Субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных, в том числе подтверждение факта обработки, правовые основания и цели обработки, применяемые способы обработки, сведения о лицах, имеющих доступ к персональным данным или которым могут быть раскрыты персональные данные, перечень обрабатываемых данных и источник их получения, сроки обработки, включая сроки их хранения (ч. 7 ст. 14 Закона о персональных данных);
• требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки (ст. 21 Закона о персональных данных);
• отозвать данное им согласие на обработку персональных данных в любой момент;
• требовать прекращения передачи (распространения, предоставления, доступа) персональных данных, ранее разрешенных для распространения;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке;
• осуществлять иные права, предусмотренные законодательством Российской Федерации.

3.2. Порядок реализации прав субъекта:
3.2.1. Для реализации своих прав субъект персональных данных или его законный представитель направляет Оператору запрос в форме электронного документа на адрес электронной почты либо в письменной форме по адресу, указанным в разделе 13 Политики.
3.2.2. Запрос должен содержать: номер основного документа, удостоверяющего личность субъекта, сведения о дате выдачи указанного документа и выдавшем его органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (номер и дата договора, дата обращения, иные сведения), либо иным образом подтверждающие факт обработки персональных данных Оператором; подпись субъекта персональных данных или его представителя (для представителя — также документ, подтверждающий полномочия).
3.2.3. Отзыв согласия осуществляется путем направления письменного заявления в свободной форме на адрес электронной почты Оператора, указанный в разделе 13 Политики. Заявление должно содержать фамилию, имя, отчество субъекта, дату подачи и указание на конкретное согласие, которое отзывается. Оператор прекращает обработку соответствующих персональных данных в течение 7 (семи) рабочих дней с момента получения заявления, если отсутствуют иные законные основания для их обработки.
3.2.4. Оператор обязан ответить на запрос субъекта в течение 10 (десяти) рабочих дней с момента его получения. Указанный срок может быть продлен не более чем на 5 (пять) рабочих дней с направлением Оператором мотивированного уведомления. Если запрос не соответствует требованиям законодательства либо субъект не имеет права на запрашиваемую информацию, Оператор направляет мотивированный отказ.
3.3. Субъект персональных данных обязан:

• предоставлять Оператору только достоверные, актуальные и полные персональные данные;
• своевременно уведомлять Оператора об изменении своих персональных данных.
• Лица, предоставившие Оператору недостоверные сведения о себе либо персональные данные другого субъекта без его согласия, несут ответственность в соответствии с законодательством Российской Федерации.

3.4. Оператор вправе:

• получать от субъекта персональных данных достоверную информацию и (или) документы, содержащие персональные данные;
• в случае отзыва субъектом согласия продолжить обработку персональных данных без согласия субъекта при наличии оснований, предусмотренных Законом о персональных данных;
• поручать обработку персональных данных третьим лицам на основании договора в порядке, предусмотренном разделом 7 Политики;
• самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных, если иное не предусмотрено законодательством Российской Федерации.

3.5. Оператор обязан:

• предоставлять субъекту по его запросу информацию, касающуюся обработки его персональных данных;
• организовывать обработку персональных данных в порядке, установленном законодательством Российской Федерации;
• отвечать на обращения и запросы субъектов и их законных представителей в установленные сроки;
• сообщать в Роскомнадзор по его запросу необходимую информацию в течение 10 (десяти) рабочих дней с даты получения такого запроса; указанный срок может быть продлен не более чем на 5 (пять) рабочих дней с направлением в Роскомнадзор мотивированного уведомления;
• принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий;
• прекратить передачу, обработку и уничтожить персональные данные в порядке и случаях, предусмотренных Законом о персональных данных;
• публиковать и обеспечивать неограниченный доступ к настоящей Политике;
• исполнять иные обязанности, предусмотренные Законом о персональных данных и принятыми в соответствии с ним нормативными актами.

4. Порядок получения согласия на обработку персональных данных
4.1. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Бездействие субъекта не может расцениваться как согласие. Субъект принимает решение о предоставлении своих персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных оформляется отдельно от иных документов, которые подтверждает и (или) подписывает субъект.
4.2. Согласие субъекта персональных данных на обработку персональных данных при использовании Сайта может быть выражено, в частности, следующими способами:
а) проставлением отметки (символа) в чек-боксе на Сайте рядом с текстом вида «Я даю согласие на обработку персональных данных» со ссылкой на текст Согласия на обработку персональных данных, в том числе при направлении заявки или обращения через форму обратной связи;
б) совершением иных действий, однозначно подтверждающих волеизъявление субъекта, например: заполнение формы заявки или обратной связи, нажатие на элементы интерфейса с текстом «Отправить», «Оставить заявку» и иные подобные действия, при условии, что субъекту в месте сбора персональных данных обеспечена возможность ознакомиться с полным текстом Согласия на обработку персональных данных и Политики.
4.3. Указанные в п. 4.2 Политики действия признаются простой электронной подписью субъекта, удостоверяющей факт предоставления согласия (ч. 4 ст. 9 Закона о персональных данных, Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»).
4.4. Согласие на получение информационной и рекламной рассылки (Цель 2, п. 2.3 Политики) оформляется отдельным чек-боксом или отдельным документом и не может быть объединено с иными согласиями. Субъект вправе в любой момент отказаться от рассылки, направив Оператору соответствующее заявление либо воспользовавшись ссылкой отписки в полученном сообщении.
4.5. Согласие на обработку персональных данных, разрешенных субъектом для распространения (в том числе при размещении Оператором отзывов, фото- и видеоматериалов с изображением субъекта, а также иных материалов, содержащих персональные данные субъекта, на Сайте и в социальных сетях), оформляется отдельно от иных согласий и предоставляется Оператору непосредственно субъектом персональных данных (ст. 10.1 Закона о персональных данных) по форме Согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения. Использование изображения субъекта допускается только с его согласия (ст. 152.1 ГК РФ).
4.6. В случаях, предусмотренных законодательством Российской Федерации (исполнение договора, исполнение требований закона, судопроизводство и др.), обработка персональных данных осуществляется без получения согласия субъекта на основаниях, перечисленных в ч. 1 ст. 6 Закона о персональных данных.
4.7. При первом посещении Сайта субъекту отображается информационный баннер с предложением дать согласие на обработку файлов cookie. До получения такого согласия используются только технически необходимые (обязательные) файлы cookie.
4.8. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, а также условия, допускающие в качестве условия заключения договора бездействие субъекта.

5. Объем и категории обрабатываемых персональных данных
5.1. Оператор обрабатывает только иные (общие) категории персональных данных, перечисленные в разделе 2 Политики. Перечень обрабатываемых персональных данных соответствует заявленным целям и не является избыточным.
5.2. Оператор не обрабатывает специальные категории персональных данных, касающиеся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.
5.3. Оператор не осуществляет обработку биометрических персональных данных.
5.4. Сайт и услуги Оператора предназначены для лиц, достигших 18 (восемнадцати) лет. Оператор намеренно не осуществляет обработку персональных данных несовершеннолетних лиц. Если Оператору станет известно о получении персональных данных несовершеннолетнего без согласия его законных представителей, такие данные подлежат удалению в кратчайшие возможные сроки.
5.5. Оператор не собирает через Сайт данные платежных карт и иные платежные реквизиты.

6. Порядок и условия обработки персональных данных
6.1. Обработка персональных данных осуществляется Оператором на законной и справедливой основе, исключительно для заранее определенных и законных целей, в объеме, необходимом для достижения таких целей.
6.2. Способы получения персональных данных: через Сайт (формы заявок и обратной связи, формы подписки на рассылку); по телефону; по электронной почте; в мессенджерах; через социальные сети; при личном обращении в офис Оператора; путем предоставления субъектом сведений и документов в рамках заключения и исполнения договоров.
6.3. Оператор осуществляет как автоматизированную, так и неавтоматизированную обработку персональных данных.
6.4. Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных), за исключением случаев, прямо указанных в Законе о персональных данных.
6.5. К обработке персональных данных допускаются только работники Оператора, в должностные обязанности которых входит такая обработка и которые ознакомлены с настоящей Политикой, а также лица, осуществляющие обработку персональных данных по поручению Оператора.
6.6. Персональные данные хранятся не дольше, чем этого требуют цели обработки, с учетом сроков, установленных разделом 2 Политики и применимым законодательством Российской Федерации. По истечении установленного срока персональные данные подлежат уничтожению.
6.7. Обработка и хранение персональных данных осуществляется с использованием следующих информационных систем и технических средств Оператора: Сайт и его инфраструктура, размещенные на облачной платформе Yandex Cloud (ООО «Яндекс.Облако») в центрах обработки данных на территории Российской Федерации; корпоративная электронная почта Оператора; CRM-система Оператора; мессенджеры, используемые Оператором для связи с клиентами; сервис email-рассылок Unisender (ООО «Юнисендер СМАРТ»); система веб-аналитики «Яндекс Метрика»; контрольно-кассовая техника и сервисы оператора фискальных данных; рабочие компьютеры и мобильные устройства Оператора; бумажный архив документов.
6.8. Оператор не создает на основании персональных данных субъектов общедоступные источники персональных данных без их отдельного письменного согласия.
6.9. Оператор не осуществляет трансграничную передачу персональных данных субъектов на территорию иностранных государств. Сервисы, используемые Оператором для обработки персональных данных (Yandex Cloud, «Яндекс Метрика», Unisender), обеспечивают хранение данных на серверах, расположенных на территории Российской Федерации.

7. Передача персональных данных третьим лицам
7.1. Персональные данные субъектов не раскрываются третьим лицам и не распространяются без согласия субъекта, если иное не предусмотрено федеральным законом.
7.2. Поручение обработки персональных данных третьим лицам (обработчикам) осуществляется только на основании договора, содержащего обязательства по обеспечению конфиденциальности и безопасности персональных данных (ч. 3 ст. 6 Закона о персональных данных). Обработка осуществляется с использованием баз данных, находящихся на территории Российской Федерации.
7.3. Персональные данные субъектов могут передаваться следующим лицам:

• ООО «Яндекс.Облако» (облачная платформа Yandex Cloud) — для размещения Сайта и информационных систем Оператора;
• ООО «ЯНДЕКС» (119021, г. Москва, ул. Льва Толстого, д. 16; сервис веб-аналитики «Яндекс Метрика») — для анализа посещаемости Сайта;
• ООО «Юнисендер СМАРТ» (ОГРН 1227700213180; 127015, г. Москва, ул. Большая Новодмитровская, д. 23; сервис email-рассылок Unisender) — для направления информационных и рекламных материалов при наличии отдельного согласия субъекта персональных данных;
• банкам и платежным сервисам — для приема платежей и возврата денежных средств;
• оператору фискальных данных — для формирования и направления кассовых чеков в соответствии с Федеральным законом № 54-ФЗ;
• операторам электронного документооборота — для обмена электронными документами с контрагентами;
• государственным органам, в том числе Федеральной налоговой службе, — в случаях, предусмотренных законодательством Российской Федерации;
• лицам, оказывающим Оператору услуги по технической поддержке Сайта и информационных систем, — для обеспечения их работы;
• операторам связи и электронной почты — для осуществления коммуникаций с клиентами;
• иным лицам с согласия субъекта персональных данных, а также в случаях, предусмотренных законодательством Российской Федерации или договором с субъектом персональных данных.

7.4. Передача персональных данных правоохранительным, налоговым и иным уполномоченным государственным органам осуществляется в соответствии с требованиями законодательства Российской Федерации без получения согласия субъекта.
7.5. Оператор по требованию субъекта персональных данных прекращает передачу (распространение, предоставление, доступ) его персональных данных, ранее разрешенных для распространения, в течение 3 (трех) рабочих дней с момента получения требования (ч. 14 ст. 10.1 Закона о персональных данных).

8. Обработка файлов cookie и данных веб-аналитики
8.1. На Сайте используются файлы cookie следующих видов:
Технические (обязательные) — обеспечивают корректную работу Сайта, отправку форм, сохранение факта согласия пользователя на использование cookie, безопасность; применяются как необходимые для работы Сайта.
Аналитические — используются для анализа посещаемости Сайта и поведения пользователей с использованием сервиса «Яндекс Метрика» (ООО «ЯНДЕКС»), в том числе: _ym_uid — уникальный идентификатор посетителя (браузера) для различения новых и вернувшихся пользователей; _ym_d — дата первого посещения Сайта; yandexuid, yuidss — идентификаторы, устанавливаемые сервисом для анализа активности пользователя; _ym_isad, _ym_visorc и иные служебные cookie сервиса — сбор сведений о сеансах и технических параметрах. Срок хранения аналитических cookie — до 1 (одного) года, если иное не установлено настройками сервиса.
8.2. При первом посещении Сайта субъекту отображается баннер с запросом согласия на обработку cookie. Согласие на использование аналитических cookie считается предоставленным при нажатии субъектом кнопки «Принять» («Ок») в cookie-баннере. Продолжение использования Сайта без нажатия указанной кнопки не является согласием на обработку аналитических cookie.
8.3. Данные, полученные с использованием аналитических cookie, передаются на серверы ООО «ЯНДЕКС», расположенные на территории Российской Федерации, и предоставляются Оператору в виде обобщенных статистических отчетов.
8.4. Субъект вправе в любой момент изменить настройки своего браузера так, чтобы файлы cookie блокировались, либо удалить ранее сохраненные файлы cookie. При этом отдельные функции Сайта могут перестать работать в полном объеме.
8.5. Оператор не осуществляет профилирование субъектов в той мере, в какой это может существенно затрагивать их права и законные интересы.

9. Меры по обеспечению безопасности персональных данных
9.1. Организационные меры:

• издание Оператором документов, определяющих политику Оператора в отношении обработки персональных данных;
• назначение лица, ответственного за организацию обработки персональных данных;
• ограничение круга лиц, допущенных к обработке персональных данных;
• ознакомление работников Оператора с положениями законодательства о персональных данных и настоящей Политикой;
• проведение внутреннего контроля соответствия обработки персональных данных требованиям законодательства;
• определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• заключение с обработчиками персональных данных договоров, содержащих обязательства по конфиденциальности и защите персональных данных.

9.2. Технические меры:

• использование антивирусных средств защиты информации и межсетевых экранов;
• идентификация и проверка подлинности пользователя при входе в информационную систему по паролю;
• разграничение прав доступа работников к информационным системам;
• обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по реагированию на компьютерные инциденты;
• использование защищенных каналов передачи данных (HTTPS/TLS); регулярное резервное копирование данных.

9.3. Физические меры:

• контроль доступа к помещениям, в которых размещены материальные носители и технические средства обработки персональных данных;
• исключение возможности визуального просмотра персональных данных посторонними лицами;
• надлежащее хранение материальных носителей персональных данных, включая бумажный архив документов.

9.4. Оператор осуществляет контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищенности информационных систем персональных данных.
9.5. При выявлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в сроки и порядке, установленные ч. 3.1 ст. 21 Закона о персональных данных, а также принимает меры по устранению последствий нарушения.

10. Актуализация, исправление, блокирование и уничтожение персональных данных
10.1. При выявлении неточных персональных данных по обращению субъекта, его представителя или Роскомнадзора Оператор блокирует соответствующие персональные данные с момента обращения на период проверки и уточняет их в течение 7 (семи) рабочих дней со дня представления подтверждающих сведений, после чего снимает блокирование.
10.2. При выявлении неправомерной обработки персональных данных по обращению субъекта или Роскомнадзора Оператор незамедлительно блокирует неправомерно обрабатываемые персональные данные. Если обеспечить правомерность обработки невозможно, Оператор уничтожает такие данные в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки.
10.3. При достижении цели обработки, истечении срока хранения, отзыве согласия либо по иным законным основаниям персональные данные подлежат уничтожению в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено договором или законодательством Российской Федерации.
10.4. Уничтожение персональных данных осуществляется путем безвозвратного удаления из информационных систем и баз данных Оператора, а также путем уничтожения материальных носителей персональных данных (при их наличии).
10.5. Факт уничтожения персональных данных фиксируется актом об уничтожении персональных данных, содержащим фамилию, имя, отчество субъекта, перечень уничтоженных категорий персональных данных, наименование информационной системы, способ и дату уничтожения, а также причину уничтожения.
10.6. Оператор уведомляет субъекта персональных данных или его представителя об устранении допущенных нарушений либо об уничтожении персональных данных, а в случае поступления обращения от Роскомнадзора — также данный орган.

11. Ответственность за нарушение законодательства о персональных данных
11.1. Лица, виновные в нарушении требований законодательства Российской Федерации в области персональных данных, несут гражданско-правовую, административную, уголовную и иную ответственность в соответствии с законодательством Российской Федерации.
11.2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, правил обработки персональных данных или требований к их защите, подлежит возмещению в соответствии с законодательством Российской Федерации независимо от возмещения имущественного вреда и убытков.

12. Изменение и актуализация Политики
12.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента ее размещения на Сайте, если иное не предусмотрено новой редакцией Политики.
12.2. Продолжение использования Сайта после публикации изменений не является согласием на обработку персональных данных в новом объеме — соответствующее согласие в случаях, когда оно необходимо, запрашивается Оператором отдельно.
12.3. В случае существенных изменений, затрагивающих права субъектов персональных данных, Оператор дополнительно уведомляет субъектов доступными способами (по электронной почте, посредством уведомления на Сайте).

13. Реквизиты Оператора
Все уведомления, обращения и запросы субъектов персональных данных направляются Оператору по следующим реквизитам: