1. Общие положения

1.1. Настоящее Положение устанавливает организационные и технические правила защиты персональных данных, обрабатываемых Индивидуальный предприниматель Сатьянов Владимир Сергеевич, ИНН 773323186834, ОГРНИП 322508100486260 (далее — Оператор), в том числе при работе интернет-магазина «Территория Паркета» на сайте https://territoria-parketa.ru/.

1.2. Положение распространяется на персональные данные клиентов, посетителей сайта, покупателей, представителей контрагентов и иных физических лиц, чьи данные законно получены Оператором.

1.3. Положение обязательно для Оператора и всех лиц, которым предоставлен доступ к персональным данным по поручению Оператора.

1.4. Цель Положения — обеспечить конфиденциальность, целостность, доступность и законность обработки персональных данных, а также снизить риск неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения данных.

2. Нормативная основа

2.1. При защите персональных данных Оператор руководствуется Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», иными федеральными законами и подзаконными актами, регулирующими обработку и защиту персональных данных.

2.2. Если требования законодательства изменяются, применяются актуальные обязательные нормы независимо от даты утверждения настоящего Положения.

3. Состав защищаемой информации

3.1. К защищаемым данным относятся сведения, позволяющие прямо или косвенно определить физическое лицо, включая контактные данные, адреса доставки, сведения о заказах и обращениях, данные личного кабинета, а также иные персональные данные, законно полученные Оператором.

3.2. Технические данные, которые в конкретной ситуации позволяют связать действия на Сайте с определённым пользователем, также защищаются в соответствии с применимыми требованиями.

3.3. Оператор не должен собирать сведения, не требующиеся для заявленных целей обработки.

4. Роли и ответственность

4.1. Оператор определяет цели обработки, состав персональных данных, перечень операций с ними и меры защиты.

4.2. Доступ к персональным данным предоставляется только тем лицам и сервисам, которым он объективно необходим для выполнения конкретной функции.

4.3. Лицо, получившее доступ к персональным данным, обязано сохранять их конфиденциальность, не передавать третьим лицам без законного основания и использовать данные только в пределах предоставленных полномочий.

4.4. Оператор организует контроль соблюдения настоящего Положения и принимает меры при выявлении нарушений.

5. Управление доступом

• предоставление доступа по принципу минимально необходимых полномочий;

• использование индивидуальных учётных записей там, где это технически возможно;

• использование сложных паролей и недопущение их передачи третьим лицам;

• своевременное прекращение доступа лиц, которым он больше не требуется;

• раздельное предоставление административных и пользовательских прав;

• ограничение доступа к панели управления интернет-магазином, хостингу, почте, платёжным и иным критичным сервисам.

6. Защита учётных записей и аутентификация

6.1. Пароли к административным и сервисным учётным записям не должны храниться в открытом доступе или передаваться через незащищённые каналы без необходимости.

6.2. Для критичных сервисов рекомендуется использовать двухфакторную аутентификацию, если она поддерживается.

6.3. При подозрении на компрометацию пароля доступ должен быть незамедлительно пересмотрен, а пароль — изменён.

6.4. Не допускается использование одной административной учётной записи несколькими независимыми исполнителями, если система позволяет создать отдельные учётные записи.

7. Защита сайта и инфраструктуры

• использование актуального программного обеспечения и своевременное установление обновлений безопасности;

• использование защищённого соединения HTTPS для Сайта и административных интерфейсов;

• ограничение административного доступа и защита панелей управления;

• регулярное резервное копирование критичных данных;

• контроль целостности и доступности резервных копий;

• использование средств защиты от вредоносного кода и сетевых атак в доступном объёме;

• ведение технических журналов в объёме, необходимом для диагностики и расследования инцидентов.

8. Локализация и хранение

8.1. При сборе персональных данных граждан Российской Федерации через Интернет Оператор обеспечивает выполнение требований законодательства о записи, систематизации, накоплении, хранении, уточнении и извлечении с использованием баз данных, находящихся на территории Российской Федерации, когда такое требование применимо.

8.2. Сроки хранения определяются целями обработки и обязательными сроками, установленными законодательством.

8.3. По достижении целей обработки или при прекращении законных оснований данные подлежат удалению или уничтожению в установленном порядке.

9. Передача и поручение обработки

9.1. Передача персональных данных третьим лицам допускается только при наличии законного основания и в объёме, необходимом для соответствующей цели.

9.2. При привлечении служб доставки, платёжных сервисов, хостинг-провайдеров, сервисов уведомлений и иных подрядчиков Оператор оценивает необходимость передачи и ограничивает состав передаваемых данных.

9.3. Если третье лицо обрабатывает данные по поручению Оператора, отношения должны строиться с учётом требований законодательства к поручению обработки и обеспечению конфиденциальности.

10. Работа с обращениями субъектов

10.1. Обращения субъектов персональных данных принимаются по адресу zakaz@territoria-parketa.ru.

10.2. Оператор обеспечивает возможность рассмотрения запросов о предоставлении информации, уточнении, блокировании, удалении данных и отзыве согласия.

10.3. До выполнения запроса Оператор вправе принять разумные меры для проверки того, что запрос действительно направлен субъектом данных или его уполномоченным представителем.

11. Инциденты безопасности

11.1. Инцидентом считается событие, которое привело или могло привести к несанкционированному доступу к персональным данным, их утрате, изменению, раскрытию, блокированию или уничтожению.

11.2. При обнаружении инцидента Оператор должен по возможности ограничить его последствия, сохранить необходимые технические сведения, определить затронутые данные и устранить причину.

11.3. Если законодательство предусматривает обязанность уведомления уполномоченного органа или иных лиц, Оператор выполняет такую обязанность в установленном порядке и сроки.

12. Резервное копирование и восстановление

12.1. Критичные данные и настройки интернет-магазина должны резервироваться с периодичностью, соответствующей риску их утраты.

12.2. Резервные копии должны храниться таким образом, чтобы их потеря не происходила одновременно с потерей основной системы.

12.3. Доступ к резервным копиям ограничивается лицами, которым он необходим.

13. Удаление и уничтожение данных

13.1. Удаление персональных данных проводится при прекращении целей обработки и отсутствии иных законных оснований для хранения.

13.2. Уничтожение должно осуществляться способом, исключающим восстановление данных обычными средствами, если иное не обусловлено техническими особенностями используемой системы и обязательными сроками резервного хранения.

13.3. Если удаление невозможно выполнить немедленно по техническим причинам, доступ к данным должен быть ограничен до момента окончательного удаления.

14. Контроль и пересмотр мер защиты

14.1. Оператор периодически пересматривает применяемые меры с учётом изменений законодательства, функциональности Сайта, состава подрядчиков и выявленных рисков.

14.2. При подключении нового сервиса до передачи ему персональных данных оценивается необходимость такой передачи и состав требуемых данных.

14.3. При существенном изменении процессов обработки настоящее Положение актуализируется.

15. Ответственность

15.1. Лица, допустившие нарушение правил обработки и защиты персональных данных, несут ответственность в соответствии с законодательством Российской Федерации и условиями договоров с Оператором.

15.2. Оператор принимает разумные меры для устранения выявленных нарушений и предотвращения их повторения.

16. Заключительные положения

16.1. Настоящее Положение действует с даты утверждения до его отмены или замены новой редакцией.

16.2. Положение применяется совместно с Политикой конфиденциальности и обработки персональных данных интернет-магазина «Территория Паркета».

16.3. Контакт для вопросов по защите персональных данных: zakaz@territoria-parketa.ru.