Политика конфиденциальности

Приведенное ниже положение
«О защите персональных данных»
утверждено Генеральным директором Семеновым Е.С
ООО «Блу Слип»
Действует в редакции
от «20» мая 2025 г.

ПОЛОЖЕНИЕ

О ЗАЩИТЕ И ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Общие положения

1.1. Настоящее Положение «О защите и обработке персональных данных» закрепляет политику ООО «Блу Слип» (далее – «Оператор») в отношении обработки персональных данных (далее – Политика).
1.2. Политика разработана в соответствии с пунктом 2 статьи 18.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»), Федеральным законом от 30 ноября 2024 г. № 420-ФЗ, а также иными нормативно-правовыми актами Российской Федерации в области защиты и обработки персональных данных. Политика действует в отношении всех персональных данных (далее – Данные), которые Оператор может получить от субъекта персональных данных, являющегося стороной по гражданско-правовому договору, от субъекта персональных данных, состоящего с Оператором в отношениях, регулируемых трудовым законодательством (далее – Работник), а также в иных случаях, предусмотренных законодательством.
1.3. Оператор обеспечивает защиту обрабатываемых персональных данных от несанкционированного доступа, разглашения, неправомерного использования или утраты в соответствии с требованиями ФЗ «О персональных данных» и иных нормативных актов. Действие Политики распространяется на персональные данные, полученные как до, так и после утверждения настоящей Политики.
1.4. Настоящая Политика является общедоступным документом. Оператор обеспечивает неограниченный доступ к Политике, в том числе посредством публикации актуальной версии на сайте Оператора.
1.5. Оператор имеет право вносить изменения в настоящую Политику, а также приводить ее текст в соответствие с действующим законодательством РФ. На титульном листе Политики указывается дата принятия действующей редакции.
1.6. Все термины и понятия Политики используются в значении, определенном в ФЗ «О персональных данных».
1.7. Оператор зарегистрирован в реестре операторов персональных данных Роскомнадзора в соответствии с требованиями законодательства РФ. Уведомление об обработке персональных данных направлено в Роскомнадзор до начала обработки данных, за исключением случаев, предусмотренных частью 2 статьи 22 ФЗ «О персональных данных».

2. Цели обработки персональных данных

2.1. Обработка персональных данных осуществляется в следующих целях:

выполнение обязательств Оператора в рамках публичной оферты, включая организацию доставки товаров и исполнение заказов Покупателя;
предоставление ответов на запросы, претензии, письма Покупателя, обеспечение обратной связи;
регистрация и авторизация клиентов на сайте Оператора;
направление сообщений информационного и рекламного характера (при наличии согласия субъекта);
реализация трудовых правоотношений и кадровая работа;
исполнение требований законодательства РФ, включая статьи 23, 24 Конституции Российской Федерации, ФЗ «О персональных данных», Федеральный закон «Об информации, информационных технологиях и о защите информации», а также иные нормативные акты в области обработки и защиты персональных данных;
передача обезличенных сведений в государственную информационную систему (ГИС) в соответствии с требованиями, вступающими в силу с 1 сентября 2025 года.

3. Принципы обработки персональных данных

3.1. При обработке персональных данных Оператор придерживается следующих принципов:

обработка осуществляется на законной и справедливой основе;
обработка ограничивается достижением конкретных, заранее определенных и законных целей;
не допускается обработка персональных данных, несовместимая с целями их сбора;
не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
обрабатываются только персональные данные, соответствующие целям их обработки;
содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки и не являются избыточными;
обеспечиваются точность, достаточность и актуальность персональных данных. Оператор принимает меры по удалению или уточнению неполных либо неточных данных;
хранение персональных данных осуществляется в форме, позволяющей определить субъекта, не дольше, чем это необходимо для целей обработки, если срок хранения не установлен федеральным законом или договором, стороной которого является субъект персональных данных;
персональные данные подлежат уничтожению или обезличиванию по достижении целей обработки либо в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством.

4. Субъекты персональных данных

4.1. Оператор обрабатывает персональные данные следующих лиц:

работников Оператора, кандидатов на замещение вакантных должностей, уволившихся сотрудников;
контрагентов, включая субъектов, с которыми заключены гражданско-правовые договоры (услуг, поставки и иные), а также руководителей юридических лиц;
клиентов магазинов Оператора;
зарегистрированных пользователей сайта Оператора.

5. Порядок и условия обработки персональных данных

5.1. Обработка персональных данных осуществляется с согласия субъекта, за исключением случаев, предусмотренных законодательством РФ.
5.2. Обработка персональных данных осуществляется с использованием средств автоматизации и/или без использования таких средств.
5.3. В ходе обработки могут выполняться следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение, изменение, обновление, извлечение, использование, передача (в том числе третьим лицам), обезличивание, блокирование, удаление и уничтожение персональных данных в соответствии с ФЗ «О персональных данных».
5.4. Персональные данные могут быть получены, обрабатываться и храниться как на бумажных носителях, так и в электронном виде.
5.5. Персональные данные на бумажных носителях хранятся в запираемых шкафах или помещениях с ограниченным доступом.
5.6. Персональные данные, обрабатываемые с использованием средств автоматизации, хранятся в разных папках в зависимости от целей обработки.
5.7. Документы, содержащие персональные данные, не размещаются в открытом доступе.
5.8. Хранение персональных данных осуществляется в сроки, необходимые для достижения целей обработки, и они подлежат уничтожению по достижении целей или в случае утраты необходимости в их достижении, если иное не предусмотрено законодательством.
5.9. Передача персональных данных третьим лицам осуществляется в следующих случаях:

субъект выразил согласие на такие действия;
передача предусмотрена законодательством РФ, включая передачу обезличенных данных в государственную информационную систему (ГИС) с 1 сентября 2025 года;
для доставки товаров курьерской службой (с согласия субъекта на передачу необходимых данных);
передача уполномоченным государственным органам, включая Роскомнадзор, по их официальному запросу или в случаях, прямо предусмотренных действующим законодательством Российской Федерации.

5.10. В случае инцидента, повлекшего утечку персональных данных, Оператор обязан уведомить Роскомнадзор в течение 24 часов с момента обнаружения инцидента в порядке, установленном законодательством.
5.11. При трансграничной передаче персональных данных Оператор уведомляет Роскомнадзор в установленном порядке до начала такой передачи.
5.12. Локализация баз данных: Оператор осуществляет обработку персональных данных граждан Российской Федерации с соблюдением требований к локализации, установленных частью 5 статьи 18 Федерального закона № 152-ФЗ «О персональных данных». Сбор, запись, систематизация, накопление, хранение и иные действия с персональными данными граждан РФ выполняются с использованием баз данных, расположенных на территории Российской Федерации. В случае трансграничной передачи персональных данных Оператор уведомляет Роскомнадзор в установленном порядке до начала такой передачи, за исключением случаев, предусмотренных законодательством РФ.

6. Основные права субъекта персональных данных и обязанности Оператора

6.1. Субъект персональных данных имеет право:

на доступ к своим персональным данным и информации об их обработке, включая:
- подтверждение факта обработки;
- правовые основания и цели обработки;
- способы обработки, применяемые Оператором;
- наименование и место нахождения Оператора, сведения о лицах, имеющих доступ к данным;
- сроки обработки и хранения данных;
- порядок осуществления прав субъекта;
- информацию о лице, осуществляющем обработку по поручению Оператора;
требовать уточнения, блокирования или уничтожения своих персональных данных, если они неполные, устаревшие, неточные, незаконно полученные или не требуются для заявленных целей;
отозвать согласие на обработку персональных данных, направив уведомление Оператору по фактическому адресу или электронной почте;
осуществлять иные права, предусмотренные законодательством РФ.

6.2. Оператор обязан:

предоставить субъекту по его запросу информацию об обработке его персональных данных;
разъяснить последствия отказа в предоставлении персональных данных;
уведомить субъекта о получении его данных не от него самого;
обеспечить неограниченный доступ к Политике;
принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий;
уведомлять Роскомнадзор об инцидентах, повлекших утечку персональных данных, в течение 24 часов с момента обнаружения;
направлять уведомления о трансграничной передаче данных в Роскомнадзор;
отвечать на запросы и обращения субъектов персональных данных, их представителей и уполномоченного органа по защите прав субъектов персональных данных;
уведомлять уполномоченный орган (Роскомнадзор) о фактах нарушения защиты персональных данных в сроки и порядке, установленные действующим законодательством.

7. Меры по обеспечению безопасности персональных данных

7.1. Оператор принимает следующие меры для обеспечения безопасности персональных данных:

определение угроз безопасности персональных данных при их обработке в информационных системах;
применение организационных и технических мер для обеспечения безопасности данных;
использование средств защиты информации, прошедших процедуру оценки соответствия;
оценка эффективности мер по обеспечению безопасности персональных данных;
учет машинных носителей персональных данных;
обнаружение фактов несанкционированного доступа и принятие мер по их устранению;
восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
контроль за соблюдением требований законодательства РФ в области персональных данных.

8. Взаимодействие с Роскомнадзором и иными уполномоченными органами

8.1. В случаях, предусмотренных законодательством РФ, Оператор направляет уведомления в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор), в том числе:

об осуществлении обработки персональных данных (в случае, если она подлежит обязательному уведомлению);
о нарушении защиты персональных данных, которое повлекло неправомерную передачу, распространение, предоставление доступа или иное неправомерное действие;
при изменении сведений, содержащихся в ранее направленном уведомлении.

8.2. Оператор ведет учет инцидентов, связанных с нарушением безопасности персональных данных, и при наличии признаков утечки или несанкционированного доступа направляет уведомление в Роскомнадзор в течение 24 часов с момента обнаружения инцидента, в соответствии с требованиями Постановления Правительства РФ от 13 сентября 2022 г. № 1491.

8.3. В случае отнесения информационных систем персональных данных к объектам критической информационной инфраструктуры (КИИ), Оператор осуществляет обработку персональных данных с соблюдением требований законодательства РФ о безопасности КИИ, включая Федеральный закон от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».

9. Доступ к Положению

9.1. Действующая редакция Положения хранится на бумажном носителе по фактическому адресу Оператора (указан в пункте 7.6 Публичной оферты, размещенной на сайте https://bluesleep.ru/terms/ ).
9.2. Электронная версия действующей редакции Политики размещена для ознакомления по ссылке в пункте 4.4 Публичной оферты.

10. Ответственность

10.1. Нарушение требований законодательства в области персональных данных, включая непредставление уведомления в Роскомнадзор, влечет административную ответственность в соответствии со статьей 13.11 КоАП РФ. С 30 мая 2025 года штрафы за такие нарушения значительно увеличиваются.
10.2. Оператор несет ответственность за обеспечение соответствия обработки персональных данных требованиям законодательства РФ.