ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Общие положения
Настоящая Политика определяет порядок обработки персональных данных ИП Лисненко Натальей Николаевной при осуществлении деятельности Lisabon Space в соответствии с Федеральным законом №152‑ФЗ и иными нормативными правовыми актами РФ. Политика распространяется на данные, полученные через сайт, Bitrix24, AppEvent, Jivo, WordPress, сервисы Яндекса, VK, Avito, SMS.ru, электронную почту, телефон и иные каналы связи.
2. Нормативные основания
Конституция РФ, Федеральный закон №152‑ФЗ, Федеральный закон №149‑ФЗ, иные нормативные правовые акты Российской Федерации и локальные документы Оператора.
3. Термины
Персональные данные, оператор, субъект персональных данных и обработка используются в значениях, установленных Федеральным законом №152‑ФЗ.
4. Сведения об операторе
ИП Лисненко Наталья Николаевна
ИНН: 504708693120
ОГРНИП: 322774600612296
Адрес: 117534, г. Москва, ул. Кировоградская, д. 11
Сайт: https://lisabonspace.ru
E-mail: info@lisabonspace.ru
Телефон: +7 945 744‑36‑30
5. Принципы обработки
Законность, добросовестность, ограничение целей, минимизация данных, обеспечение точности, ограничение сроков хранения, конфиденциальность и безопасность.
6. Обязанности оператора
Оператор принимает необходимые организационные и технические меры защиты персональных данных, рассматривает обращения субъектов и обеспечивает соблюдение требований законодательства.
7. Права субъектов
Получение информации, уточнение, удаление, отзыв согласия, обжалование действий оператора.
Цели и основания обработки персональных данных
1. Цели обработки
Оператор осуществляет обработку персональных данных исключительно для заранее определенных и законных целей, включая:
- прием и обработку обращений, поступающих через сайт, телефон, электронную почту, Jivo, VK, Avito, AppEvent и иные каналы;
- запись пользователей на занятия, мероприятия, мастер-классы и иные услуги Lisabon Space;
- заключение, исполнение и прекращение договоров;
- ведение клиентской базы в Bitrix24;
- информирование пользователей о расписании, изменениях занятий, мероприятиях и услугах;
- направление рекламных и маркетинговых материалов только при наличии отдельного согласия;
- обработку платежных и бухгалтерских операций;
- анализ качества обслуживания, статистики обращений и улучшение работы сайта и сервисов.
2. Правовые основания
Основаниями обработки являются согласие субъекта персональных данных, заключение и исполнение договора, исполнение обязанностей, возложенных законодательством Российской Федерации, а также иные основания, предусмотренные статьей 6 Федерального закона №152‑ФЗ.
3. Категории субъектов
К субъектам относятся посетители сайта, клиенты, потенциальные клиенты, участники мероприятий, представители контрагентов, лица, обращающиеся по телефону, через мессенджеры, социальные сети и иные каналы связи.
4. Категории персональных данных
В зависимости от цели обработки могут обрабатываться: фамилия, имя, отчество; номер телефона; адрес электронной почты; сведения, содержащиеся в обращении; информация о выбранной услуге; история взаимодействия; IP-адрес; cookie; технические сведения о браузере и устройстве; сведения, автоматически формируемые сервисами веб-аналитики.
5. Способы получения данных
Персональные данные предоставляются субъектом самостоятельно при заполнении форм сайта, записи через AppEvent, общении через Jivo, VK, Avito, по телефону, электронной почте, а также автоматически при использовании сайта посредством cookie и аналитических сервисов.
Используемые информационные системы
- Bitrix24 — CRM для ведения клиентов, заявок и договоров.
- AppEvent — Онлайн-запись и управление мероприятиями.
- Jivo — Обработка обращений через чат.
- WordPress — Работа сайта и форм.
- Яндекс — Аналитика и статистика посещаемости.
- VK — Прием обращений и информирование.
- Avito — Обработка обращений потенциальных клиентов.
- SMS.ru — Отправка сервисных SMS.
Передача третьим лицам — допускается только при наличии законных оснований и в объеме, необходимом для достижения целей обработки.
Трансграничная передача — осуществляется только в случаях и порядке, предусмотренных законодательством РФ.
Сроки хранения — персональные данные хранятся в течение срока достижения целей обработки. Для клиентов — 36 месяцев с момента последнего взаимодействия, а при продолжающемся сотрудничестве либо наличии требований законодательства — дольше.
Актуализация и уничтожение — оператор обеспечивает уточнение, блокирование и уничтожение персональных данных в случаях, предусмотренных законодательством.
Меры защиты — применяются организационные и технические меры: разграничение доступа, резервное копирование, антивирусная защита, контроль доступа и журналирование.
Права субъектов — субъект вправе получать информацию, требовать исправления, удаления, ограничения обработки и отзывать согласие.
Заключительные положения — политика пересматривается при изменении законодательства и процессов обработки данных.
Том 1. Часть 2
Цели и основания обработки персональных данных
1. Цели обработки
- прием и обработку обращений, поступающих через сайт, телефон, электронную почту, Jivo, VK, Avito, AppEvent и иные каналы;
- запись пользователей на занятия, мероприятия, мастер-классы и иные услуги Lisabon Space;
- заключение, исполнение и прекращение договоров;
- ведение клиентской базы в Bitrix24;
- информирование пользователей о расписании, изменениях занятий, мероприятиях и услугах;
- направление рекламных и маркетинговых материалов только при наличии отдельного согласия;
- обработку платежных и бухгалтерских операций;
- анализ качества обслуживания, статистики обращений и улучшение работы сайта и сервисов.
2. Правовые основания
Основаниями обработки являются согласие субъекта персональных данных, заключение и исполнение договора, исполнение обязанностей, возложенных законодательством Российской Федерации, а также иные основания, предусмотренные статьей 6 Федерального закона №152‑ФЗ.
3. Категории субъектов
К субъектам относятся посетители сайта, клиенты, потенциальные клиенты, участники мероприятий, представители контрагентов, лица, обращающиеся по телефону, через мессенджеры, социальные сети и иные каналы связи.
4. Категории персональных данных
В зависимости от цели обработки могут обрабатываться: фамилия, имя, отчество; номер телефона; адрес электронной почты; сведения, содержащиеся в обращении; информация о выбранной услуге; история взаимодействия; IP-адрес; cookie; технические сведения о браузере и устройстве; сведения, автоматически формируемые сервисами веб-аналитики.
5. Способы получения данных
Персональные данные предоставляются субъектом самостоятельно при заполнении форм сайта, записи через AppEvent, общении через Jivo, VK, Avito, по телефону, электронной почте, а также автоматически при использовании сайта посредством cookie и аналитических сервисов.
Том 1. Часть 3
- Bitrix24 — CRM для ведения клиентов, заявок и договоров.
- AppEvent — Онлайн-запись и управление мероприятиями.
- Jivo — Обработка обращений через чат.
- WordPress — Работа сайта и форм.
- Яндекс — Аналитика и статистика посещаемости.
- VK — Прием обращений и информирование.
- Avito — Обработка обращений потенциальных клиентов.
- SMS.ru — Отправка сервисных SMS.
Передача допускается только при наличии законных оснований и в объеме, необходимом для достижения целей обработки.
Осуществляется только в случаях и порядке, предусмотренных законодательством РФ.
Том 1. Часть 4
Персональные данные хранятся в течение срока достижения целей обработки. Для клиентов — 36 месяцев с момента последнего взаимодействия, а при продолжающемся сотрудничестве либо наличии требований законодательства — дольше.
Оператор обеспечивает уточнение, блокирование и уничтожение персональных данных в случаях, предусмотренных законодательством.
Применяются организационные и технические меры: разграничение доступа, резервное копирование, антивирусная защита, контроль доступа и журналирование.
Субъект вправе получать информацию, требовать исправления, удаления, ограничения обработки и отзывать согласие.
Политика пересматривается при изменении законодательства и процессов обработки данных.
ТОМ 2
ПОЛОЖЕНИЕ об обработке персональных данных
Индивидуального предпринимателя Лисненко Натальи Николаевны
Редакция №1
2026 год
1. Общие положения
1.1. Настоящее Положение об обработке персональных данных (далее — Положение) является локальным нормативным актом Индивидуального предпринимателя Лисненко Натальи Николаевны (далее — Оператор), определяющим единые требования к обработке персональных данных физических лиц, порядок их получения, хранения, использования, передачи, блокирования, обезличивания и уничтожения.
Настоящее Положение разработано в целях обеспечения реализации прав субъектов персональных данных на неприкосновенность частной жизни, личную и семейную тайну, защиты прав и свобод человека и гражданина при обработке персональных данных, а также исполнения требований законодательства Российской Федерации.
1.2. Настоящее Положение распространяется на все процессы обработки персональных данных, осуществляемые Оператором независимо от способа их получения, хранения и использования. Требования настоящего Положения обязательны для исполнения всеми лицами, которым предоставлен доступ к персональным данным в связи с исполнением трудовых, гражданско-правовых либо иных обязанностей.
1.3. Настоящее Положение распространяется на обработку персональных данных, осуществляемую:
- посредством официального сайта https://lisabonspace.ru;
- посредством CRM Bitrix24;
- посредством сервиса AppEvent;
- посредством онлайн-чата Jivo;
- посредством WordPress;
- посредством сервисов Яндекс;
- посредством VK;
- посредством Avito;
- посредством SMS.ru;
- посредством электронной почты;
- посредством телефонной связи;
- посредством личного обращения клиентов.
1.4. Настоящее Положение применяется ко всем информационным системам персональных данных, используемым Оператором, независимо от способа хранения информации, включая:
- электронные базы данных;
- CRM-системы;
- файловые архивы;
- бумажные документы;
- резервные копии;
- архивные носители.
2. Цели принятия Положения
Настоящее Положение разработано для:
- реализации требований Федерального закона №152-ФЗ;
- обеспечения законности обработки персональных данных;
- определения единых требований к сотрудникам;
- предотвращения несанкционированного доступа к персональным данным;
- минимизации рисков нарушения законодательства Российской Федерации;
- определения порядка взаимодействия сотрудников с персональными данными;
- определения мер ответственности.
3. Нормативные основания
Настоящее Положение разработано на основании:
- Конституции Российской Федерации;
- Федерального закона №152-ФЗ;
- Федерального закона №149-ФЗ;
- Трудового кодекса Российской Федерации (в части обработки персональных данных работников, если применимо);
- Гражданского кодекса Российской Федерации;
- Налогового кодекса Российской Федерации;
- иных нормативных правовых актов Российской Федерации.
4. Сфера действия Положения
Настоящее Положение распространяется на обработку персональных данных следующих категорий субъектов:
- посетителей сайта;
- клиентов;
- потенциальных клиентов;
- участников мероприятий;
- арендаторов помещений;
- представителей юридических лиц;
- контрагентов;
- подрядчиков;
- физических лиц, обратившихся посредством сайта, телефона, электронной почты, социальных сетей, онлайн-чата либо иных каналов связи.
5. Ответственный за организацию обработки персональных данных
Ответственным за организацию обработки персональных данных является:
Индивидуальный предприниматель Лисненко Наталья Николаевна либо лицо, назначенное соответствующим приказом.
Ответственный обеспечивает:
- контроль соблюдения законодательства;
- организацию обработки персональных данных;
- контроль исполнения внутренних документов;
- рассмотрение обращений субъектов;
- проведение внутренних проверок;
- взаимодействие с Роскомнадзором;
- взаимодействие с подрядчиками;
- контроль сроков хранения персональных данных;
- контроль уничтожения персональных данных.
6. Основные задачи ответственного
Ответственный обязан:
- организовывать обработку персональных данных;
- обеспечивать соблюдение требований законодательства;
- контролировать доступ сотрудников;
- организовывать обучение сотрудников;
- проводить проверки соблюдения требований законодательства;
- контролировать уничтожение персональных данных;
- обеспечивать конфиденциальность;
- контролировать безопасность информационных систем.
7. Полномочия ответственного
Ответственный вправе:
- запрашивать необходимые сведения у сотрудников;
- проводить внутренние проверки;
- ограничивать доступ к персональным данным;
- инициировать изменение внутренних документов;
- требовать устранения нарушений;
- приостанавливать обработку персональных данных при выявлении нарушений.
ТОМ 2. Часть 2
Категории субъектов, состав данных, матрица и жизненный цикл
8. Категории субъектов персональных данных
Оператор осуществляет обработку персональных данных следующих категорий субъектов.
8.1. Посетители сайта
К данной категории относятся физические лица, посещающие официальный сайт Lisabon Space независимо от факта оформления заявки. Для данной категории могут обрабатываться:
- IP-адрес;
- Cookie;
- сведения о браузере;
- тип устройства;
- язык браузера;
- сведения о времени посещения;
- сведения о просмотренных страницах;
- источник перехода;
- технические идентификаторы;
- сведения, автоматически собираемые сервисами аналитики.
8.2. Пользователи, направившие обращение
В данную категорию входят лица, направившие заявку через сайт, Jivo, VK, Avito, AppEvent, по телефону, по электронной почте или через мессенджеры. Могут обрабатываться:
- фамилия;
- имя;
- отчество;
- номер телефона;
- адрес электронной почты;
- ссылки на аккаунты социальных сетей;
- текст обращения;
- история переписки;
- сведения о выбранной услуге.
8.3. Клиенты
Для клиентов могут дополнительно обрабатываться:
- история посещения занятий;
- история бронирований;
- информация о произведенных оплатах;
- сведения о приобретенных абонементах;
- история взаимодействия;
- информация о скидках;
- сведения о бонусных программах;
- сведения о договорах.
8.4. Представители юридических лиц
При взаимодействии с юридическими лицами могут обрабатываться:
- ФИО представителя;
- должность;
- номер телефона;
- адрес электронной почты;
- сведения о доверенности;
- реквизиты организации;
- сведения, необходимые для исполнения договора.
8.5. Контрагенты и подрядчики
В отношении подрядчиков могут обрабатываться:
- ФИО;
- реквизиты;
- контактная информация;
- сведения договоров;
- платежные реквизиты;
- переписка.
9. Категории персональных данных
В зависимости от целей обработки Оператор вправе осуществлять обработку следующих категорий персональных данных.
Идентификационные
- ФИО;
- дата рождения (при необходимости);
- пол (при необходимости).
Контактные
- телефон;
- электронная почта;
- адрес;
- аккаунты социальных сетей.
Договорные
- сведения договора;
- история оказания услуг;
- сведения об оплатах;
- сведения о бронированиях.
Технические
- IP;
- Cookie;
- User-Agent;
- сведения браузера;
- сведения устройства;
- идентификаторы сессии;
- время посещения сайта.
Маркетинговые
- источник обращения;
- рекламная кампания;
- UTM-метки;
- история коммуникаций;
- сведения CRM.
10. Матрица обработки персональных данных
| Категория субъекта | Цель обработки | Основание | Срок хранения |
|---|---|---|---|
| Посетитель сайта | Аналитика | Законный интерес | До 36 месяцев |
| Пользователь формы | Обработка обращения | Согласие | 36 месяцев |
| Клиент | Исполнение договора | Договор | В течение договора + 36 месяцев |
| Представитель контрагента | Исполнение договора | Договор | Согласно законодательству |
| Подрядчик | Исполнение договора | Договор | Согласно законодательству |
11. Источники получения персональных данных
Персональные данные поступают:
- непосредственно от субъекта;
- посредством сайта;
- посредством AppEvent;
- посредством CRM Bitrix24;
- посредством Jivo;
- посредством VK;
- посредством Avito;
- посредством электронной почты;
- посредством телефонной связи;
- посредством SMS.ru;
- посредством сервисов аналитики;
- посредством файлов Cookie.
Получение персональных данных осуществляется исключительно законными способами.
12. Жизненный цикл персональных данных
Обработка персональных данных включает следующие этапы:
- Получение персональных данных.
- Регистрация обращения.
- Проверка корректности сведений.
- Внесение сведений в CRM Bitrix24.
- Использование данных при оказании услуг.
- Хранение данных.
- Актуализация данных.
- Ограничение доступа.
- Архивное хранение.
- Уничтожение либо обезличивание персональных данных после достижения целей обработки или истечения сроков хранения.
13. Принцип минимизации
Оператор не осуществляет сбор персональных данных, не необходимых для достижения заявленных целей обработки.
Обрабатываются исключительно сведения, объективно необходимые для:
- записи на занятия;
- исполнения договоров;
- взаимодействия с клиентом;
- исполнения требований законодательства;
- обеспечения безопасности информационных систем;
- повышения качества обслуживания.
ТОМ 2. Часть 3
Регламент обработки в информационных системах
14. Общие требования к информационным системам персональных данных
14.1. Информационные системы персональных данных (далее — ИСПДн), используемые Оператором, предназначены исключительно для достижения целей обработки персональных данных, предусмотренных Политикой обработки персональных данных и настоящим Положением.
14.2. Все информационные системы должны использоваться в соответствии с требованиями законодательства Российской Федерации, внутренними локальными нормативными актами Оператора и пользовательскими соглашениями соответствующих сервисов.
14.3. Доступ к информационным системам предоставляется исключительно работникам и иным лицам, которым такой доступ необходим для исполнения служебных обязанностей.
14.4. Каждому пользователю информационной системы предоставляется индивидуальная учетная запись. Использование общих учетных записей допускается только при наличии объективной производственной необходимости и при условии документального закрепления ответственности.
14.5. Передача учетных данных третьим лицам запрещается.
14.6. Все лица, имеющие доступ к информационным системам, обязаны соблюдать режим конфиденциальности.
15. CRM Bitrix24
15.1. Назначение
CRM Bitrix24 используется как основная информационная система взаимодействия с клиентами. В системе допускается обработка следующих категорий данных: фамилия, имя, отчество, телефон, электронная почта, источник обращения, сведения о выбранной услуге, история обращений, записи телефонных переговоров (при использовании соответствующего функционала), сведения о договорах, история посещения мероприятий, история оплаты, внутренние комментарии сотрудников.
15.2. Основные цели использования
CRM используется для регистрации входящих обращений, записи клиентов, подготовки коммерческих предложений, ведения истории взаимодействия, исполнения договоров, формирования аналитической отчетности, контроля качества обслуживания и сопровождения клиента на протяжении всего периода сотрудничества.
15.3. Требования безопасности
При использовании CRM Bitrix24 должны соблюдаться следующие требования: использование индивидуальных учетных записей, применение сложных паролей, регулярная смена паролей, ограничение доступа согласно должностным обязанностям, отключение доступа уволенных сотрудников, использование двухфакторной аутентификации (при наличии технической возможности), регулярный контроль списка пользователей.
16. AppEvent
16.1. Назначение
AppEvent используется для регистрации участников мероприятий, бронирования мест, ведения расписания, информирования участников мероприятий и передачи сведений в CRM.
16.2. Персональные данные
В системе могут обрабатываться: ФИО, телефон, адрес электронной почты, сведения о мероприятии, история посещений, сведения об оплате.
16.3. Требования безопасности
При использовании AppEvent запрещается передавать доступ третьим лицам, использовать персональные данные вне целей обработки, выгружать базы данных без разрешения ответственного лица, хранить выгруженные данные на личных устройствах сотрудников.
17. WordPress
WordPress используется как система управления официальным сайтом. Через WordPress осуществляется прием заявок, работа форм обратной связи, обработка заявок на аренду залов, обработка заявок на мероприятия, передача данных в CRM.
Администраторы сайта обязаны своевременно обновлять программное обеспечение, использовать лицензионные плагины, обеспечивать резервное копирование сайта и ограничивать административный доступ.
18. Онлайн-чат Jivo
Jivo применяется для оперативного взаимодействия с посетителями сайта. Через сервис могут обрабатываться: имя пользователя, номер телефона, адрес электронной почты, содержание обращения, история переписки, технические сведения о подключении.
История переписки хранится исключительно в целях контроля качества обслуживания, разрешения спорных ситуаций и последующего сопровождения клиента.
19. VK
Официальное сообщество Lisabon Space используется для консультирования пользователей, записи на занятия, информирования клиентов, публикации новостей и получения обратной связи.
Сообщения пользователей могут переноситься в CRM Bitrix24 исключительно в объеме, необходимом для обработки обращения.
20. Avito
Avito используется как дополнительный канал привлечения клиентов.
При обработке обращений допускается перенос сведений в CRM Bitrix24 для дальнейшего сопровождения клиента.
Персональные данные используются исключительно в целях предоставления информации об услугах и исполнения договорных обязательств.
21. SMS.ru
SMS.ru применяется для направления подтверждений записи, уведомлений об изменении времени занятий, сервисных сообщений, одноразовых кодов подтверждения (при использовании соответствующего функционала).
Рекламные SMS-сообщения допускаются только при наличии отдельного согласия субъекта персональных данных.
22. Сервисы Яндекса
Оператор может использовать Яндекс Метрику, Яндекс Карты, Яндекс Бизнес и иные сервисы Яндекса.
При использовании Яндекс Метрики осуществляется обработка технической информации: IP-адрес (в объеме, определяемом сервисом), сведения об устройстве пользователя, cookie-файлы, сведения о действиях пользователя на сайте, сведения об источниках переходов, сведения о времени посещения сайта.
Полученные сведения используются исключительно для анализа работы сайта, повышения качества оказываемых услуг, улучшения пользовательского опыта и оценки эффективности рекламных кампаний.
23. Общие требования к обработчикам персональных данных
Лица и организации, привлекаемые Оператором для обработки персональных данных по поручению Оператора, обязаны соблюдать конфиденциальность персональных данных, обеспечивать безопасность персональных данных, использовать персональные данные исключительно в пределах целей обработки, соблюдать требования законодательства Российской Федерации и договоров с Оператором, незамедлительно информировать Оператора о выявленных инцидентах безопасности.
ТОМ 2. Часть 4
Доступ, конфиденциальность, контроль и взаимодействие с третьими лицами
24. Порядок предоставления доступа к персональным данным
24.1. Общие положения
Доступ к персональным данным предоставляется исключительно тем лицам, которым такой доступ объективно необходим для исполнения должностных обязанностей либо выполнения обязательств по гражданско-правовым договорам. Предоставление доступа осуществляется по принципу минимально необходимого объема прав доступа (Need-to-Know Principle). Каждый сотрудник получает доступ только к тем сведениям, которые необходимы ему для выполнения возложенных функций.
24.2. Категории лиц, имеющих доступ к персональным данным
В зависимости от выполняемых функций доступ к персональным данным может предоставляться Индивидуальному предпринимателю, управляющему студией, администраторам, менеджерам по продажам, специалистам клиентского сервиса, бухгалтерам, техническим специалистам, обслуживающим информационные системы, подрядчикам, привлекаемым по договору поручения на обработку персональных данных.
24.3. Запреты
Лицам, имеющим доступ к персональным данным, запрещается передавать персональные данные третьим лицам без законных оснований, использовать персональные данные в личных целях, копировать клиентские базы на личные устройства, фотографировать документы клиентов, использовать личные облачные хранилища для хранения рабочих данных, пересылать базы данных через личные мессенджеры, оставлять рабочие станции без блокировки при отсутствии пользователя, сообщать пароли другим лицам.
25. Разграничение прав доступа
Уровень 1 — Полный доступ
Предоставляется Индивидуальному предпринимателю и назначенному ответственному за организацию обработки персональных данных. Данный уровень предусматривает полный доступ ко всем информационным системам, управление пользователями, изменение настроек безопасности, экспорт данных, резервное копирование.
Уровень 2 — Расширенный доступ
Предоставляется управляющему и руководителю отдела продаж. Допускается просмотр карточек клиентов, создание сделок, изменение данных клиента, просмотр истории взаимодействия, формирование отчетов. Не допускается изменение настроек безопасности, управление учетными записями пользователей, удаление резервных копий.
Уровень 3 — Операционный доступ
Предоставляется администраторам и менеджерам. Допускается создание новых клиентов, запись клиентов, изменение расписания, ведение коммуникации, просмотр собственной базы. Не допускается экспорт клиентской базы, массовая выгрузка данных, изменение системных настроек.
Уровень 4 — Ограниченный доступ
Предоставляется техническим специалистам. Доступ осуществляется исключительно в пределах технического сопровождения информационных систем. При этом доступ к содержанию персональных данных ограничивается технической необходимостью.
26. Работа с бумажными носителями
При обработке персональных данных на бумажных носителях сотрудники обязаны хранить документы в закрытых шкафах, исключить доступ посторонних лиц, не оставлять документы без присмотра, исключить возможность фотографирования документов, использовать уничтожители документов при списании документов.
27. Работа с электронными носителями
Электронные носители информации должны храниться в защищенных информационных системах, использовать антивирусную защиту, регулярно резервироваться, защищаться паролями, использовать актуальное программное обеспечение.
Запрещается использование нелицензионного программного обеспечения, хранение клиентских баз на личных USB-накопителях, использование неизвестных внешних носителей.
28. Конфиденциальность персональных данных
Все сведения, относящиеся к персональным данным субъектов, признаются конфиденциальной информацией.
Лица, получившие доступ к персональным данным, обязаны не разглашать сведения третьим лицам, соблюдать требования внутренних документов, использовать персональные данные исключительно для исполнения служебных обязанностей, предотвращать несанкционированный доступ к информации.
Обязанность по соблюдению конфиденциальности сохраняется и после прекращения трудовых либо гражданско-правовых отношений.
29. Взаимодействие с обработчиками персональных данных
При привлечении сторонних организаций Оператор вправе поручить обработку персональных данных исключительно при наличии соответствующего договора.
Такой договор должен предусматривать предмет обработки, цели обработки, перечень обрабатываемых данных, категории субъектов, требования к обеспечению безопасности, обязательство соблюдать конфиденциальность, порядок возврата или уничтожения данных после прекращения договора, ответственность обработчика.
30. Внутренний контроль
Ответственный за обработку персональных данных организует внутренний контроль соблюдения требований законодательства.
Контроль включает проверку соблюдения внутренних документов, анализ прав доступа, проверку информационных систем, контроль сроков хранения персональных данных, проверку журналов доступа, контроль использования резервного копирования, анализ выявленных нарушений, подготовку предложений по устранению недостатков.
Плановые проверки рекомендуется проводить не реже одного раза в год, а внеплановые — при выявлении инцидентов безопасности, существенных изменениях процессов обработки либо изменениях законодательства.
31. Обучение сотрудников
Все сотрудники, получающие доступ к персональным данным, до начала работы должны ознакомиться с настоящим Положением, подписать обязательство о неразглашении персональных данных, пройти инструктаж по защите персональных данных, ознакомиться с ответственностью за нарушение законодательства.
Повторный инструктаж рекомендуется проводить не реже одного раза в год, а также при внесении существенных изменений в локальные нормативные акты.
ТОМ 2. Часть 5
Инциденты, резервное копирование, уничтожение, аудит и ответственность
32. Реагирование на инциденты информационной безопасности
32.1. Общие положения
Под инцидентом информационной безопасности понимается любое событие, которое привело либо могло привести к неправомерному доступу к персональным данным, утрате персональных данных, уничтожению персональных данных, изменению персональных данных, блокированию доступа к персональным данным, распространению персональных данных, компрометации учетных записей сотрудников, нарушению работоспособности информационных систем.
32.2. Действия при выявлении инцидента
Сотрудник, обнаруживший инцидент, обязан незамедлительно сообщить ответственному за обработку персональных данных, прекратить действия, которые могут усугубить последствия, зафиксировать дату, время и обстоятельства выявления инцидента, по возможности сохранить журналы событий и иные доказательства. Запрещается самостоятельно устранять последствия инцидента без уведомления ответственного лица.
32.3. Действия ответственного лица
Ответственный за обработку персональных данных организует локализацию инцидента, определяет причины возникновения, оценивает объем затронутых персональных данных, принимает меры по предотвращению повторного возникновения, оформляет внутренний акт о происшествии, при необходимости организует взаимодействие с уполномоченными государственными органами.
33. Резервное копирование
Для обеспечения сохранности персональных данных Оператор организует резервное копирование информационных систем.
Резервному копированию подлежат CRM Bitrix24 (в пределах доступных возможностей сервиса), базы данных сайта, документы, содержащие персональные данные, внутренние электронные архивы.
Рекомендуется выполнять резервное копирование регулярно, хранить резервные копии отдельно от рабочих данных, ограничивать доступ к резервным копиям, периодически проверять возможность восстановления данных.
34. Восстановление информации
При утрате информации Оператор обеспечивает восстановление данных из резервных копий при наличии технической возможности.
После восстановления проводится проверка целостности информации, проверка корректности данных, анализ причин инцидента, документирование выполненных действий.
35. Уничтожение персональных данных
Персональные данные подлежат уничтожению после достижения целей обработки, при отзыве согласия, если отсутствуют иные законные основания для обработки, после истечения установленных сроков хранения, по вступившему в силу судебному акту, в иных случаях, предусмотренных законодательством Российской Федерации.
35.1. Способы уничтожения
На бумажных носителях: измельчение посредством шредера, уничтожение специализированной организацией, иные способы, исключающие восстановление информации.
В электронном виде: удаление из информационных систем, удаление резервных копий (по окончании срока их хранения), применение программных средств безвозвратного удаления информации, уничтожение носителей информации при невозможности гарантированного удаления данных.
Факт уничтожения рекомендуется оформлять Актом об уничтожении персональных данных.
36. Документирование операций
Оператор обеспечивает документирование основных операций, связанных с обработкой персональных данных.
Документированию подлежат предоставление доступа к информационным системам, изменение прав доступа, факты уничтожения персональных данных, проведение внутренних проверок, выявленные нарушения, результаты внутренних аудитов, обращения субъектов персональных данных, исполнение запросов субъектов.
37. Внутренний аудит
В целях обеспечения соответствия требованиям законодательства проводится внутренний аудит.
В ходе аудита проверяются соблюдение требований Федерального закона № 152-ФЗ, актуальность внутренних документов, корректность предоставленных прав доступа, соблюдение сроков хранения, наличие согласий субъектов, безопасность информационных систем, исполнение требований настоящего Положения.
По результатам аудита составляется Отчет о внутренней проверке.
38. Ответственность работников
Работники, виновные в нарушении требований настоящего Положения, несут ответственность в соответствии с законодательством Российской Федерации.
В зависимости от характера нарушения могут применяться дисциплинарная ответственность, гражданско-правовая ответственность, административная ответственность, уголовная ответственность (в случаях, предусмотренных законодательством).
39. Взаимодействие с Роскомнадзором
При поступлении запросов, предписаний или иных документов от Роскомнадзора Оператор обеспечивает своевременную подготовку ответа, предоставление необходимых документов, взаимодействие с должностными лицами в пределах их полномочий, исполнение законных требований.
Все обращения и ответы рекомендуется регистрировать во внутреннем журнале учета.
40. Заключительные положения
Настоящее Положение вводится в действие приказом Оператора.
Все сотрудники, имеющие доступ к персональным данным, обязаны ознакомиться с Положением под подпись до начала работы с персональными данными.
Изменения в Положение вносятся приказом Оператора в случаях изменения законодательства Российской Федерации, изменения процессов обработки персональных данных, внедрения новых информационных систем, изменения организационной структуры, выявления необходимости совершенствования мер защиты персональных данных.
Настоящее Положение подлежит пересмотру не реже одного раза в три года либо ранее при возникновении оснований для его актуализации.
Приложения к Тому 2
ПРИЛОЖЕНИЕ №1. Реестр информационных систем персональных данных (ИСПДн)
1. Общие сведения
Настоящий Реестр ведется в целях учета информационных систем, в которых осуществляется обработка персональных данных субъектов, обеспечения контроля за соблюдением требований законодательства Российской Федерации и внутренней документации Оператора.
| № | Наименование ИСПДн | Назначение | Категории ПДн | Категории субъектов | Ответственный |
|---|---|---|---|---|---|
| 1 | Bitrix24 | CRM, ведение клиентов | Общие ПДн | Клиенты, лиды | ИП Лисненко Н.Н. |
| 2 | AppEvent | Онлайн-запись | Общие ПДн | Клиенты | Администратор |
| 3 | WordPress | Работа сайта | Общие и технические данные | Посетители сайта | Администратор сайта |
| 4 | Jivo | Онлайн-чат | Контактные данные, переписка | Посетители сайта | Администратор |
| 5 | Яндекс Метрика | Аналитика | Технические данные | Посетители сайта | Администратор сайта |
| 6 | VK | Прием обращений | Контактные данные | Пользователи | Менеджер |
| 7 | Avito | Лидогенерация | Контактные данные | Потенциальные клиенты | Менеджер |
| 8 | SMS.ru | Сервис уведомлений | Телефон | Клиенты | Администратор |
ПРИЛОЖЕНИЕ №2. Реестр обработчиков персональных данных
| Организация | Основание обработки | Цель |
|---|---|---|
| Bitrix24 | Договор/пользовательское соглашение | CRM |
| AppEvent | Договор | Онлайн-запись |
| Jivo | Пользовательское соглашение | Онлайн-чат |
| SMS.ru | Договор | SMS-уведомления |
| Яндекс | Пользовательское соглашение | Аналитика |
| VK | Пользовательское соглашение | Обработка обращений |
| Avito | Пользовательское соглашение | Прием обращений |
ПРИЛОЖЕНИЕ №3. Матрица доступа сотрудников
| Должность | Просмотр | Изменение | Удаление | Экспорт |
|---|---|---|---|---|
| ИП | ✓ | ✓ | ✓ | ✓ |
| Управляющий | ✓ | ✓ | ✕ | ✕ |
| Администратор | ✓ | ✓ | ✕ | ✕ |
| Менеджер | ✓ | ✓ | ✕ | ✕ |
| Бухгалтер | Ограничено | ✕ | ✕ | ✕ |
| Технический специалист | Ограничено | Ограничено | ✕ | ✕ |
ПРИЛОЖЕНИЕ №4. Журнал учета обращений субъектов персональных данных
| № | Дата | ФИО | Суть обращения | Исполнитель | Дата ответа | Результат |
|---|---|---|---|---|---|---|
Журнал ведется в бумажной или электронной форме.
ПРИЛОЖЕНИЕ №5. Журнал учета инцидентов
| № | Дата | Описание | Причина | Последствия | Меры | Ответственный |
|---|---|---|---|---|---|---|
ПРИЛОЖЕНИЕ №6. Форма Акта уничтожения персональных данных
АКТ №____ об уничтожении персональных данных
г. Москва «__» __________ 20__ г.
Комиссия в составе:
Председатель _______________________
Члены комиссии _______________________
составила настоящий акт о том, что уничтожены следующие персональные данные:
| Вид документа | Количество | Способ уничтожения |
|---|---|---|
Основание уничтожения:
- □ истечение срока хранения
- □ достижение целей обработки
- □ отзыв согласия
- □ иное
Подписи членов комиссии:
_______________________
_______________________
ПРИЛОЖЕНИЕ №7. Обязательство о неразглашении персональных данных
Я, __________________________________________, обязуюсь:
- соблюдать требования Федерального закона №152-ФЗ;
- не разглашать персональные данные;
- использовать их исключительно в служебных целях;
- соблюдать локальные нормативные акты;
- незамедлительно сообщать обо всех случаях утраты либо компрометации персональных данных.
Подпись ________________
Дата ____________________
ПРИЛОЖЕНИЕ №8. Лист ознакомления сотрудников
| ФИО | Должность | Дата | Подпись |
|---|---|---|---|
ПРИЛОЖЕНИЕ №9. Реестр сроков хранения персональных данных
| Категория данных | Цель | Срок хранения |
|---|---|---|
| Обращения клиентов | Обработка заявки | 36 месяцев |
| Клиенты | Исполнение договора | Срок договора + 36 месяцев |
| Договоры | Исполнение обязательств | В соответствии с законодательством РФ |
| Переписка в Jivo | Контроль качества | 36 месяцев |
| Заявки AppEvent | Запись на мероприятия | 36 месяцев |
| Данные Bitrix24 | Ведение CRM | До достижения целей обработки, но не менее 36 месяцев |
| Данные веб-аналитики | Аналитика | В пределах сроков, установленных настройками соответствующих сервисов и законодательством |
ПРИЛОЖЕНИЕ №10. Чек-лист внутреннего аудита
Проверяется наличие и актуальность:
- Политики обработки персональных данных.
- Настоящего Положения.
- Уведомления Роскомнадзора (при наличии обязанности по его подаче).
- Согласий субъектов персональных данных.
- Согласий на получение рекламной информации.
- Реестра информационных систем.
- Реестра обработчиков.
- Матрицы доступа.
- Журнала обращений субъектов.
- Журнала инцидентов.
- Актов уничтожения персональных данных.
- Листов ознакомления сотрудников.
- Договоров с обработчиками персональных данных.
- Регламентов резервного копирования.
- Локальных инструкций по защите персональных данных.
ТОМ 3
ДОКУМЕНТЫ ДЛЯ САЙТА И КЛИЕНТОВ
Часть 1. Согласие на обработку персональных данных
СОГЛАСИЕ на обработку персональных данных
Настоящим, заполняя форму на сайте https://lisabonspace.ru, направляя обращение посредством онлайн-чата, электронной почты, социальных сетей, сервиса AppEvent, Avito, по телефону либо иным способом взаимодействуя с Индивидуальным предпринимателем Лисненко Натальей Николаевной (далее — Оператор), я свободно, своей волей и в своем интересе выражаю согласие на обработку моих персональных данных.
1. Оператор
Индивидуальный предприниматель Лисненко Наталья Николаевна
ИНН: 504708693120
ОГРНИП: 322774600612296
Адрес: 117534, г. Москва, ул. Кировоградская, д. 11
E-mail: info@lisabonspace.ru
Телефон: +7 (945) 744-36-30
2. Персональные данные
Настоящее согласие распространяется на обработку следующих персональных данных, предоставляемых мной добровольно либо собираемых автоматически при использовании сайта: фамилия, имя, отчество, номер телефона, адрес электронной почты, сведения, содержащиеся в обращении, сведения о выбранных услугах, история обращений, IP-адрес, cookie-файлы, сведения о браузере, сведения об устройстве, технические идентификаторы, иные сведения, необходимые для достижения целей обработки.
3. Цели обработки
Персональные данные могут использоваться для обработки обращений, обратной связи, записи на занятия, записи на мероприятия, оформления аренды залов, исполнения договоров, сопровождения клиента, ведения CRM Bitrix24, направления сервисных уведомлений, улучшения качества обслуживания, аналитики посещаемости сайта, исполнения требований законодательства Российской Федерации. Рекламные и маркетинговые сообщения направляются только при наличии отдельного согласия.
4. Действия с персональными данными
Оператор вправе осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу обработчикам по поручению Оператора, обезличивание, блокирование, удаление, уничтожение.
5. Используемые сервисы
Для достижения целей обработки могут использоваться Bitrix24, AppEvent, WordPress, Jivo, Яндекс Метрика, VK, Avito, SMS.ru. Обработка персональных данных указанными сервисами осуществляется в пределах их функционального назначения и на основании заключенных договоров либо пользовательских соглашений.
6. Срок действия согласия
Настоящее согласие действует до достижения целей обработки персональных данных либо до момента его отзыва субъектом персональных данных, если иное не предусмотрено законодательством Российской Федерации. При отсутствии иных оснований для обработки персональные данные уничтожаются либо обезличиваются.
7. Отзыв согласия
Согласие может быть отозвано в любое время путем направления письменного обращения на электронную почту info@lisabonspace.ru либо почтовым отправлением по адресу Оператора. Отзыв согласия не влияет на законность обработки персональных данных, осуществленной до момента его получения Оператором.
8. Подтверждение
Отправляя форму на сайте либо нажимая кнопку «Отправить», «Записаться», «Оставить заявку», «Получить консультацию» либо иную аналогичную кнопку, я подтверждаю, что ознакомился с Политикой обработки персональных данных, ознакомился с Политикой использования файлов Cookie, понимаю цели обработки моих персональных данных, даю настоящее согласие добровольно, подтверждаю достоверность предоставленных сведений.
Часть 2. Согласие на получение рекламной и информационной рассылки
Важно: Этот документ должен быть отдельным от согласия на обработку персональных данных. Роскомнадзор и судебная практика исходят из того, что согласие на маркетинговые рассылки должно быть самостоятельным и добровольным. Оно не должно быть объединено с согласием на обработку персональных данных.
СОГЛАСИЕ на получение информационных и рекламных сообщений
Настоящим я, действуя свободно, своей волей и в своем интересе, даю согласие Индивидуальному предпринимателю Лисненко Наталье Николаевне (далее — Оператор) на получение информационных, сервисных и рекламных сообщений.
1. Цель рассылки
Рассылка осуществляется исключительно в целях информирования пользователей о деятельности Lisabon Space, включая расписание занятий, новые группы, мастер-классы, вечеринки, мероприятия, акции, специальные предложения, скидки, программы лояльности, изменения графика работы, открытие новых направлений, иные предложения, связанные с деятельностью Lisabon Space.
2. Каналы связи
Сообщения могут направляться посредством SMS, телефонных звонков, электронной почты, WhatsApp (при использовании), Telegram (при использовании), сообщений VK, Push-уведомлений, иных каналов связи, указанных пользователем.
3. Какие данные используются
Для направления сообщений могут использоваться номер телефона, адрес электронной почты, имя, сведения о приобретенных услугах, история посещений, история обращений, сведения о предпочтениях клиента.
4. Период действия
Настоящее согласие действует до момента его отзыва субъектом персональных данных.
5. Отзыв согласия
Отказаться от получения рекламной информации можно, направив заявление на электронную почту info@lisabonspace.ru, перейдя по ссылке «Отписаться» (если используется) либо сообщив сотруднику Lisabon Space любым удобным способом. После получения отказа рекламные сообщения прекращаются в разумный срок, необходимый для обработки обращения.
Чекбокс не должен быть отмечен заранее.
Часть 3. Политика использования Cookie
1. Общие положения
Настоящая Политика определяет порядок использования файлов Cookie и иных аналогичных технологий на сайте https://lisabonspace.ru. Использование Cookie осуществляется в целях обеспечения корректной работы сайта, повышения удобства пользователей, анализа посещаемости и улучшения качества оказываемых услуг.
2. Что такое Cookie
Cookie — это небольшие текстовые файлы, сохраняемые браузером пользователя на его устройстве при посещении сайта.
3. Какие Cookie используются
На сайте могут использоваться обязательные Cookie, аналитические Cookie и функциональные Cookie. Аналитические Cookie используются сервисами Яндекс Метрика, встроенными средствами WordPress и иными аналитическими сервисами исключительно для анализа посещаемости сайта.
4. Какие сведения могут собираться
При использовании Cookie могут автоматически обрабатываться IP-адрес (в объеме, определяемом используемыми сервисами), браузер, операционная система, разрешение экрана, сведения об устройстве, регион, источник перехода, время посещения, просмотренные страницы, действия пользователя на сайте.
5. Управление Cookie
Пользователь вправе запретить использование Cookie в настройках браузера, удалить ранее сохраненные Cookie, ограничить использование отдельных категорий Cookie. При отключении Cookie отдельные функции сайта могут работать некорректно.
6. Используемые сервисы
На сайте могут использоваться Яндекс Метрика, WordPress, Jivo, Bitrix24 (при использовании веб-форм), AppEvent (при переходе к сервису записи).
7. Согласие пользователя
При первом посещении сайта пользователю рекомендуется отображать баннер с уведомлением: «Мы используем файлы Cookie и аналогичные технологии для обеспечения работы сайта, анализа посещаемости и улучшения качества обслуживания. Продолжая пользоваться сайтом, вы соглашаетесь с использованием Cookie в соответствии с настоящей Политикой». Для аналитических и маркетинговых Cookie рекомендуется предусмотреть возможность выбора пользователем, если это требуется применимым законодательством и вашей конфигурацией сайта.
Часть 4. Тексты согласий для форм сайта
Заявка на обратный звонок
□ Я ознакомился(лась) с Политикой обработки персональных данных и даю согласие на обработку моих персональных данных.
Запись на занятие
□ Даю согласие на обработку моих персональных данных для записи на занятия и обратной связи.
Аренда зала
□ Даю согласие на обработку моих персональных данных в целях рассмотрения заявки на аренду помещения.
Онлайн-чат Jivo
Перед отправкой сообщения: □ Я согласен(на) на обработку персональных данных в соответствии с Политикой обработки персональных данных.
Подписка на новости
□ Даю согласие на получение информационной и рекламной рассылки.
AppEvent
□ Даю согласие на обработку персональных данных для регистрации на мероприятие.
Дополнительные рекомендации для полного соответствия
- Согласие на обработку персональных данных несовершеннолетних, если на занятия записываются дети или подростки.
- Форма согласия законного представителя (родителя/опекуна) — актуально для детских групп.
- Согласие на фото- и видеосъемку и использование изображений. Для танцевального пространства, где регулярно публикуются фото и видео с мероприятий, это рекомендуется оформить отдельным документом.
- Положение о порядке работы с обращениями субъектов персональных данных.
- Форма уведомления об отзыве согласия и внутренний регламент его исполнения.