УТВЕРЖДАЮ

Индивидуальный предприниматель

Сарамутин Юрий Валерьевич

_______________________ /Сарамутин Ю.В./

Приказ № ________ от «___» ____________ 20___ г.

ПОЛИТИКА

в отношении обработки и защиты персональных данных

Индивидуальный предприниматель Сарамутин Юрий Валерьевич

(школа плавания «PlavClub», https://plavclub.ru)

г. Москва, 20___ г.

1. Общие положения

1.1. Настоящая Политика в отношении обработки и защиты персональных данных (далее — «Политика») разработана Индивидуальным предпринимателем Сарамутиным Юрием Валерьевичем (ОГРНИП 320774600523111 от 14.12.2020, ИНН 771205597908, адрес регистрации: 125581, Россия, г. Москва, ул. Флотская, д. 13, к. 1, кв. 146; далее — «Оператор») в целях исполнения требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных») и иных нормативных правовых актов Российской Федерации в области персональных данных.
1.2. Политика определяет принципы, цели, правовые основания, состав и категории обрабатываемых персональных данных, категории субъектов персональных данных, способы и условия их обработки, сроки хранения, права субъектов персональных данных, обязанности Оператора, а также реализуемые Оператором правовые, организационные и технические меры защиты персональных данных.
1.3. Оператор оказывает физкультурно-оздоровительные услуги (школа плавания «PlavClub»): обучение плаванию, групповые и индивидуальные тренировки в бассейнах, подготовку к заплывам на открытой воде и иные сопутствующие услуги. В связи с этим Оператор обрабатывает персональные данные клиентов и их законных представителей, посетителей сайта https://plavclub.ru, контрагентов, тренеров и иных лиц, с которыми вступает в правоотношения.
1.4. Во исполнение части 2 статьи 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в сети Интернет на сайте Оператора по адресу https://plavclub.ru/privacy и доступна для ознакомления любому лицу до момента передачи им персональных данных Оператору.
1.5. Положения Политики являются основой для разработки локальных актов Оператора по вопросам обработки персональных данных, форм согласий, инструкций, актов и иных внутренних документов.
1.6. Действие Политики распространяется на любую информацию о субъекте персональных данных, полученную Оператором как с использованием средств автоматизации, так и без таковых.

2. Основные понятия

2.1. В Политике используются понятия в значениях, установленных Законом о персональных данных, в том числе:

• «персональные данные» — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
• «оператор» — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных, действия (операции), совершаемые с ними;
• «обработка персональных данных» — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
• «автоматизированная обработка» — обработка персональных данных с помощью средств вычислительной техники;
• «распространение» — действия, направленные на раскрытие персональных данных неопределённому кругу лиц;
• «предоставление» — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц;
• «блокирование» — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных);
• «обезличивание» — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту;
• «уничтожение» — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и/или в результате которых уничтожаются материальные носители
• «трансграничная передача персональных данных» — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу;
• «согласие на обработку персональных данных» — конкретное, информированное, предметное и сознательное волеизъявление субъекта персональных данных или его законного представителя.

3. Принципы и правовые основания обработки персональных данных
3.1. Обработка персональных данных Оператором осуществляется на основе следующих принципов (статья 5 Закона о персональных данных):

• обработка на законной и справедливой основе;
• ограничение обработки достижением конкретных, заранее определённых и законных целей; недопущение обработки, несовместимой с целями сбора;
• недопущение объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• соответствие содержания и объёма обрабатываемых персональных данных заявленным целям обработки; недопущение избыточности данных по отношению к заявленным целям;
• обеспечение точности персональных данных, их достаточности, а при необходимости — актуальности;
• хранение персональных данных в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если иной срок не установлен федеральным законом, договором или соглашением.

3.2. Оператор обрабатывает персональные данные при наличии хотя бы одного из правовых оснований, предусмотренных статьёй 6 Закона о персональных данных, в том числе:

• согласие субъекта персональных данных (в том числе при заполнении форм на сайте Оператора, подписании анкет, согласий, иных документов);
• обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, в том числе для заключения такого договора по инициативе субъекта;
• обработка необходима для исполнения возложенных на Оператора законодательством Российской Федерации функций, полномочий и обязанностей (в частности, в сфере бухгалтерского, налогового учёта, защиты прав потребителей, противодействия легализации доходов и пр.);
• обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение его согласия невозможно;
• обработка необходима для осуществления прав и законных интересов Оператора или третьих лиц либо для достижения общественно значимых целей при условии, что не нарушаются права и свободы субъекта персональных данных;
• обработка персональных данных, доступ к которым предоставлен субъектом персональных данных или сделан им общедоступным.

3.3. Согласие субъекта персональных данных оформляется как конкретное, информированное и сознательное волеизъявление в любой позволяющей подтвердить факт его получения форме (статья 9 Закона о персональных данных). Согласие на обработку персональных данных, разрешённых для распространения, оформляется отдельно от иных согласий (статья 10.1 Закона о персональных данных). Согласие на получение рекламных сообщений и информационных рассылок запрашивается отдельно и не является условием получения услуг.
3.4. Обработка специальных категорий персональных данных (в том числе сведений о состоянии здоровья) осуществляется в соответствии со статьёй 10 Закона о персональных данных, в строго ограниченном объёме, необходимом для оценки допуска субъекта к физкультурно-оздоровительным занятиям, обеспечения безопасности на занятиях и учёта медицинских противопоказаний, при наличии согласия субъекта персональных данных или его законного представителя либо иных предусмотренных законом оснований. Оператор не запрашивает медицинские диагнозы и сведения о состоянии здоровья сверх объёма, необходимого для указанных целей.
3.5. Обработка персональных данных несовершеннолетних осуществляется с согласия их родителя или иного законного представителя. Законный представитель отвечает за достоверность представленных сведений и наличие у него права давать согласие на обработку персональных данных несовершеннолетнего.

4. Категории субъектов персональных данных и состав обрабатываемых данных

4.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• клиенты Оператора (физические лица, обращающиеся за получением услуг и/или получающие услуги);
• законные представители несовершеннолетних клиентов;
• посетители сайта https://plavclub.ru;
• контрагенты — физические лица и представители юридических лиц/индивидуальных предпринимателей, с которыми Оператор заключает гражданско-правовые договоры;
• тренеры и иные лица, привлекаемые Оператором по гражданско-правовым договорам для оказания услуг;
• лица, направившие Оператору обращения, претензии, запросы, в том числе через сайт и по электронной почте.

4.2. Состав обрабатываемых персональных данных определяется целями обработки и категорией субъекта и может включать:

• фамилия, имя, отчество (при наличии);
• дата рождения; в отношении несовершеннолетних клиентов — также сведения о законном представителе (ФИО, контактные данные, реквизиты документа, удостоверяющего личность, в объёме, необходимом для подтверждения полномочий);
• контактные данные: номер телефона, адрес электронной почты, идентификаторы в мессенджерах (при их предоставлении субъектом);
• сведения о приобретённых услугах, абонементах, посещениях, расписании занятий, истории взаимодействия с Оператором;
• сведения, необходимые для идентификации при заключении и исполнении договора, при рассмотрении претензий, для бухгалтерского и налогового учёта (в объёме, предусмотренном законодательством);
• сведения о состоянии здоровья в объёме, необходимом для допуска к занятиям и обеспечения безопасности (наличие/отсутствие медицинских противопоказаний к плаванию и физическим нагрузкам, сведения из медицинских справок и анкет здоровья), — обрабатываются при наличии согласия и/или иного законного основания;
• платёжные данные, необходимые для оплаты услуг (обработка осуществляется через платёжные сервисы/банки-эквайеры; полные реквизиты банковских карт Оператором не хранятся);
• изображение (фото- и видеоматериалы) — при наличии отдельного согласия субъекта на обнародование и использование изображения либо в иных предусмотренных законом случаях;
• технические данные посетителей сайта: IP-адрес, идентификаторы файлов cookie, сведения о браузере и устройстве, дата и время посещения, посещённые страницы, источник перехода, иные данные, автоматически передаваемые при посещении сайта;
• сведения, необходимые для исполнения гражданско-правовых договоров с тренерами и иными контрагентами (паспортные данные, ИНН, СНИЛС, банковские реквизиты, статус самозанятого/индивидуального предпринимателя — в объёме, требуемом законодательством).

4.3. Оператор не обрабатывает биометрические персональные данные, специальные категории персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, за исключением сведений о состоянии здоровья в объёме, предусмотренном пунктом 3.4 Политики.

5. Цели обработки персональных данных, категории данных, правовые основания и сроки хранения

5.1. Оператор обрабатывает персональные данные исключительно в конкретных, заранее определённых и законных целях. Соответствие целей обработки, категорий обрабатываемых данных, правовых оснований и сроков хранения приведено в таблице ниже.
5.2. По истечении сроков, указанных в пункте 5.1 Политики, либо при достижении целей обработки, либо при отзыве субъектом персональных данных согласия (если иные правовые основания обработки отсутствуют) персональные данные подлежат уничтожению или обезличиванию в порядке, установленном настоящей Политикой и законодательством Российской Федерации.

6. Условия и способы обработки персональных данных

6.1. Оператор осуществляет как автоматизированную, так и неавтоматизированную обработку персональных данных. Обработка осуществляется путём:

• получения персональных данных непосредственно от субъекта персональных данных (через формы на сайте, при личном обращении, по телефону, электронной почте, в мессенджерах);
• получения персональных данных от законных представителей несовершеннолетних;
• внесения персональных данных в журналы, реестры, базы данных и информационные системы Оператора;
• передачи персональных данных лицам, осуществляющим обработку по поручению Оператора (раздел 7 Политики), в объёме и на условиях, предусмотренных поручением;
• иных способов, не противоречащих законодательству Российской Федерации.

6.2. К обработке персональных данных допускаются работники и привлекаемые Оператором лица, ознакомленные с настоящей Политикой и принявшие на себя обязательства о конфиденциальности персональных данных.
6.3. При сборе персональных данных, в том числе с использованием сайта https://plavclub.ru, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных).
6.4. Трансграничная передача персональных данных осуществляется Оператором только в случаях и в порядке, предусмотренных статьёй 12 Закона о персональных данных, в том числе с предварительным уведомлением Роскомнадзора и при наличии надлежащих правовых оснований (включая, при необходимости, отдельное согласие субъекта). При использовании иностранных сервисов интернет-статистики и иных иностранных сервисов Оператор оценивает наличие трансграничной передачи и принимает меры по её правомерности либо отказу от такой передачи.
6.5. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки его персональных данных.

7. Передача персональных данных и поручение обработки третьим лицам

7.1. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (поручения), отвечающего требованиям части 3 статьи 6 Закона о персональных данных. В договоре определяются перечень действий (операций), цели обработки, обязанность лица соблюдать конфиденциальность и обеспечивать безопасность персональных данных, требования к защите.
7.2. Оператор может поручать обработку персональных данных следующим категориям лиц:

• хостинг-провайдер, обеспечивающий размещение и работу сайта Оператора (хранение данных, поступающих через сайт, на серверах хостинг-провайдера);
• провайдеры систем учёта клиентов и записи на занятия (CRM-системы, системы онлайн-записи) — для ведения базы клиентов, расписания и истории взаимодействия;
• платёжные сервисы и банки-эквайеры, используемые Оператором, — для приёма платежей и формирования кассовых чеков;
• сервисы рассылок по электронной почте, SMS-сервисы, сервисы мессенджеров — для направления информационных и (при наличии согласия) рекламных сообщений;
• облачные хранилища, используемые для резервного копирования и хранения документов;
• сервисы интернет-статистики (в частности, «Яндекс Метрика» (ООО «ЯНДЕКС»), при использовании — «Google Analytics» либо иные аналогичные сервисы) — для анализа посещаемости сайта и улучшения его работы;
• бухгалтерские, юридические и иные подрядчики, оказывающие Оператору сопутствующие услуги, — в объёме, необходимом для оказания таких услуг.

7.3. Тренеры, привлекаемые Оператором по гражданско-правовым договорам, получают доступ к персональным данным клиентов в объёме, минимально необходимом для проведения занятий и обеспечения безопасности (ФИО клиента, возраст, сведения о медицинских противопоказаниях из анкеты здоровья, контактные данные при необходимости связи). С тренерами заключаются договоры, содержащие обязательства о конфиденциальности персональных данных и соблюдении требований Закона о персональных данных.
7.4. Конкретный перечень лиц, которым поручается обработка персональных данных, с указанием наименования (ФИО), адреса и обрабатываемых данных формируется Оператором во внутреннем документе (перечне обработчиков) и предоставляется субъекту персональных данных по его запросу в порядке статьи 14 Закона о персональных данных.
7.5. Передача персональных данных органам государственной власти (в том числе органам дознания, следствия, прокуратуры, налоговым органам, Социальному фонду России) осуществляется в соответствии с требованиями законодательства Российской Федерации.
7.6. Оператор не продаёт персональные данные субъектов и не передаёт их третьим лицам в маркетинговых целях без согласия субъекта.

8. Использование файлов cookie и сервисов интернет-статистики

8.1. При посещении сайта https://plavclub.ru Оператор собирает технические данные с использованием файлов cookie и аналогичных технологий, в том числе: IP-адрес, идентификаторы cookie, сведения о браузере и устройстве, операционной системе, разрешении экрана, дате и времени посещения, посещённых страницах, источнике перехода (referrer).
8.2. Указанные данные используются Оператором для:

• обеспечения работоспособности и безопасности сайта;
• сохранения пользовательских настроек;
• сбора обезличенной статистики посещений и анализа поведения посетителей;
• улучшения содержания и удобства сайта.

8.3. Для сбора и анализа технических данных Оператор использует сервисы интернет-статистики, в частности «Яндекс Метрика» (ООО «ЯНДЕКС») и (при использовании) «Google Analytics» (Google LLC), а также иные сервисы интернет-статистики при их подключении. Сведения о фактически используемых сервисах размещаются на сайте Оператора либо предоставляются по запросу субъекта.
8.4. Субъект персональных данных вправе отключить использование файлов cookie в настройках своего браузера. В этом случае часть функций сайта может работать некорректно.
8.5. При использовании сервисов, предусматривающих трансграничную передачу персональных данных, Оператор обеспечивает соблюдение требований статьи 12 Закона о персональных данных, в том числе предварительное уведомление уполномоченного органа и получение, при необходимости, отдельного согласия субъекта на трансграничную передачу. В случае невозможности обеспечить соблюдение указанных требований соответствующие сервисы Оператором не используются.

9. Хранение и уничтожение персональных данных

9.1. Персональные данные могут храниться как на бумажных носителях, так и в электронной форме. Бумажные носители хранятся в запираемых шкафах либо в помещениях с ограниченным доступом. Электронные носители и информационные системы защищены средствами разграничения доступа.
9.2. Не допускается хранение и размещение документов, содержащих персональные данные, в открытых электронных каталогах (общедоступных папках, публичных файлообменниках) информационных систем Оператора.
9.3. Хранение персональных данных в форме, позволяющей определить субъекта, осуществляется не дольше, чем этого требуют цели обработки, если иной срок не установлен федеральным законом, договором или соглашением.
9.4. Персональные данные подлежат уничтожению или обезличиванию:

• по достижении целей обработки или утрате необходимости в их достижении;
• в случае отзыва субъектом согласия на обработку, если у Оператора отсутствуют иные правовые основания для обработки;
• при выявлении неправомерной обработки персональных данных в установленные законом сроки;
• по истечении сроков хранения, указанных в разделе 5 Политики.

9.5. Уничтожение бумажных носителей осуществляется путём шредирования или иными способами, исключающими возможность восстановления информации. Персональные данные на электронных носителях уничтожаются путём гарантированного стирания файлов и/или физического уничтожения носителей. Факт уничтожения оформляется актом.

10. Меры по обеспечению безопасности персональных данных

10.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных и иных неправомерных действий, в соответствии со статьёй 19 Закона о персональных данных.
10.2. Применяемые Оператором меры включают, в частности:

• назначение лица, ответственного за организацию обработки персональных данных у Оператора;
• издание локальных актов по вопросам обработки персональных данных, ознакомление с ними работников и привлекаемых лиц;
• определение угроз безопасности персональных данных при их обработке, разработку мер по защите;
• установление правил доступа к персональным данным, обрабатываемым в информационной системе, организацию учёта таких действий;
• использование индивидуальных паролей доступа к информационным системам, разграничение прав доступа в соответствии с обязанностями работников и привлекаемых лиц;
• применение средств защиты информации (антивирусное программное обеспечение, средства резервного копирования, средства контроля целостности и пр.);
• передачу персональных данных через сайт по защищённым каналам связи (HTTPS);
• обеспечение конфиденциальности персональных данных лицами, получившими к ним доступ;
• обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по устранению последствий, восстановление персональных данных, изменённых или уничтоженных вследствие такого доступа;
• осуществление внутреннего контроля и оценки эффективности принимаемых мер.

10.3. Лицом, ответственным за организацию обработки персональных данных у Оператора, является Индивидуальный предприниматель Сарамутин Юрий Валерьевич. Контактные данные ответственного лица для направления обращений субъектов: e-mail info@plavclub.ru.

11. Права субъекта персональных данных
11.1. Субъект персональных данных имеет право (статьи 14–18, 20–21 Закона о персональных данных):

• получать сведения, касающиеся обработки его персональных данных, в том числе информацию о подтверждении факта обработки, правовых основаниях и целях обработки, применяемых способах, сроках обработки и хранения, лицах (за исключением работников Оператора), которым раскрываются персональные данные на основании договора с Оператором или федерального закона;
• получать сведения о наименовании и месте нахождения Оператора и лиц, осуществляющих обработку по поручению Оператора;
• требовать уточнения, блокирования или уничтожения персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных в любой момент. При отзыве согласия Оператор прекращает обработку, если у Оператора отсутствуют иные правовые основания для её продолжения. Отзыв согласия не влияет на законность обработки, осуществлённой до его отзыва;
• возражать против обработки персональных данных, осуществляемой в целях продвижения товаров, работ, услуг (в том числе отозвать согласие на получение рекламных рассылок);
• обжаловать действия или бездействие Оператора в уполномоченном органе по защите прав субъектов персональных данных (Роскомнадзор) и в судебном порядке;
• защищать свои права и законные интересы, в том числе требовать возмещения убытков и (или) компенсации морального вреда в судебном порядке.

11.2. Право субъекта на доступ к его персональным данным может быть ограничено в случаях, предусмотренных частью 8 статьи 14 Закона о персональных данных.

12. Порядок обращения субъекта персональных данных к Оператору

12.1. Субъект персональных данных или его представитель вправе направить Оператору обращение или запрос в письменной форме по адресу: 125581, Россия, г. Москва, ул. Флотская, д. 13, к. 1, кв. 146, либо в форме электронного документа на адрес электронной почты info@plavclub.ru.
12.2. Запрос должен содержать сведения, предусмотренные частью 3 статьи 14 Закона о персональных данных, в том числе:

• номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора, дата заключения, иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
• подпись субъекта персональных данных или его представителя; в случае направления запроса в форме электронного документа — электронную подпись в соответствии с законодательством Российской Федерации.

12.3. Оператор предоставляет ответ субъекту персональных данных в сроки, установленные Законом о персональных данных. В случае выявления неточных персональных данных Оператор уточняет их в течение семи рабочих дней со дня представления подтверждающих сведений. В случае выявления неправомерной обработки Оператор прекращает её в установленном законом порядке.
12.4. При отказе в удовлетворении запроса Оператор предоставляет мотивированный ответ со ссылкой на основания такого отказа.

13. Действия Оператора при инцидентах с персональными данными

13.1. При выявлении инцидентов в области персональных данных, в том числе фактов неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в порядке и сроки, предусмотренные статьёй 21 Закона о персональных данных.
13.2. Оператор устанавливает причины инцидента, принимает меры по устранению его последствий и снижению рисков повторного возникновения.

14. Заключительные положения

14.1. Политика вступает в силу с даты её утверждения Оператором и действует бессрочно до утверждения новой редакции. Действующая редакция Политики размещается в свободном доступе на сайте Оператора https://plavclub.ru/privacy.
14.2. Изменения и дополнения в Политику вносятся приказом (распоряжением) Оператора. Новая редакция Политики вступает в силу с момента её опубликования на сайте Оператора, если иное не указано в новой редакции.
14.3. Сведения об Операторе как лице, осуществляющем обработку персональных данных, могут быть размещены в реестре операторов, ведение которого осуществляет Роскомнадзор (https://pd.rkn.gov.ru/).
14.4. Ответственность за нарушение требований законодательства Российской Федерации в области персональных данных и положений настоящей Политики определяется в соответствии с законодательством Российской Федерации.

Реквизиты Оператора

Индивидуальный предприниматель Сарамутин Юрий Валерьевич
ОГРНИП: 320774600523111 от 14.12.2020
ИНН: 771205597908
Адрес регистрации: 125581, Россия, г. Москва, ул. Флотская, д. 13, к. 1, кв. 146
Сайт: https://plavclub.ru
Адрес для обращений по вопросам обработки персональных данных (электронная почта): info@plavclub.ru
Лицо, ответственное за организацию обработки персональных данных: ИП Сарамутин Ю.В. (по умолчанию).
________________________ / Сарамутин Ю.В. /
«___» ____________ 20___ г.