Политика ООО «47 новостей» в отношении обработки персональных данных

1. Общие положения

1.1. Настоящим ООО «47 новостей» (ИНН 7840420740, ОГРН 1097847295611), зарегистрированное по адресу 191023, Санкт-Петербург ул. Зодчего Росси, д. 1-3, литер А, помещ. 26-н часть помещения 19, (далее — «Оператор») определяет правила обработки персональных данных в порядке статьи 18.1 Федерального закона «О персональных данных».

1.2. В настоящей политике используются следующие понятия и термины:

• персональные данные — любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных);
• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
• распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• субъект персональных данных — физическое лицо, к которому прямо или косвенно относятся персональные данные.

1.3. Субъектом персональных данных является пользователь сайта и/или мобильного приложения.

2. Правовые основания обработки персональных данных

Правовыми основаниями обработки персональных данных являются:

• согласие субъекта персональных данных;
• ФЗ «О персональных данных»;
• Закон РФ «О средствах массовой информации»;
• Устав редакции СМИ, учредителем которого выступает Оператор;
• иные акты нормативного и ненормативного характера, регламентирующие отношения, связанные с деятельностью Оператора.

3. Цели, виды, способы обработки персональных данных

3.1. Цели и виды обработки персональных данных зависят от раздела сайта/приложения, который посещает пользователь.
Сообщая новость через форму обратной связи, равно как и по контактным данным редакции СМИ, учредителем которого является Оператор, персональные данные, содержащиеся в таком сообщении, обрабатываются в целях осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных. С целью обратной связи с пользователем при отправке сообщения пользователем указывается номер телефона или адрес электронной почты.

Для этой цели Оператор вправе обрабатывать следующие виды персональных данных: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; социальное положение; имущественное положение; доходы; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; данные документа, содержащиеся в свидетельстве о рождении; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); отношение к воинской обязанности, сведения о воинском учете; сведения, собираемые посредством метрических программ; фото-видео изображение лица и прочие персональные данные, сообщаемые пользователем. Оператор также вправе обрабатывать персональные данные, относящиеся к специальной категории персональных данных: сведения о состоянии здоровья; национальная принадлежность; политические взгляды; религиозные или философские убеждения; сведения о судимости.

Настоящим разъясняем, что указанный перечень персональных данных может быть у Оператора только от пользователя, включающий эту информацию в сообщение, адресованное редакции.

3.2. Обработка персональных данных осуществляется смешанно (как с использованием средств автоматизации, так и без использования таковых), с передачей по внутренней сети Оператора и с передачей по сети Интернет.

3.3. Оператор вправе собирать, записывать, систематизировать, накапливать, хранить, уточнять (обновлять, изменять), использовать, передавать (предоставлять доступ), удалять, уничтожать персональные данные. При этом для целей использования некоторыми сервисами Оператора пользователь дает Оператору согласие на распространение персональных данных.

4. Сроки обработки, хранения и порядок удаления персональных данных

4.1. Персональные данные обрабатываются и хранятся в срок до достижения целей обработки персональных данных или отзыва согласия на обработку персональных данных. Персональные данные могут храниться как на материальных носителях, так и в электронном виде, как с использованием средств автоматизации, так и без такового.

4.2. При достижении целей обработки персональных данных такие данные уничтожаются, только если Оператор не вправе продолжить обработку персональных данных (в том числе путем хранения) без согласия субъекта персональных данных в порядке, предусмотренном законодательством Российской Федерации.

4.3. Уничтожение персональных данных, хранящихся на материальном носителе, осуществляется любым способом, исключающим ознакомление лица с персональными данными. Уничтожение персональных данных, хранящихся на электронном носителе, осуществляется методом удаления файлов и их остатков без возможности восстановления, предусмотренном производителем носителя.

4.4. Пользователь вправе отозвать согласие на обработку персональных данных, направив требование по адресу news@47news.ru. При этом сообщение должно поступить с адреса, указанного при регистрации.

5. Условия обработки персональных данных

5.1. Персональные данные субъекта персональных данных обрабатываются для достижения отмеченных выше целей.

5.2. Оператор вправе передать персональные данные по внутренней сети в рамках группы компаний (холдинг, частью которого является Оператор). Передача персональных данных по запросу органов государственной власти, а также иным уполномоченным лицам (например, адвокатам) допускается в порядке требований законодательства Российской Федерации. Трансграничная передача персональных данных не осуществляется.

5.3. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе обрабатывать эти данные при том условии, что оно предусмотрено законом.

5.4. К обработке персональных данных Оператор вправе привлечь третьих лиц, к которым относятся контрагенты Оператора, оказывающие услуги технической поддержки корректной работы сайта и/или мобильного приложения, контрагенты, предоставляющие услуги рекламно-информационного характера, иные услуги; аффилированным лицам Оператора (участникам группы компаний).

5.5. Третьи лица, привлекаемые Оператором к обработке согласно пункту 5.4 настоящей политики, вправе обрабатывать персональные данные без дополнительных ограничений, если они обрабатываются в целях и в должном качестве, предусмотренном законодательством Российской Федерации и внутренними положениями, принятыми во исполнение статьи 18.1 ФЗ «О персональных данных». При этом оператор имеет право привлекать таких третьих лиц без получения дополнительного согласия субъекта персональных данных.

6. Меры реализации защиты персональных данных

Оператор применяет следующие средства защиты персональных данных, прошедшие процедуру оценки соответствия установленным требованиям:

Средства межсетевого экранирования и контроля сетевого трафика, системы обнаружения и предотвращения атак, включая защиты от DDoS-атак на уровнях L3/L4 и L7, программные средства криптографической защиты информации при передаче данных (TLS), средства обнаружения и предотвращения атак (WAF, Fail2ban), системы управления доступом к серверам и информационным ресурсам, средства журналирования и хранения событий безопасности, а также программные средства резервного копирования и восстановления данных.

Ответственным за обеспечение безопасности персональных данных в информационных системах является Корпоративный директор по технологиям.

Контроль за выполнением Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных Постановлением Правительства Российской Федерации от 01.11.2012 N 1119, проводится в следующие сроки: не реже 1 раза в 3 года в следующем порядке:

• Проверяется актуальность модели угроз и перечня реализованных мер защиты, включая анализ изменений в инфраструктуре, составе ИСПДн, каналах передачи данных и используемых сервисах.
• Оценивается состояние технических мер защиты, включая:
  • межсетевое экранирование (firewall);
  • криптографическую защиту передачи данных (TLS);
  • средства обнаружения и предотвращения атак (WAF, Fail2ban, DDoS-защита уровней L3/L7);
  • средства журналирования и хранения событий безопасности;
  • механизмы резервного копирования и восстановления данных;
  • управление доступом к серверам, базам данных и административным интерфейсам.
• Проверяется соблюдение организационных мер защиты персональных данных, включая актуальность приказов, регламентов и распределения ролей, а также соблюдение порядка администрирования и управления доступами.
• Проводится анализ журналов событий безопасности с целью выявления инцидентов информационной безопасности, попыток несанкционированного доступа, ошибок конфигурации или нарушений режима защиты.
• Выполняется оценка достаточности, корректности и соответствия применяемых мер защиты требованиям Постановления № 1119 и установленному уровню защищённости ИСПДн.
• Оформляется акт внутреннего контроля, содержащий выявленные несоответствия, рекомендации по их устранению и сроки выполнения корректирующих мероприятий.
• Проводится контроль выполнения корректирующих действий, определённых в акте проверки, до полного устранения выявленных нарушений.