Политика обработки персональных данных. Фуд и предметный фотограф в Санкт-Петербурге Светлана Снежкина

Политика обработки персональных данных

В этом документе мы подробно расскажем, какие данные собираем, как их используем и защищаем, а также какие права у вас есть в отношении ваших данных.

Чтобы сориентироваться быстро и удобно, обратите внимание на основные разделы:

Ключевые понятия и термины

Ваши права как субъекта данных

Цели и основания обработки информации

Условия передачи и хранения данных

Меры безопасности и защиты информации

Такой подход поможет вам легко понять, что именно описано внутри и на что стоит обратить внимание.

1. Общие положения

Настоящая Политика обработки персональных данных разработана в соответствии с Федеральным законом от 27.07.2006 № 152‑ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые мной, Снежкиной Светланой Викторовной (далее — Оператор).
2. Оператор — физическое лицо, зарегистрированное в качестве самозанятого на основании Федерального закона № 422‑ФЗ, ИНН 519 052 444 701, осуществляет деятельность с основным адресом: г. Новокузнецк, Кемеровская область.
Услуги предоставляются дистанционно и с выездом по всей территории Российской Федерации.
3. Цель Политики — обеспечить прозрачность и информированность субъектов персональных данных (далее — Субъекты) о том, какие данные собираются, как обрабатываются, с кем могут передаваться и как надёжно хранятся. В документе даны определения основных терминов, описаны права Субъектов и обязанности Оператора, перечислены цели обработки, условия и т. д.
4. Политика применяется ко всей информации, которую Оператор получает о посетителях веб‑сайта https://snezhkina.ru/, а также при сборе данных при заключении договоров на оказание фотоуслуг, обмене сообщениями по электронной почте и через мессенджеры, при выставлении чеков и проведении бухгалтерской отчётности.

2. Основные понятия

2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому Субъекту (ФИО, адрес, телефон, email, IP‑адрес и др.).
2.2. Обработка персональных данных — любое действие (операция) или совокупность действий, совершаемых с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
2.3. Автоматизированная обработка персональных данных — обработка с использованием вычислительной техники.
2.4. Блокирование персональных данных — временное прекращение обработки, за исключением случаев, когда обработка необходима для уточнения данных.
2.5. Обезличивание персональных данных — действия, в результате которых невозможно определить принадлежность данных конкретному Субъекту без использования дополнительной информации (то есть данные становятся анонимными).
2.6. Информационная система персональных данных (ИСПДн) — совокупность содержащихся в электронных базах данных персональных данных, а также технических и программных средств, обеспечивающих их обработку. В данном случае ИСПДн включает: CRM‑систему, облачное хранилище (Яндекс.Диск/Google Drive), программу «Мой налог» для выставления чеков, почтовый сервер.
2.7. Веб‑сайт — совокупность графических и информационных материалов, а также программ для ЭВМ и баз данных, доступных в сети Интернет по адресу https://snezhkina.ru/.

2.8. Оператор — я, Снежкина Светлана Викторовна (далее — Оператор), ответственная за организацию и осуществление обработки персональных данных, определяющая цели, состав и порядок действий с данными.
2.9. Субъект персональных данных (Субъект) — любое физическое лицо (гражданин), которому принадлежат обрабатываемые персональные данные.
2.10. Передача персональных данных — действия, направленные на раскрытие данных определённому специалисту, уполномоченному органу или третьим лицам.
2.11. Распространение персональных данных — действия, направленные на раскрытие данных неопределённому кругу лиц (публикация, размещение в сети Интернет).
2.12. Трансграничная передача персональных данных — передача данных на территорию иностранного государства органу власти, иностранному физическому или иностранному юридическому лицу.
2.13. Уничтожение персональных данных — любые действия, в результате которых данные уничтожаются безвозвратно с невозможностью восстановления.
2.14. Конфиденциальность персональных данных — обязательное соблюдение режима, при котором доступ к данным ограничен и не допускается их раскрытие третьим лицам без согласия Субъекта, кроме случаев, предусмотренных федеральными законами.

3. Права и обязанности Оператора

3.1. Права Оператора:

получать от Субъекта достоверные сведения и документы, содержащие персональные данные;
продолжить обработку данных без согласия Субъекта, если имеются основания, предусмотренные ст. 6–11 Закона о персональных данных (исполнение договора, требований суда, защита жизни/здоровья);
самостоятельно определять состав и перечень правовых, организационных и технических мер для соблюдения требований законодательства.

3.2. Обязанности Оператора:

публиковать настоящую Политику и обеспечивать к ней неограниченный доступ;
организовать обработку данных согласно требованиям законодательства;
предоставлять Субъекту по запросу информацию о порядке обработки его данных;
отвечать на обращения Субъектов и их законных представителей в течение 30 календарных дней;
в случае выявления факта нарушения безопасности персональных данных незамедлительно (не позднее 24 часов) уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) и, при необходимости, Субъектов о факте утечки;
принимать меры для защиты данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения;
прекратить передачу и уничтожить персональные данные в случаях, предусмотренных законом (отзыв согласия, утрата необходимости).

4. Права и обязанности Субъектов персональных данных

4.1. Права Субъектов:

получать информацию о том, обрабатываются ли их данные, цели и способы обработки, наименование Оператора, местонахождение, режим доступа к данным (ст. 14 Закона);
требовать уточнения, блокирования или уничтожения данных в случае их ненадлежащего, неполного, устаревшего или незаконного использования (ст. 16 Закона);
отозвать согласие на обработку данных в любой момент, направив письменное или электронное уведомление Оператору (см. п. 8.4);
выдвигать условие предварительного согласия на обработку данных в целях продвижения товаров, услуг, рекламы;
обжаловать действия или бездействие Оператора в уполномоченный орган (Роскомнадзор) или в суд, если считает свои права нарушенными.

4.2. Обязанности Субъектов:

предоставлять Оператору достоверные и актуальные персональные данные;
уведомлять Оператора об уточнении, обновлении или изменении персональных данных.

4.3. Ответственность Субъектов за передачу недостоверных сведений или данных о третьих лицах без их согласия регулируется законодательством РФ.

5. Принципы обработки персональных данных

5.1. Обработка осуществляется на законной и справедливой основе.
5.2. Обработка данных ограничивается конкретными, заранее определёнными и законными целями.
5.3. Не допускается объединение баз данных, обработка которых ведётся в целях, несовместимых между собой.
5.4. Обрабатываются только те данные, которые достаточны для достижения заявленных целей (принцип минимизации).
5.5. Содержание и объём обрабатываемых данных соответствуют целям обработки и не являются избыточными.
5.6. Оператор обеспечивает точность, достаточность и, при необходимости, актуальность данных по отношению к целям обработки, принимает меры по удалению или уточнению неполных или неточных сведений. Проверка актуальности проводится не реже одного раза в год.
5.7. Данные хранятся не дольше, чем требуют цели обработки; после достижения целей или утраты необходимости обрабатываемые данные уничтожаются либо обезличиваются, если иное не предусмотрено федеральным законом или договором.

6. Цели обработки персональных данных

Цель обработки Персональные данные Правовые основания Виды обработки

1. Заключение и исполнение договоров на оказание фотоуслуг ФИО, номер телефона, адрес электронной почты, почтовый адрес (при необходимости доставки), ИНН клиента — Исполнение договора (ст. 6 п. 1 Закон 152‑ФЗ; ГК РФ)– Согласие Субъекта (ст. 9 152‑ФЗ) Сбор, запись, хранение, уточнение, использование, передача (курьерской службе, бухгалтерии), уничтожение (по истечении срока хранения).Автоматизированная обработка в CRM, «Мой налог».

2. Выставление чеков (НПД) и ведение налогового учёта ФИО, ИНН, реквизиты для перевода (номер банковской карты, номер расчетного счета), адрес электронной почты — Требования законодательства о налогах (Налоговый кодекс РФ; ст. 6 п. 1 152‑ФЗ) Запись данных в Личный кабинет «Мой налог», хранение электронных чеков, передача данных в ФНС (по API), хранение копий чеков до 5 лет (по требованию законодательства), удаление (по истечении установленного срока).

3. Обратная связь, рассылка уведомлений и коммерческих предложений Адрес электронной почты, номер телефона, ФИО — Согласие Субъекта на рассылку (ст. 9 152‑ФЗ)– Законные интересы Оператора (для согласованных деловых рассылок, ст. 6 п. 1 152‑ФЗ) Сбор через формы на сайте, хранение в базе рассылки, использование для отправки писем и сообщений, удаление при отзыве согласия или неактивности более 12 месяцев.

4. Веб‑аналитика и улучшение качества сайта Cookie (анонимизированные), IP‑адрес (обезличенный), тип устройства — Законные интересы Оператора (улучшение качества услуг и сайта, ст. 6 152‑ФЗ) Сбор с помощью Яндекс.Метрики, хранение и обработка в обезличенном виде, блокирование по запросу Субъекта (отключение cookie в браузере).

5. Передача данных подрядчикам и третьим лицам для исполнения обязательств ФИО, почтовый адрес, номер телефона (для курьера), email (для передачи файлов), ИНН (для бухгалтерии) — Исполнение договора (ст. 6 п. 1 152‑ФЗ) Передача данных курьерской службе для доставки носителей, передача бухгалтеру/платёжному сервису для расчётов, уничтожение данных у подрядчиков по завершении проекта (или по их правилам хранения). Адрес места жительства или иного местоположения может обрабатываться оператором исключительно в целях доставки продукции, оказания выездных услуг, либо организации съёмки на территории клиента. Обработка осуществляется на основании добровольного согласия субъекта персональных данных.

7. Условия обработки персональных данных

7.1. Обработка персональных данных осуществляется только при наличии хотя бы одного из оснований, предусмотренных ст. 6–11 Закона о персональных данных:

согласие Субъекта на обработку персональных данных;
исполнение договора, сторонами которого являются Субъект и Оператор;
исполнение требований законодательства;
защита жизни, здоровья, прав и законных интересов Субъекта или третьих лиц;
законные интересы Оператора, если не нарушаются права и свободы Субъекта;
обработка общедоступных данных, предоставленных самим Субъектом.

7.2. Согласие Субъекта может быть выражено в следующих формах:

установка галочки («Я даю согласие на обработку персональных данных») в форме на сайте;
указание согласия в тексте электронного письма или чека;
оформление отдельного документа (письменное согласие).

7.3. Обработка данных, подлежащих обязательному раскрытию, осуществляется в случаях, прямо предусмотренных федеральными законами.

7.4. Обработка общедоступных персональных данных (публикация Субъектом в открытом доступе) возможна без дополнительного согласия.

8. Порядок сбора, хранения, передачи и других видов обработки персональных данных

8.1. Сбор и хранение данных

Все формы обратной связи на сайте содержат обязательные поля: ФИО, email, телефон. Дополнительные поля (почтовый адрес, ИНН) заполняются по необходимости (для оформления договора и чека).
Данные, полученные письменно или по телефону, вносятся вручную в CRM и защищены паролем.
Исходные фотоматериалы (RAW‑файлы) хранятся на зашифрованном облачном диске (Яндекс.Диск) не более 12 месяцев после сдачи готовых материалов, затем удаляются. Готовые JPG/PSD-файлы хранятся 3 года.
Электронные чеки и бухгалтерская документация хранятся минимум 5 лет согласно требованиям ФНС.

8.2. Технические и организационные меры защиты

Доступ к базе клиентов и файлам имеют только я и уполномоченные лица (курьеры, бухгалтер), каждый с индивидуальной учётной записью.
Шифрование передаваемых данных по протоколу HTTPS (сайт) и TLS (облако).
Регулярное резервное копирование (бэкап) облачного диска, тестирование восстановления не реже раза в месяц.
Использование лицензионного антивирусного ПО и своевременное обновление программ.
Двухфакторная аутентификация (2FA) включена для серверов электронной почты и облачного хранилища, где это возможно.
С подрядчиками (курьерская служба, бухгалтерия, хостинг) заключены соглашения о неразглашении (NDA), обязательные для соблюдения норм Закона 152‑ФЗ.

8.3. Передача данных третьим лицам

Передача данных курьерской службе: только ФИО, почтовый адрес и телефон получателя.
Передача данных бухгалтерии и платёжным системам: ФИО, ИНН, реквизиты для выставления чека.
Передача данных государственным органам (Роскомнадзор, ФНС, суд): только по официальному запросу или предписанию.
Передача иное третьим лицам не осуществляется без согласия Субъекта.

8.4. Актуализация данных

Субъект может направить запрос об уточнении или изменении данных на электронную почту: svet.afanasev@gmail.com с пометкой «Актуализация персональных данных».
Оператор подтверждает получение запроса автоматическим письмом и вносит изменения в течение 5 рабочих дней.

8.5. Сроки хранения персональных данных

Чеки (НПД) — хранение в электронном виде в «Мой налог» минимум 5 лет. Копии чеков в облаке удаляются через 5 лет после их формирования.
Договоры и переписка (e‑mail, мессенджеры) — хранятся 3 года после завершения оказания услуг, затем удаляются или архивируются с обезличиванием.
База подписчиков для рассылок — хранится до момента отзыва согласия или неактивности более 12 месяцев (после — удаляется).
RAW‑файлы — хранятся 12 месяцев с даты передачи готовых материалов, затем удаляются.
IP‑адреса и cookie‑данные (через Яндекс.Метрику) — обезличиваются и хранятся в аналитической системе в течение 1 года.
В остальных случаях срок хранения определяется достижением целей обработки; после окончания целей данные обезличиваются или уничтожаются.

8.6. Отзыв согласия и прекращение обработки

Субъект может в любой момент отозвать своё согласие, направив уведомление на электронную почту Оператора.
После получения такого уведомления данные Субъекта удаляются или обезличиваются в течение 30 календарных дней, за исключением сведений, которые Оператор обязан хранить в силу законодательства (например, чеки НПД).
Пользователь имеет право потребовать прекращения обработки данных; Оператор обязан выполнить требование в срок не более 30 календарных дней, если это не противоречит законодательству.

8.7. Данные сторонних сервисов

Сторонние сервисы (платёжные системы, CRM, облако, мессенджеры) обрабатывают данные в соответствии со своими политиками конфиденциальности; Оператор не несёт ответственности за действия третьих лиц, но заключает с ними договоры о неразглашении и проверяет их соответствие требованиям Закона 152‑ФЗ.

8.8. Прекращение обработки персональных данных

Обработка данных прекращается при достижении целей обработки, истечении срока хранения, отзыве согласия Субъекта или выявлении неправомерной обработки.
После прекращения обработки данные уничтожаются безвозвратно или обезличиваются (удаляются все идентификаторы).

9. Перечень действий, производимых Оператором с полученными данными

9.1. Оператор выполняет все действия, перечисленные в п. 2.2 (сбор, запись, систематизация, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение).
9.2. Автоматизированная обработка данных осуществляется с использованием CRM, облачных хранилищ, «Мой налог», Яндекс.Метрики и почтовых сервисов. Все действия логируются для обеспечения прозрачности и контроля.

9.3 Оператор оставляет за собой право на осуществление иных действий, связанных с обработкой персональных данных, включая, но не ограничиваясь: передачей обезличенных данных в облачные и программные сервисы для обеспечения хранения, ретуши, обработки и доставки материалов; участием в конкурсах, выставках и других мероприятиях с использованием визуальных материалов, созданных в рамках договоров с субъектом персональных данных; демонстрацией работ в портфолио на сайте и в социальных сетях с предварительным согласием клиента. Все такие действия осуществляются в рамках законодательства и только после уведомления субъекта персональных данных.

10. Трансграничная передача персональных данных

10.1. В настоящий момент трансграничная передача персональных данных Оператором не осуществляется целенаправленно, за исключением случаев взаимодействия с Субъектом через мессенджеры и коммуникационные платформы (WhatsApp, Telegram и др.), техническая инфраструктура которых может находиться за пределами Российской Федерации. В таких случаях обработка данных происходит в соответствии с пользовательскими соглашениями этих платформ. Облачные хранилища Яндекс.Диск и Wfolio расположены в дата-центрах на территории РФ. В случае принятия решения о хранении данных в зарубежных дата-центрах (Google Drive, Dropbox и др.) Оператор заблаговременно уведомит Роскомнадзор и Субъектов персональных данных, а также получит сведения о правовом статусе и гарантиях защиты данных (соответствие GDPR или сертификат ISO 27 001).
Использование мессенджеров осуществляется исключительно для оперативной связи и не предполагает передачи чувствительной информации без согласия Субъекта.

10.2. В случае запуска трансграничных операций Оператор будет руководствоваться требованиями ст. 12 Закона о персональных данных (уведомление уполномоченного органа, получение необходимых сведений от иностранного партнёра).

11. Конфиденциальность персональных данных

11.1. Оператор и все лица, имеющие доступ к персональным данным (курьеры, бухгалтер, подрядчики), обязаны не раскрывать данные третьим лицам без письменного согласия Субъекта, за исключением случаев, предусмотренных федеральными законами (исполнение судебных решений, запрос уполномоченного органа, выполнение договора).

11.2. Доступ к персональным данным осуществляется на основании служебных инструкций, предусматривающих ответственность за нарушение режима конфиденциальности (вплоть до уголовной ответственности, если закон предусматривает).

12. Заключительные положения

12.1. Субъект может получить разъяснения по вопросам обработки своих персональных данных, обратившись к Оператору:
— Электронная почта: svet.afanasev@gmail.com

12.2. Оценка рисков, связанных с обработкой персональных данных, проводится не реже одного раза в 12 месяцев. В случае инцидента Оператор информирует уполномоченный орган и, при необходимости, Субъектов о факте утечки.

12.3. О Политике могут вноситься изменения. Актуальная версия Политики публикуется на сайте https://snezhkina.ru/legal-privacy. О значительных изменениях, затрагивающих цели обработки или права Субъектов, Оператор уведомляет за 10 календарных дней до их вступления в силу посредством размещения обновлённого документа на сайте и рассылки уведомлений по e‑mail.

12.4. Пересмотр Политики осуществляется не реже одного раза в 12 месяцев.