Сведения о реализуемых требованиях к защите персональных данных

1.1. Настоящие сведения о реализуемых требованиях к защите персональных данных опубликованы во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон), которая обязывает оператора обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, и к сведениям о реализуемых требованиях к защите персональных данных. Политика оператора размещена на отдельной странице: политика в отношении обработки персональных данных.

1.2. Настоящие сведения определяют меры, которые Индивидуальный предприниматель Дюдин Андрей Иванович принимает для защиты персональных данных от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления и распространения.

2.1. Часть 1 статьи 18.1 Закона возлагает на оператора обязанность принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом, и прямо устанавливает, что состав и перечень таких мер оператор определяет самостоятельно. Состав и содержание мер по обеспечению безопасности персональных данных определяются в соответствии с частями 3 и 4 статьи 19 Закона и принятыми на их основании нормативными правовыми актами — с учётом возможного вреда, вида и объёма обрабатываемых данных и актуальных угроз безопасности.

2.2. Оператор является индивидуальным предпринимателем; он обрабатывает контактные данные обратившихся и документы заказчиков по договору строительного подряда. Специальные категории персональных данных и биометрические персональные данные не обрабатываются, видеонаблюдение не ведётся, трансграничная передача не осуществляется. Состав мер определён исходя из этой обработки.

3.1. Организацию обработки персональных данных ведёт лично Индивидуальный предприниматель Дюдин Андрей Иванович — оператор является индивидуальным предпринимателем, и обязанности, которые Закон в статье 22.1 возлагает на назначаемого ответственного, он исполняет сам: внутренний контроль, рассмотрение обращений субъектов, решения об уничтожении данных.

3.2. Это же лицо отвечает за исполнение требований к защите персональных данных. Адрес и телефон для обращений указаны в порядке обращений субъекта персональных данных, и отвечает по ним он.

4.1. Обработка персональных данных у оператора описана: для каждой цели определены категории субъектов, состав обрабатываемых данных, правовое основание, получатели, информационные системы и сроки хранения. Изменения вносятся в это описание до начала соответствующей обработки, после чего приводятся в соответствие публичные документы.

4.2. Открыто опубликованы: политика в отношении обработки персональных данных, настоящие сведения, политика в отношении cookie, перечень лиц, которым передаются персональные данные, порядок обращений субъекта персональных данных и тексты обоих согласий. Доступ к ним неограниченный: ни регистрации, ни запроса они не требуют.

5.1. Оператор провёл оценку вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона, — этого требует пункт 5 части 1 статьи 18.1 Закона, а порядок установлен приказом Роскомнадзора от 27.10.2022 № 178. Результат оформлен актом. Оценка пересматривается при изменении состава обрабатываемых данных, при появлении новой информационной системы или нового обработчика, при инциденте и не реже одного раза в три года.

5.2. Оператор определил угрозы безопасности персональных данных при их обработке в своих информационных системах и определил уровень защищённости персональных данных в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119. Состав применяемых мер выведен из установленного уровня защищённости в соответствии с приказом ФСТЭК России от 18.02.2013 № 21.

5.3. Эффективность принимаемых мер оценивается до ввода информационной системы в эксплуатацию. Применяются средства защиты информации, прошедшие в установленном порядке процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, — в тех случаях, когда их применение необходимо для нейтрализации актуальных угроз.

6.1. Доступ разграничен по должностям: работнику открыто то, что необходимо для исполнения его обязанностей, а не база целиком. Круг лиц, допущенных к персональным данным заказчиков, ограничен теми, кому эти данные необходимы для исполнения договора с ними.

6.2. Каждый, кто получил доступ к персональным данным, обязан не раскрывать их третьим лицам и не распространять без согласия субъекта — этого требует статья 7 Закона, и обязанность эта действует независимо от того, работник это оператора или его контрагент. Ответственность перед вами за действия лиц, которым оператор поручил обработку, по части 5 статьи 6 Закона несёт сам оператор.

6.3. Работники, непосредственно осуществляющие обработку персональных данных, до получения доступа к ним знакомятся под подпись с Федеральным законом «О персональных данных», в том числе с требованиями к защите персональных данных, и с локальными актами оператора — этого требует пункт 6 части 1 статьи 18.1 Закона. Каждый из них подписывает обязательство о неразглашении персональных данных; обязанность не раскрывать и не распространять персональные данные сохраняется за работником после прекращения трудовых отношений.

6.4. Перечень должностей, замещение которых предусматривает обработку персональных данных, и объём доступа по каждой должности утверждены приказом оператора. Доступ работника ко всем информационным системам прекращается в день прекращения трудовых отношений.

7.1. Электронные копии документов заказчиков хранятся в корпоративной почте и облачном хранилище оператора обособленно — отдельной папкой на каждого заказчика, а не общим архивом. Бумажные документы — договоры, подписанные согласия, документы, принесённые заказчиком, — хранятся в офисе оператора.

7.2. К обработке персональных данных, которая ведётся без средств автоматизации, применяются требования постановления Правительства Российской Федерации от 15.09.2008 № 687: документы разных целей обработки хранятся раздельно, а вместе с персональными данными не размещаются сведения, для этой цели не нужные.

7.3. Оператор ведёт учёт машинных носителей персональных данных и материальных носителей, содержащих персональные данные; места хранения определены, доступ к ним ограничен перечнем должностей. Установлены правила доступа к персональным данным, обрабатываемым в информационных системах, обеспечиваются регистрация и учёт действий, совершаемых с персональными данными.

8.1. Часть мер исполняется программными средствами самого сайта и не зависит от действий работника.

8.2. Наблюдение за посетителем не начинается без его согласия. До ответа на информационное сообщение счётчик ведёт счёт посещений и отмечает два события — отправку заявки и нажатие на номер телефона, — не получая их содержимого. Запись сеансов, карта кликов и рекламные счётчики включаются только по ответу посетителя. Подробно — в политике в отношении cookie.

8.3. Набранное в полях форм не попадает в записи сеансов — ни при каком ответе на информационное сообщение. Обеспечивается двумя независимыми мерами: запись полей выключена в настройках счётчика, и сами поля помечены в разметке сайта как незаписываемые.

8.4. Частота отправки форм ограничена для защиты от автоматизированных злоупотреблений. Адрес, с которого отправлена форма, хранится для этого пятнадцать минут в оперативной памяти, на диск не записывается и никуда не передаётся.

8.5. Заявка попадает не только в базу сайта, но и в систему управления клиентской базой, в переписку и в отправленные письма. Уничтожение по истечении срока производится во всех этих системах. Потребовать удаления данных можно в порядке, описанном в порядке обращений субъекта персональных данных.

8.6. Обеспечены резервное копирование персональных данных и восстановление данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним. Копии размещаются в двух независимых хранилищах на территории Российской Федерации; возможность восстановления проверяется.

9.1. Оператор проверяет сроки хранения не реже одного раза в месяц и уничтожает данные, срок хранения которых истёк, а также данные, цель обработки которых достигнута. Часть 4 статьи 21 Закона отводит на уничтожение не более тридцати дней с даты достижения цели обработки.

9.2. Уничтожение оператор оформляет документально: составляется акт об уничтожении персональных данных, а при обработке с использованием средств автоматизации к нему добавляется выгрузка из журнала регистрации событий. Требования к тому и другому установлены приказом Роскомнадзора от 28.10.2022 № 179 и действуют с 1 марта 2023 года.

9.3. Акт содержит сведения о том, чьи данные уничтожены, перечень их категорий, наименование информационной системы или носителя, способ, причину и дату уничтожения; хранятся оба документа три года. Для заявок, оставленных через формы сайта, журнал ведёт сам сайт: запись появляется в нём в момент уничтожения.

10.1. Часть 5 статьи 18 Закона требует, чтобы запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществлялись в базах данных, находящихся на территории России. Первичная запись ведётся в такие базы: сайт и его база данных размещены у российского провайдера в российском дата-центре. Российскими организациями являются и все получатели, каждый из которых назван в перечне лиц, которым передаются персональные данные. Трансграничной передачи персональных данных оператор не осуществляет.

11.1. На случай неправомерной передачи персональных данных или неправомерного доступа к ним Закон устанавливает сжатые сроки: часть 3.1 статьи 21 даёт двадцать четыре часа на уведомление Роскомнадзора о самом факте и о предполагаемых причинах и семьдесят два часа — на сообщение о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента.

11.2. Оператор исполняет эти сроки; уведомление направляется через портал персональных данных Роскомнадзора. Если инцидент затронул ваши данные, оператор сообщает об этом и вам.

12.1. Оператор осуществляет внутренний контроль соответствия обработки персональных данных Закону, принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, настоящим сведениям и локальным актам оператора — этого требует пункт 4 части 1 статьи 18.1 Закона. Проверки проводятся по утверждённому плану, их результаты оформляются.

12.2. Отдельно контролируются состав принимаемых мер по обеспечению безопасности персональных данных и уровень защищённости информационных систем персональных данных.

13.1. Закон требует раскрыть принимаемые меры, но не их устройство. Часть 4 статьи 22 Закона исключает сведения о средствах обеспечения безопасности персональных данных из того, что публикуется в реестре операторов. Поэтому в настоящих сведениях названы меры, но не конкретные средства, их настройки и версии.

13.2. Уполномоченному органу по защите прав субъектов персональных данных — Роскомнадзору — оператор представляет документы и сведения по его запросу: этого требует часть 4 статьи 18.1 Закона, и на такой запрос ограничение публичности не распространяется.

14.1. Вы вправе получить сведения об обработке ваших персональных данных (часть 7 статьи 14 Закона). Как направить такой запрос, отозвать согласие или потребовать уничтожения данных, что обращение обязано содержать и в какой срок оператор отвечает, описано в порядке обращений субъекта персональных данных; права субъекта перечислены также в политике в отношении обработки персональных данных. Обращение направляйте на info@dsk46.ru.

14.2. Настоящая редакция действует с 24 августа 2026 года. Настоящие сведения обновляются вслед за составом мер: изменилось то, что оператор делает, — меняется и текст, и дата редакции. Действующая редакция размещена на этой странице, дата редакции указана в её начале.