Согласие на обработку персональных данных

УТВЕРЖДАЮ

Директор ООО «Герболика»

_____________ П.В.Сибиряков

«05» июня 2025 г.

М.П.

ПОЛИТИКА

в отношении обработки персональных данных

Общество с ограниченной ответственностью «Герболика» ИНН 6678074836

Редакция 2025 года

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана Общество с ограниченной ответственностью «Герболика» (далее — Оператор, Организация) во исполнение требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Федеральный закон № 152-ФЗ) и определяет принципы, цели, правовые основания и порядок обработки персональных данных, а также реализуемые Оператором меры по их защите.

1.2. Политика является общедоступным документом. Полный текст Политики размещается на официальном сайте Оператора: www.herbolica.com — и предоставляется субъектам персональных данных по запросу в течение трёх рабочих дней с момента обращения.

1.3. Политика вступает в силу с момента её утверждения руководителем Организации и действует до принятия новой редакции. При изменении законодательства о персональных данных Оператор актуализирует Политику не позднее чем через тридцать дней с даты вступления изменений в силу.

1.4. Действие Политики распространяется на все процессы обработки персональных данных, осуществляемые Оператором как с использованием средств автоматизации, так и без таковых, если последние обеспечивают последующую автоматизированную обработку персональных данных либо составляют часть картотеки.

1.5. Сведения об Операторе:

Полное наименование: Общество с ограниченной ответственностью «Герболика»

ИНН 6678074836

ОГРН 1169658097014

Юридический адрес 620076, г. Екатеринбург, ул. Походная, д.81, пом.10

Электронная почта info@herbolica.com

Телефон +7(343)253-10-30

Сайт www.herbolica.com

2. Основные термины и понятия

2.1. В настоящей Политике термины применяются в значениях, установленных статьёй 3 Федерального закона № 152-ФЗ:

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

Субъект персональных данных — физическое лицо, которое прямо или косвенно определено или определяемо на основании персональных данных.

Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. В рамках настоящей Политики Оператором является Общество с ограниченной ответственностью «Герболика».

Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.

Распространение — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

Предоставление — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.

Блокирование — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных).

Уничтожение — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Обезличивание — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.

Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Трансграничная передача — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Поручение обработки — возложение Оператором обработки персональных данных на другое лицо с согласия субъекта или на основании федерального закона (ст. 6 ч. 3 Федерального закона № 152-ФЗ).

Согласие субъекта — свободно данное, конкретное, информированное и однозначное указание о согласии субъекта на обработку его персональных данных (ст. 9 Федерального закона № 152-ФЗ).

Уполномоченный орган — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

3. Принципы обработки персональных данных

3.1. Обработка персональных данных в ООО «Герболика» осуществляется в строгом соответствии со статьёй 5 Федерального закона № 152-ФЗ на основе следующих принципов:

Принцип 1. Законность и справедливость. Обработка персональных данных осуществляется исключительно на законном основании. Оператор не использует персональные данные способами, противоречащими праву и ожиданиям субъектов.

Принцип 2. Конкретность и заранее определённые цели. Цели обработки устанавливаются до начала сбора персональных данных и не изменяются в ходе обработки. Обработка в целях, несовместимых с заявленными, не допускается.

Принцип 3. Недопустимость избыточной консолидации. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

Принцип 4. Минимизация данных. Состав и объём обрабатываемых персональных данных соответствуют заявленным целям обработки. Сбор избыточных данных не производится.

Принцип 5. Точность. Оператор принимает меры по обеспечению достоверности обрабатываемых персональных данных, их актуализации и удалению неточных или устаревших данных.

Принцип 6. Ограниченное хранение. Хранение персональных данных прекращается по достижении целей обработки или при наступлении установленных законодательством сроков хранения. Данные подлежат уничтожению или обезличиванию, как только цели обработки достигнуты и нет иных правовых оснований для их хранения.

Принцип 7. Целостность и конфиденциальность. Оператор обеспечивает защиту персональных данных от несанкционированного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

4. Правовые основания обработки персональных данных

4.1. Обработка персональных данных допускается при наличии хотя бы одного из следующих оснований (ст. 6 ч. 1 Федерального закона № 152-ФЗ):

№	Правовое основание	Норма	Примеры применения
1	Согласие субъекта персональных данных	ст. 6 ч. 1 п. 1	Сбор контактных данных через форму сайта, подписка на рассылку, обработка данных соискателей
2	Исполнение обязанностей, возложенных законодательством	ст. 6 ч. 1 п. 2	Кадровый учёт (ТК РФ), бухгалтерский учёт (НК РФ), персонифицированный учёт (167-ФЗ, 27-ФЗ)
3	Отправление правосудия и исполнение судебных актов	ст. 6 ч. 1 п. 3	Исполнение судебных решений в отношении работников
4	Исполнение полномочий органов государственной власти	ст. 6 ч. 1 п. 4	Предоставление данных по запросам ФНС, ФСС, СФР, прокуратуры
5	Исполнение договора, стороной которого является субъект	ст. 6 ч. 1 п. 5	Трудовой договор, договор оказания услуг, договор купли-продажи
6	Законные интересы оператора или третьих лиц	ст. 6 ч. 1 п. 6	Обеспечение безопасности информационных систем, противодействие мошенничеству
7	Осуществление профессиональной деятельности журналиста / СМИ	ст. 6 ч. 1 п. 7	Не применяется

4.2. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие может быть отозвано субъектом в любое время. Отзыв согласия не влечёт для субъекта неблагоприятных последствий, кроме случаев, когда обработка данных обязательна по закону или необходима для исполнения договора. После получения отзыва согласия Оператор прекращает обработку данных и уничтожает их в течение тридцати дней, если иной срок не установлен договором или законодательством.

4.3. Специальные категории персональных данных, указанные в статье 10 Федерального закона № 152-ФЗ, обрабатываются Оператором только при наличии явного согласия субъекта либо при наступлении иных оснований, предусмотренных частью 2 статьи 10 Федерального закона № 152-ФЗ. Биометрические персональные данные обрабатываются Оператором исключительно при наличии письменного согласия субъекта (ст. 11 Федерального закона № 152-ФЗ).

5. Категории субъектов и состав персональных данных

5.1. В рамках своей деятельности ООО «Герболика» осуществляет обработку персональных данных следующих категорий субъектов:

5.1.1. Клиенты и потенциальные клиенты. Обработка в объёме, необходимом для заключения и исполнения договоров, оказания услуг, консультационной и маркетинговой деятельности (при наличии согласия).

Примерный состав данных: ФИО, Адрес проживания, Номер контактного телефона, Адрес электронной почты, Копию документов об образовании, подтверждающих, что вы являетесь мастером/специалистом области красоты, Название компании (для юридических лиц), Реквизиты (для юридических лиц), Должность (для юридических лиц), Адрес доставки заказа

5.1.2. Контрагенты — физические лица, юридические лица и ИП. Обработка в объёме, необходимом для заключения гражданско-правовых договоров и исполнения возникающих из них обязательств.

5.1.3. Клиенты и потенциальные клиенты. Обработка в объёме, необходимом для заключения и исполнения договоров, оказания услуг, консультационной и маркетинговой деятельности (при наличии согласия).

5.1.4. Пользователи сайта www.herbolica.com.

Обработка технических и идентификационных данных в объёме, необходимом для функционирования сайта, оказания онлайн-услуг и улучшения пользовательского опыта. Подробности — в Политике конфиденциальности сайта.

5.2. Исчерпывающий перечень персональных данных по каждой информационной системе персональных данных содержится в Приложении 1 к настоящей Политике.

5.3. Оператор не осуществляет обработку специальных категорий персональных данных (расовая или национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь) без наличия явного согласия субъекта или иного основания, предусмотренного статьёй 10 ч. 2 Федерального закона № 152-ФЗ.

6. Цели обработки и сроки хранения персональных данных

6.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки. По достижении цели обработки или по истечении установленного срока хранения персональные данные подлежат уничтожению или обезличиванию.

6.2. Сроки хранения персональных данных по категориям субъектов:

№	Категория субъекта / ИСПДн	Цель обработки	Срок хранения	Правовое основание срока
5	Клиенты — договорные данные	Исполнение договора	Срок действия договора	НК РФ ст. 23, ГК РФ ст. 196
6	Клиенты — маркетинговые данные	Информирование о продуктах (при согласии)	До отзыва согласия	ст. 9 ч. 5 152-ФЗ
7	Пользователи сайта — технические данные	Функционирование сайта, аналитика	1 год (cookie) / 3 года (журналы)	ст. 5 ч. 1 п. 6 152-ФЗ
8	Обращения субъектов о реализации прав	Фиксация обращений и ответов	3 года	ст. 14 152-ФЗ

6.3. По истечении указанных сроков хранения персональные данные уничтожаются. Уничтожение оформляется актом, подписываемым ответственным за организацию обработки персональных данных. Форма акта утверждается Оператором.

7. Конфиденциальность, передача и трансграничная передача персональных данных

7.1. Оператор и лица, получившие доступ к персональным данным, обязаны соблюдать конфиденциальность: не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом (ст. 7 Федерального закона № 152-ФЗ). Обязанность конфиденциальности не имеет срока действия и сохраняется после прекращения трудовых или гражданско-правовых отношений.

7.2. Оператор вправе поручить обработку персональных данных третьему лицу (далее — Обработчик) с согласия субъекта или на основании федерального закона (ст. 6 ч. 3 Федерального закона № 152-ФЗ). Поручение оформляется договором, содержащим:

исчерпывающий перечень действий (операций) с персональными данными;
цели обработки;
обязанность Обработчика соблюдать конфиденциальность и обеспечивать безопасность персональных данных;
требования к защите персональных данных в соответствии со статьёй 19 Федерального закона № 152-ФЗ.

7.3. Оператор несёт ответственность перед субъектами за действия Обработчика наравне с собственными действиями. Обработчик несёт ответственность перед Оператором.

7.4. Трансграничная передача персональных данных не предусмотрена:

8. Обеспечение безопасности персональных данных

8.1. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Федеральным законом № 152-ФЗ (ст. 18.1 ч. 1 Федерального закона № 152-ФЗ). К таким мерам относятся:

Организационные меры:

назначение лица, ответственного за организацию обработки персональных данных;
ознакомление работников с требованиями законодательства о персональных данных и внутренними документами Оператора (инструктаж при приёме на работу и периодический ежегодный инструктаж);
утверждение и применение политик и внутренних документов, определяющих порядок обработки и защиты персональных данных;
контроль фактического состояния безопасности персональных данных и соответствия принятых мер установленным требованиям;
разграничение доступа к персональным данным на основе принципа минимальной достаточности;
ведение учёта лиц, допущенных к обработке персональных данных.

Технические и программные меры:

применение сертифицированных средств защиты информации (при необходимости по требованиям законодательства);
использование антивирусного программного обеспечения и межсетевых экранов;
организация системы разграничения прав доступа к информационным системам;
защита каналов связи при передаче персональных данных с использованием криптографических средств защиты информации;
резервное копирование баз данных с персональными данными;
ведение журналов событий безопасности и их периодический анализ;
обеспечение физической защиты серверного оборудования и носителей персональных данных.

8.2. Уровень защищённости персональных данных в каждой ИСПДн устанавливается в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных». Конкретный уровень защищённости определяется с учётом категорий обрабатываемых данных, типа актуальных угроз безопасности и числа субъектов персональных данных. Перечень ИСПДн и установленные для них уровни защищённости содержатся в Приложении 1 к настоящей Политике.

8.3. В случае выявления инцидента, повлёкшего неправомерную передачу (предоставление, распространение, доступ) персональных данных, Оператор обязан:

в течение 24 часов с момента выявления уведомить Роскомнадзор о факте инцидента;
в течение 72 часов с момента выявления уведомить Роскомнадзор об установленных причинах инцидента и принятых мерах по устранению его последствий.

Уведомление направляется через государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) или иным способом, определённым Роскомнадзором.

9. Права субъектов персональных данных

9.1. Субъект персональных данных имеет право получить от Оператора информацию о:

факте обработки его персональных данных;
правовых основаниях и целях обработки;
применяемых Оператором способах обработки;
наименовании и местонахождении Оператора;
лицах, которым могут быть или которым были раскрыты персональные данные субъекта;
сроках обработки, в том числе хранения;
порядке реализации субъектом прав, предусмотренных Федеральным законом № 152-ФЗ.

Оператор предоставляет ответ на запрос в течение 30 (тридцати) дней с даты его получения (ст. 14 ч. 4 Федерального закона № 152-ФЗ). Сведения предоставляются субъекту или его законному представителю в доступной форме.

9.2. Право на уточнение и блокирование. При обнаружении неточных, неполных или устаревших персональных данных субъект вправе потребовать их уточнения, блокирования или уничтожения. Оператор устраняет выявленные нарушения в течение 7 (семи) рабочих дней с даты получения требования. В период проверки обработка персональных данных блокируется.

9.3. Право на уничтожение. Субъект вправе потребовать прекратить обработку и уничтожить персональные данные в случаях, предусмотренных статьёй 21 Федерального закона № 152-ФЗ (в том числе: незаконная обработка, достижение целей обработки, отзыв согласия). Оператор уничтожает данные в течение 30 (тридцати) дней с даты получения соответствующего требования (ст. 21 ч. 3 Федерального закона № 152-ФЗ).

9.4. Право на запрет обработки. Субъект вправе запретить Оператору обработку персональных данных в целях продвижения товаров, работ и услуг на рынке, а также в целях политической агитации.

9.5. Право на обжалование. Субъект вправе обжаловать действия или бездействие Оператора в Роскомнадзор (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций, rkn.gov.ru) или в суд.

9.6. Право на отзыв согласия. Субъект вправе отозвать согласие на обработку персональных данных в любое время путём направления письменного уведомления на адрес электронной почты info@herbolica.com или почтового уведомления по адресу 620076, г. Екатеринбург, ул. Походная, д.81, пом.10. Оператор прекращает обработку персональных данных, осуществлявшуюся на основании такого согласия, и уничтожает данные в срок, не превышающий 30 (тридцати) дней с даты получения отзыва, если иной срок не установлен договором или законодательством.

9.7. Право при автоматизированных решениях. Субъект вправе получать информацию, касающуюся автоматизированной обработки его персональных данных, если это влечёт юридические последствия или иным образом затрагивает его права и законные интересы. Субъект вправе оспорить принятое на основе автоматизированной обработки решение, потребовать рассмотрения его уполномоченным лицом.

9.8. Порядок направления запросов и требований. Для реализации прав, указанных в пунктах 9.1–9.7 настоящей Политики, субъект или его законный представитель направляет обращение:

по электронной почте: info@herbolica.com;
в письменной форме по адресу: 620076, г. Екатеринбург, ул. Походная, д.81, пом.10;
лично в офисе Оператора.

Обращение должно содержать: ФИО субъекта, реквизиты документа, удостоверяющего личность (для идентификации), изложение требования, способ связи для направления ответа. Оператор рассматривает обращение и направляет ответ в установленные Федеральным законом № 152-ФЗ сроки.

10. Уведомление Роскомнадзора

10.1. До начала обработки персональных данных Оператор обязан направить уведомление в Роскомнадзор (ст. 22 Федерального закона № 152-ФЗ). Исключения из обязанности уведомления прямо перечислены в части 2 статьи 22 Федерального закона № 152-ФЗ.

10.2. Уведомление содержит сведения, предусмотренные частью 3 статьи 22 Федерального закона № 152-ФЗ, в том числе:

наименование (фамилия, имя, отчество), адрес Оператора;
цель (цели) обработки персональных данных;
категории персональных данных;
категории субъектов, персональные данные которых обрабатываются;
правовые основания обработки;
перечень действий с персональными данными и описание способов обработки;
описание мер по обеспечению безопасности персональных данных;
сведения о трансграничной передаче персональных данных;
дата начала обработки;
срок или условие прекращения обработки;
сведения о местонахождении базы данных, содержащей персональные данные граждан Российской Федерации.

10.3. При изменении сведений, содержащихся в уведомлении, а также при прекращении обработки персональных данных Оператор обязан уведомить Роскомнадзор об изменениях не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения (ст. 22 ч. 7 Федерального закона № 152-ФЗ).

11. Ответственный за организацию обработки персональных данных

11.1. В соответствии со статьёй 22.1 Федерального закона № 152-ФЗ в ООО «Герболика» назначено лицо, ответственное за организацию обработки персональных данных:

Сибиряков Павел Валерьевич, Начальник отдела кадров

11.2. Ответственный за организацию обработки персональных данных:

осуществляет внутренний контроль за соблюдением Оператором и его работниками требований Федерального закона № 152-ФЗ и принятых в соответствии с ним нормативных правовых актов, а также требований к защите персональных данных;
доводит до сведения работников положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите;
организует приём и обработку обращений и запросов субъектов персональных данных;
осуществляет контроль за приёмом и обработкой обращений и запросов субъектов.

11.3. Контактные данные ответственного за организацию обработки персональных данных для обращений субъектов:

электронная почта: info@herbolica.com;
телефон: +7 (343) 253-10-30;
почтовый адрес: 620076, г. Екатеринбург, ул. Походная, д.81, пом.10.

12. Ответственность за нарушения законодательства о персональных данных

12.1. Лица, виновные в нарушении требований Федерального закона № 152-ФЗ, несут предусмотренную законодательством Российской Федерации ответственность (ст. 24 Федерального закона № 152-ФЗ).

12.2. Работники ООО «Герболика», нарушившие настоящую Политику и локальные акты Организации в области персональных данных, несут дисциплинарную ответственность вплоть до увольнения.

12.3. Административная ответственность (ст. 13.11 КоАП РФ):

№	Состав нарушения	Штраф для юридического лица
1	Обработка ПДн в случаях и (или) в целях, не предусмотренных законодательством (ч. 1)	от 60 000 до 100 000 ₽
2	Обработка ПДн без письменного согласия субъекта (ч. 2)	от 100 000 до 300 000 ₽
3	Невыполнение обязанности опубликовать политику обработки ПДн (ч. 3)	от 30 000 до 60 000 ₽
4	Непредоставление субъекту сведений об обработке его ПДн (ч. 4)	от 40 000 до 80 000 ₽
5	Невыполнение требований об уточнении, блокировании или уничтожении ПДн (ч. 5)	от 40 000 до 120 000 ₽
6	Несоблюдение требований по защите ПДн при их обработке (ч. 6)	от 60 000 до 100 000 ₽
7	Повторное нарушение ч. 2 (без согласия)	от 500 000 до 1 000 000 ₽ или оборотный штраф до 1% выручки
8	Невыполнение требований об уведомлении РКН об инциденте (ч. 9, 10)	от 1 000 000 до 3 000 000 ₽

12.4. За незаконный сбор, хранение, использование или распространение персональных данных лицо может быть привлечено к уголовной ответственности по статье 137 Уголовного кодекса Российской Федерации.

13. Заключительные положения

13.1. Настоящая Политика вступает в силу с даты её утверждения руководителем ООО «Герболика» и действует до принятия новой редакции.

13.2. Оператор вправе вносить изменения в настоящую Политику в одностороннем порядке. Новая редакция вступает в силу с момента её утверждения руководителем Оператора. Актуальная редакция Политики всегда доступна на сайте www.herbolica.com.

13.3. По вопросам, не урегулированным настоящей Политикой, стороны руководствуются требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», подзаконными актами к нему, а также иным применимым законодательством Российской Федерации.

13.4. Настоящая Политика разработана и утверждена в редакции 2025 года.

Приложение 1. Перечень информационных систем персональных данных (ИСПДн)

Приложение является неотъемлемой частью Политики в отношении обработки персональных данных Общество с ограниченной ответственностью «Герболика».

№	Наименование ИСПДн	Категория ПДн	Категории субъектов	Цели обработки	Перечень данных	Уровень защищённости (ПП-1119)	Срок хранения
3	CRM-система	Стандартные	Клиенты, потенциальные клиенты	Продажи, сопровождение клиентов	ФИО, email, телефон, история взаимодействия	УЗ-4	Срок договора + 3 года
4	Сайт www.herbolica.com	Стандартные	Пользователи сайта	Функционирование сайта, аналитика	IP-адрес, данные cookie, данные форм обратной связи	УЗ-4	1 год (cookie) / 3 года (журналы)
5	Электронная почта info@herbolica.com	Стандартные	Клиенты, партнёры, соискатели	Деловая переписка, обработка обращений	ФИО, email, содержание переписки	УЗ-4	3 года

Примечание. Перечень ИСПДн подлежит актуализации при изменении состава информационных систем, используемых Оператором. Актуальный перечень хранится у ответственного за организацию обработки персональных данных.