Политика обработки персональных данных
Состав, категории, сроки хранения и меры защиты персональных данных, обрабатываемых ГБУК г. Москвы «Музей Памяти».
Настоящий документ устанавливает порядок и условия обработки персональных данных в ГБУК г. Москвы «Музей Памяти» (далее — Учреждение) в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ).
1. Оператор персональных данных
Наименование: Государственное бюджетное учреждение культуры города Москвы «Музей Памяти»
Адрес: 127473, г. Москва, 1-й Самотёчный переулок, д. 9, стр. 1
ИНН: ИНН
ОГРН: ОГРН
Электронная почта: info@memorymuseum.ru
Сайт: https://memorymuseum.ru
Ответственный за организацию обработки персональных данных: должность и контактные данные размещаются на сайте Учреждения в разделе «Контакты».
2. Категории субъектов и состав персональных данных
2.1. Посетители сайта
- Технические данные: IP-адрес (при условии включения маскирования последнего октета в настройках сервиса веб-аналитики; при отсутствии маскирования IP-адрес рассматривается как персональные данные), тип и версия браузера, операционная система, реферальный URL, поведение на сайте.
- Данные cookie-файлов (при предоставлении согласия — см. Политику использования cookie).
2.2. Лица, направляющие обращения и запросы
- Фамилия, имя, отчество (или имя в свободной форме).
- Адрес электронной почты.
- Номер телефона (при указании).
- Содержание обращения.
2.3. Лица, записывающиеся на экскурсии и мероприятия
- Фамилия, имя, отчество.
- Адрес электронной почты.
- Номер телефона.
- Количество участников, возраст (при записи на детские программы).
- Дата и время посещения.
2.4. Подписчики информационных рассылок
- Адрес электронной почты.
- Имя (при указании).
- Предпочтения по темам рассылок (при указании).
3. Цели обработки персональных данных
| № | Цель | Правовое основание |
|---|---|---|
| 1 | Обеспечение работы сайта и веб-аналитика | Согласие субъекта (ст. 9 152-ФЗ) |
| 2 | Обработка обращений и запросов через форму сайта | Согласие субъекта (ст. 9 152-ФЗ) |
| 2а | Обработка формальных письменных обращений граждан | Ст. 6 ч. 1 п. 2 152-ФЗ в связи с Федеральным законом от 02.05.2006 № 59-ФЗ |
| 3 | Запись на платные экскурсии и мероприятия | Согласие субъекта (ст. 9 152-ФЗ); ст. 6 ч. 1 п. 5 152-ФЗ (исполнение договора, стороной которого является субъект) |
| 3а | Запись на бесплатные мероприятия | Согласие субъекта (ст. 9 152-ФЗ) |
| 4 | Направление информационных рассылок | Согласие субъекта (отдельное) (ст. 9 152-ФЗ) |
| 5 | Исполнение требований законодательства | Ст. 6 ч. 1 п. 2 152-ФЗ |
4. Сроки хранения персональных данных
| Категория данных | Срок хранения | Основание |
|---|---|---|
| Данные формальных обращений граждан (59-ФЗ) | 5 лет с момента поступления обращения | Приказ Росархива от 20.12.2019 № 236 (Перечень типовых управленческих архивных документов); 59-ФЗ; 152-ФЗ |
| Данные обращений через форму сайта | 3 года с момента поступления обращения | Ст. 5 ч. 4 152-ФЗ |
| Данные записи на мероприятия | 1 год с даты посещения | Ст. 5 ч. 4 152-ФЗ |
| Данные подписчиков рассылок | 3 года с даты последнего взаимодействия (или с момента подписки), но не дольше срока действия согласия | Ст. 5 ч. 4 152-ФЗ |
| Веб-аналитика (технические данные) | 13 месяцев с момента сбора | Ст. 5 ч. 4 152-ФЗ. Яндекс.Метрика вправе хранить данные в соответствии с условиями своего сервиса (yandex.ru/legal/metrica_termsofuse) |
По истечении указанных сроков персональные данные уничтожаются или обезличиваются.
5. Способы обработки персональных данных
Обработка осуществляется с использованием средств автоматизации и без их использования, включая:
- сбор через формы на сайте и по электронной почте;
- хранение в информационных системах Учреждения;
- использование при обработке обращений и записи на мероприятия;
- передачу уполномоченным лицам в случаях, предусмотренных законодательством;
- уничтожение по истечении срока хранения.
6. Передача персональных данных третьим лицам
Персональные данные передаются третьим лицам только:
- при наличии согласия субъекта;
- для исполнения договора, стороной которого является субъект;
- в случаях, прямо предусмотренных федеральным законодательством.
Привлечение уполномоченных обработчиков (поручение на обработку). Передача персональных данных лицам, обрабатывающим данные по поручению Учреждения (технические подрядчики, операторы платёжных систем, почтовые сервисы), осуществляется исключительно на основании письменного договора поручения на обработку персональных данных в соответствии со ст. 6 ч. 3 152-ФЗ. Такой договор в обязательном порядке:
- определяет исчерпывающий перечень операций по обработке, которые уполномочен совершать обработчик;
- обязывает обработчика соблюдать конфиденциальность персональных данных и принимать меры по их защите в соответствии со ст. 19 152-ФЗ;
- запрещает обработчику передавать персональные данные третьим лицам без согласия Учреждения;
- предусматривает право Учреждения осуществлять контроль исполнения договора, в том числе путём проверок.
Учреждение обеспечивает соблюдение обработчиком требований 152-ФЗ до начала и в течение всего периода обработки.
7. Трансграничная передача персональных данных
В результате использования сторонних сервисов персональные данные могут передаваться за пределы Российской Федерации. Учреждение идентифицирует такие сервисы и выполняет требования ст. 12 152-ФЗ (в редакции Федерального закона от 14.07.2022 № 266-ФЗ) до начала передачи.
| Сервис | Страна обработки | Меры защиты |
|---|---|---|
| Яндекс.Метрика (ООО «Яндекс») | Российская Федерация (основная обработка); возможна передача в иные юрисдикции согласно условиям Яндекса | Договорные меры с Яндексом; Политика конфиденциальности Яндекса |
До начала трансграничной передачи Учреждение: (1) проверяет наличие надлежащего уровня защиты прав субъектов в государстве-получателе; (2) при отсутствии подтверждённой адекватной защиты — уведомляет Роскомнадзор и в установленных случаях получает разрешение в порядке ч. 3 ст. 12 152-ФЗ.
Актуальный перечень сервисов, в результате применения которых возможна трансграничная передача, поддерживается во внутренней документации Учреждения и предоставляется по запросу субъекта.
8. Меры по обеспечению безопасности персональных данных
Учреждение определяет уровень защищённости каждой информационной системы персональных данных (ИСПД) в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119 и реализует соответствующие технические и организационные меры согласно Приказу ФСТЭК России от 18.02.2013 № 21.
Принимаемые меры включают:
- назначение ответственного за организацию обработки персональных данных (должность и контактные данные публикуются на сайте Учреждения);
- определение уровня защищённости ИСПД согласно Постановлению Правительства РФ № 1119 с документальным оформлением результатов;
- издание внутренних документов, регламентирующих порядок обработки, допуска и защиты персональных данных;
- ограничение круга лиц, имеющих доступ к персональным данным, с ведением актуального перечня таких лиц;
- применение технических средств защиты информации, соответствующих установленному уровню защищённости;
- проведение внутренних проверок соблюдения законодательства о персональных данных не реже одного раза в год;
- обеспечение физической безопасности носителей персональных данных;
- контроль за принятыми мерами защиты.
9. Права субъекта персональных данных
В соответствии со ст. 14 и смежными статьями 152-ФЗ субъект персональных данных вправе:
- Получить подтверждение факта обработки его персональных данных Учреждением.
- Получить полную информацию об обработке, включая: правовые основания и цели обработки; применяемые способы обработки; наименование и место нахождения Учреждения; перечень лиц (в том числе уполномоченных обработчиков), имеющих доступ к персональным данным либо которым они могут быть раскрыты; перечень обрабатываемых персональных данных и источник их получения; сроки обработки и хранения данных.
- Получить доступ к своим персональным данным — ознакомиться с конкретными данными о себе, которые обрабатывает Учреждение.
- Требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки (ст. 21 152-ФЗ).
- Требовать прекращения обработки персональных данных в случаях, предусмотренных ст. 21 152-ФЗ, в том числе при отсутствии достаточных законных оснований для обработки.
- Требовать прекращения обработки в целях прямого маркетинга (рекламных рассылок) без объяснения причин (ст. 15 152-ФЗ).
- Отозвать согласие на обработку в любой момент, направив обращение на info@memorymuseum.ru. Отзыв согласия не влияет на законность обработки, осуществлённой до его отзыва, и не прекращает обработку, имеющую иное законное основание.
- Обжаловать действия или бездействие Оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор, rkn.gov.ru).
- Защищать свои права и законные интересы в судебном порядке, в том числе требовать возмещения убытков и компенсации морального вреда.
Для реализации перечисленных прав субъект направляет обращение на адрес info@memorymuseum.ru или по почтовому адресу Учреждения. Учреждение рассматривает обращение и направляет ответ в течение 30 дней с момента его получения, если иной срок не установлен законодательством.
10. Актуальность документа
Настоящая Политика вступает в силу с даты, указанной в поле updatedAt в заголовке документа, и действует до принятия новой редакции.
При внесении изменений, затрагивающих объём или условия обработки персональных данных (существенные изменения), Учреждение уведомляет субъектов, адреса электронной почты которых имеются в базах данных, и при необходимости получает новое согласие. При технических или редакционных обновлениях, не изменяющих существо обработки, достаточна публикация новой редакции на сайте. Дата в поле updatedAt отражает дату последнего существенного пересмотра.
Актуальная редакция всегда доступна по адресу https://memorymuseum.ru/policy/processing.