ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор: Автономная некоммерческая организация «Научно-производственный центр беспилотных автономных систем, роботизации и развития технологических компаний Липецкой области» (АНО «НПЦ БАС ЛО»)
ИНН / КПП: 4800026630 / 480001001 · ОГРН: 1254800006340
Адрес: 398050, Липецкая область, г.о. город Липецк, г. Липецк, ул. Интернациональная, д. 29, помещ. 2, каб. 4
Сайт: https://bas-lo.ru

1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые Автономная некоммерческая организация «Научно-производственный центр беспилотных автономных систем, роботизации и развития технологических компаний Липецкой области» (сокращённое наименование — АНО «НПЦ БАС ЛО»; ИНН 4800026630, КПП 480001001, ОГРН 1254800006340, адрес: 398050, Липецкая область, г.о. город Липецк, г. Липецк, ул. Интернациональная, д. 29, помещ. 2, каб. 4; далее — Оператор), в отношении пользователей сайта https://bas-lo.ru.
1.2. Политика разработана в соответствии с:

• Конституцией Российской Федерации;
• Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• постановлением Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• приказом ФСТЭК России от 18.02.2013 № 21;
• приказом Роскомнадзора от 27.10.2022 № 996 «Об утверждении Порядка проведения оценки вреда, который может быть причинен субъектам персональных данных…»;
• иными нормативными правовыми актами Российской Федерации и локальными актами Оператора.

1.3. Политика публикуется в свободном доступе в информационно-телекоммуникационной сети «Интернет» на Сайте и является общедоступным документом.
1.4. Политика применяется ко всей информации о пользователях, которую Оператор получает с использованием Сайта, в том числе через формы обратной связи, а также в ходе последующей коммуникации по заявкам, оставленным на Сайте.
1.5. Оператор не обрабатывает специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные, а также не собирает данные о судимости.
1.6. Оператор осуществляет обработку персональных данных с учётом требования о локализации: запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона № 152-ФЗ).
1.7. Оператор является оператором, осуществляющим обработку персональных данных, и исполняет обязанности, предусмотренные ст. 22 Закона № 152-ФЗ, в том числе по направлению в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) уведомления об обработке персональных данных и сведений об изменении ранее представленных данных.
2. Термины и определения
2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
2.2. Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение.
2.3. Субъект персональных данных — пользователь Сайта, представитель организации (компании-резидента, потенциального резидента, заявителя, контрагента), иное физическое лицо, направившее Оператору свои персональные данные через Сайт.
2.4. Оператор — АНО «НПЦ БАС ЛО», самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели и состав обрабатываемых данных.
2.5. Пользователь — лицо, посещающее Сайт и (или) использующее его функциональные возможности.
2.6. Cookie — небольшие файлы, сохраняемые браузером на устройстве пользователя, используемые для корректной работы Сайта, сохранения настроек и веб-аналитики.
2.7. Обезличивание — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.
3. Состав обрабатываемых персональных данных
3.1. Персональные данные, которые пользователь предоставляет добровольно при заполнении форм на Сайте (формы «Стать резидентом», «Оставить заявку», «Получить разрешение на полёты», а также иные формы обратной связи):

• имя (фамилия и имя);
• номер телефона;
• адрес электронной почты (если предусмотрен соответствующей формой);
• наименование организации (компании) и должность пользователя (если указываются в форме);
• иная информация, которую пользователь самостоятельно указывает в свободном поле сообщения (в том числе сведения о проекте, целях обращения, сроках, технических параметрах изделия);
• сведения о согласии на обработку персональных данных (факт проставления отметки), дата и время отправки формы.

3.2. Персональные данные, обрабатываемые в автоматическом режиме при использовании Сайта:

• IP-адрес;
• файлы cookie, а также данные локального хранилища браузера;
• сведения о браузере, операционной системе, типе и разрешении экрана устройства, языке интерфейса;
• источник перехода на Сайт (referrer), UTM-метки;
• сведения о посещённых страницах, действиях на Сайте, времени и продолжительности посещения, отказах и ошибках.

3.3. Обработка метаданных, указанных в п. 3.2, осуществляется в обезличенном виде, если такие данные не объединяются с данными из п. 3.1, позволяющими идентифицировать пользователя.
3.4. Оператор исходит из того, что пользователь предоставляет достоверные и достаточные персональные данные и имеет право на их предоставление. Оператор не осуществляет проверку предоставленных данных, кроме случаев, предусмотренных законодательством и характером обращения.
3.5. Сайт не адресован лицам, не достигшим 18 лет, и Оператор целенаправленно не собирает персональные данные несовершеннолетних через Сайт. Если заявка затрагивает участие несовершеннолетнего в образовательных, спортивных или иных мероприятиях Оператора, обработка таких данных осуществляется на основании отдельного согласия законного представителя в порядке, установленном законодательством.
3.6. Оператор не обрабатывает персональные данные, содержащиеся в заявках, в объёме большем, чем необходимо для достижения целей, указанных в разделе 4 Политики.
4. Цели и правовые основания обработки персональных данных
4.1. Цели обработки

• рассмотрение заявок, направленных через формы Сайта, установление обратной связи с пользователем, консультирование по вопросам резидентства, услуг, эксплуатации беспилотных авиационных систем и разрешений на полёты;
• заключение и исполнение договоров и соглашений, стороной которых является субъект персональных данных или организация, которую он представляет;
• рассмотрение кандидатур на получение статуса резидента и организация взаимодействия с резидентами;
• консультирование по вопросам грантов, субсидий, мер государственной поддержки в сфере беспилотных автономных систем и содействие в их получении;
• информирование о мероприятиях, новостях и услугах Оператора — только при наличии отдельного согласия субъекта (с правом отказа в любой момент);
• обеспечение работоспособности, безопасности и удобства Сайта, ведение статистики посещаемости, анализ и улучшение качества Сайта и услуг;
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (в том числе ответы на законные запросы государственных органов), а также защита прав и законных интересов Оператора в случае споров.

4.2. Правовые основания обработки
Обработка осуществляется на основании совокупности правовых оснований:

• согласие субъекта на обработку его персональных данных (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ), выражаемое путём проставления отметки в соответствующем поле формы на Сайте и её отправки;
• необходимость обработки для заключения и исполнения договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ);
• необходимость обработки для осуществления прав и законных интересов Оператора, при условии что не нарушаются права и свободы субъекта (п. 7 ч. 1 ст. 6 Закона № 152-ФЗ) — в части обеспечения работы и безопасности Сайта, ведения обезличенной статистики;
• необходимость исполнения обязанностей, возложенных на Оператора законодательством (п. 2 ч. 1 ст. 6 Закона № 152-ФЗ), в том числе в бухгалтерском и налоговом учёте, архивном деле;
• уставные цели и предмет деятельности Оператора как некоммерческой организации.

4.3. Обработка персональных данных в целях продвижения товаров, работ, услуг, а также новостных и рекламных рассылок осуществляется только с предварительного согласия субъекта, полученного отдельно от согласия на обработку данных в связи с рассмотрением заявки.
5. Принципы обработки персональных данных
5.1. Обработка ведётся на законной и справедливой основе.
5.2. Обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора.
5.3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых ведётся в целях, несовместимых между собой.
5.4. Обрабатываются только те данные, которые отвечают целям их обработки; объём обрабатываемых данных соответствует заявленным целям (принцип минимизации).
5.5. Обеспечивается точность, достаточность и достоверность данных, их актуальность по отношению к целям обработки; принимаются меры по удалению или уточнению неполных или неточных данных.
5.6. Хранение осуществляется не дольше, чем этого требуют цели обработки, если иной срок не установлен законодательством или договором.
6. Порядок и условия обработки персональных данных
6.1. Обработка персональных данных осуществляется с использованием средств автоматизации и без их использования (смешанная обработка) путём совершения действий, перечисленных в п. 2.2 Политики.
6.2. Обработке подлежат только те персональные данные, которые необходимы для достижения целей обработки; доступ к ним предоставляется ограниченному кругу работников Оператора, в чьи должностные обязанности входит работа с соответствующими данными.
6.3. Оператор обеспечивает конфиденциальность персональных данных и не раскрывает их третьим лицам, за исключением случаев, предусмотренных разделом 7 Политики и законодательством Российской Федерации.
6.4. Оператором приказом назначен ответственный за организацию обработки персональных данных, утверждены внутренние документы по вопросам обработки и защиты персональных данных, включая Положение об обработке персональных данных.
6.5. Оператор проводит оценку вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона № 152-ФЗ, и определяет уровень защищённости персональных данных в информационных системах.
6.6. Персональные данные не передаются по открытым каналам связи, если это не требуется для предоставления доступа к Сайту; передача данных форм осуществляется по защищённому протоколу HTTPS.
7. Передача персональных данных третьим лицам
7.1. Оператор вправе передавать персональные данные третьим лицам в следующих случаях:

• лицам, привлекаемым для обеспечения работы Сайта и обработки обращений: провайдеру платформы и хостинга Сайта (конструктор сайтов Tilda, ООО «Тильда Паблишинг»), провайдеру Интернет-карт и аналитических сервисов (ООО «Яндекс» — картографический виджет, сервис веб-аналитики), провайдеру сервисов электронной почты, на котором размещён почтовый ящик Оператора (ООО «Мэйл.Ру» / Mail.ru), а также операторам связи. Указанные лица обрабатывают данные в объёме, необходимом для оказания соответствующих услуг, и на условиях соблюдения конфиденциальности;
• контрагентам и партнёрам — в объёме, необходимом для исполнения договора, стороной которого является субъект персональных данных, или для рассмотрения его обращения по его просьбе (например, при направлении запроса в профильные организации и органы власти для получения разрешений, мер поддержки);
• государственным органам и органам местного самоуправления — по мотивированному и законному запросу в случаях и порядке, установленных законодательством Российской Федерации;
• правопреемнику — в случае реорганизации Оператора, с сохранением условий обработки персональных данных, предусмотренных Политикой и законом.

7.2. Передача персональных данных третьим лицам осуществляется на основании договора, заключаемого с такими лицами, с условием соблюдения ими требований законодательства о персональных данных, а в случаях, когда это требуется, — на основании отдельного согласия субъекта.
7.3. Трансграничная передача персональных данных Оператором не осуществляется. Оператор не передаёт персональные данные в страны, не обеспечивающие адекватной защиты прав субъектов персональных данных.
7.4. Оператор не продаёт и не передаёт персональные данные для целей маркетинга третьих лиц.
7.5. При использовании встроенных элементов третьих лиц (картографический виджет, кнопки социальных сетей, аналитические счётчики) такие третьи лица могут получать технические данные о посещении Сайта (в том числе IP-адрес, файлы cookie) самостоятельно в соответствии со своими политиками конфиденциальности. Оператор не контролирует объём и порядок обработки таких данных третьими лицами и рекомендует пользователям ознакомиться с их политиками.
8. Файлы cookie и веб-аналитика
8.1. Сайт использует файлы cookie и иные аналогичные технологии для:

• обеспечения технической работоспособности Сайта и корректного отображения страниц;
• сохранения пользовательских настроек (например, согласия с уведомлением об использовании cookie);
• сбора обезличенной статистики посещаемости и анализа поведения пользователей на Сайте (веб-аналитика), в том числе с использованием сервисов ООО «Яндекс».

8.2. Используются следующие категории cookie:

• необходимые (технические) — обеспечивают базовые функции Сайта и его безопасность, обработка таких файлов не требует предварительного согласия, но является условием корректной работы Сайта;
• функциональные — сохраняют выбранные пользователем настройки;
• аналитические — позволяют в обезличенном виде оценивать посещаемость и поведение пользователей и улучшать Сайт.

8.3. При первом посещении Сайта пользователю отображается уведомление об использовании файлов cookie. Продолжая пользоваться Сайтом, пользователь подтверждает ознакомление с таким уведомлением. Пользователь вправе в любой момент отключить или удалить файлы cookie в настройках своего браузера, а также использовать режим приватного просмотра. При отключении cookie отдельные функции Сайта могут работать некорректно.
8.4. Оператор не использует файлы cookie для принятия решений, порождающих юридические последствия для пользователя, и не объединяет аналитические данные с данными, полученными из форм Сайта, без согласия пользователя.
9. Сроки обработки и хранения персональных данных
9.1. Персональные данные обрабатываются до достижения целей обработки, истечения срока действия согласия либо отзыва согласия субъектом — в зависимости от того, что наступит ранее, если иной срок не установлен законодательством Российской Федерации.
9.2. Рекомендуемые (типовые) сроки хранения, применяемые Оператором:

• данные заявок, по которым обращение завершено и договор не заключён, — 3 (три) года с даты последнего взаимодействия с субъектом, если им не предоставлено согласие на дальнейшее информирование;
• данные, связанные с заключёнными договорами, — в течение срока действия договора и 5 (пяти) лет после его прекращения (в целях бухгалтерского, налогового учёта и защиты прав в случае споров), если законодательством не установлен более длительный срок;
• переписка и обращения (включая ответы на запросы субъектов персональных данных) — 3 (три) года с даты завершения рассмотрения;
• обезличенные данные веб-аналитики — не более 24 (двадцати четырёх) месяцев, если настройками сервиса аналитики не предусмотрено иное;
• файлы cookie — в соответствии со сроком жизни, установленным соответствующим файлом, но не более 12 (двенадцати) месяцев.

9.3. По достижении целей обработки, истечении срока согласия или при его отзыве персональные данные подлежат уничтожению или обезличиванию в срок, не превышающий 30 (тридцати) дней с даты наступления соответствующего основания, если иное не предусмотрено законодательством (например, если требуется хранение в силу требований бухгалтерского или архивного законодательства, а также при наличии неразрешённого спора — до его разрешения).
9.4. Уничтожение персональных данных оформляется актом; при обработке без использования средств автоматизации — с соблюдением требований Положения, утверждённого постановлением Правительства РФ от 15.09.2008 № 687.
10. Права субъекта персональных данных
10.1. Субъект персональных данных имеет право:

• получать информацию об обработке своих персональных данных, включая сведения, предусмотренные ч. 7 ст. 14 Закона № 152-ФЗ (правовые основания, цели, способы, состав данных, сроки, порядок осуществления прав);
• требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных в любой момент;
• возражать против обработки персональных данных в целях продвижения товаров, работ, услуг, а также в целях, связанных с прямыми контактами для маркетинговых целей;
• требовать ограничения обработки в случаях, предусмотренных законодательством;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
• защищать свои права и законные интересы иными способами, предусмотренными законодательством Российской Федерации.

10.2. Обращения направляются Оператору в письменной форме по адресу: 398050, Липецкая область, г.о. город Липецк, г. Липецк, ул. Интернациональная, д. 29, помещ. 2, каб. 4, либо в форме электронного документа на адрес npc_bas_lo@mail.ru. Обращение, направленное в электронной форме, может быть подписано простой электронной подписью или направлено с адреса электронной почты, указанного субъектом при взаимодействии с Оператором. Рекомендуется указывать в обращении фамилию, имя, отчество (при наличии), сведения о документе, удостоверяющем личность (для обращения, направляемого лично либо через представителя), сведения о взаимоотношениях с Оператором (дата и обстоятельства направления заявки), а также существо требования.
10.3. Оператор рассматривает обращения субъектов персональных данных и предоставляет запрошенную информацию в срок, не превышающий 10 (десяти) рабочих дней с даты получения обращения. Указанный срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением субъекту мотивированного уведомления.
10.4. При отзыве согласия Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий 30 (тридцати) дней с даты получения отзыва, за исключением случаев, когда обработка может быть продолжена на ином законном основании (например, для исполнения договора или исполнения требований законодательства).
10.5. Оператор вправе отказать в предоставлении информации в случаях, предусмотренных ч. 8 ст. 14 Закона № 152-ФЗ, с направлением мотивированного отказа.
11. Меры по обеспечению безопасности персональных данных
11.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, в том числе:

• назначение ответственного за организацию обработки персональных данных;
• издание локальных актов по вопросам обработки и защиты персональных данных, ознакомление работников с их требованиями;
• ограничение состава работников, имеющих доступ к персональным данным, и предоставление доступа по принципу минимальной необходимости;
• применение организационных и технических мер: использование защищённого протокола HTTPS при передаче данных форм, парольная политика и разграничение прав доступа к административным панелям Сайта и почтовым ящикам, применение средств защиты информации и антивирусной защиты, регулярное обновление программного обеспечения, резервное копирование;
• учёт машинных носителей персональных данных и контроль их использования;
• внутренний контроль соответствия обработки персональных данных требованиям законодательства и Политики, выявление и устранение нарушений;
• оценка вреда, который может быть причинён субъектам персональных данных, и определение уровня защищённости информационных систем;
• соблюдение условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним, при обработке без использования средств автоматизации;
• доведение до работников Оператора положений законодательства о персональных данных, требований к защите персональных данных, а также обучение и периодическое повышение квалификации.

11.2. В случае неправомерной или случайной передачи персональных данных, повлёкшей их неправомерную обработку, уничтожение, изменение, блокирование, копирование, предоставление или распространение, Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных в сроки, установленные ч. 3.1 ст. 21 Закона № 152-ФЗ (не позднее 24 часов с момента выявления инцидента — о факте, не позднее 72 часов — о результатах внутреннего расследования).
11.3. Оператор обеспечивает конфиденциальность персональных данных и обязывает лиц, получивших доступ к персональным данным, соблюдать режим конфиденциальности.
12. Ответственность
12.1. Оператор несёт ответственность за невыполнение требований законодательства Российской Федерации о персональных данных в соответствии с законодательством Российской Федерации.
12.2. Работники Оператора, виновные в нарушении требований законодательства о персональных данных и Политики, несут дисциплинарную, материальную, гражданско-правовую, административную или уголовную ответственность в порядке, установленном законодательством Российской Федерации.
12.3. Пользователь несёт ответственность за достоверность предоставляемых им персональных данных и за соблюдение прав третьих лиц при их предоставлении.
13. Заключительные положения
13.1. Политика утверждается приказом руководителя Оператора и вступает в силу с даты её утверждения.
13.2. Оператор вправе вносить изменения в Политику. Новая редакция Политики вступает в силу с момента её размещения на Сайте, если иное не предусмотрено самой редакцией. Действующая редакция всегда доступна по адресу: https://bas-lo.ru (раздел «Политика конфиденциальности»).
13.3. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.
13.4. Контроль исполнения Политики возлагается на лицо, ответственное за организацию обработки персональных данных Оператора.
14. Реквизиты и контакты Оператора
Полное наименование: Автономная некоммерческая организация «Научно-производственный центр беспилотных автономных систем, роботизации и развития технологических компаний Липецкой области»
Сокращённое наименование: АНО «НПЦ БАС ЛО»

• Юридический адрес (он же фактический): 398050, Липецкая область, г.о. город Липецк, г. Липецк, ул. Интернациональная, д. 29, помещ. 2, каб. 4
• ИНН / КПП: 4800026630 / 480001001
• ОГРН: 1254800006340
• Руководитель: директор Шацких Александр Владимирович (действует на основании Устава)
• Телефон: +7 (4742) 28-69-18
• Электронная почта: npc_bas_lo@mail.ru
• Сайт: https://bas-lo.ru