Политика в отношении обработки персональных данных

1. Общие положения

1.1.Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение требований ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и определяет политику Общество с ограниченной ответственностью «Истоки» (далее — Оператор) в отношении обработки персональных данных, а также сведения о реализуемых требованиях к защите персональных данных.

1.2.Политика действует в отношении всех персональных данных, которые Оператор получает от субъектов персональных данных при использовании ими сайтов central-archive.ru (включая раздел «Личный кабинет» по адресу central-archive.ru/lk), relic-chat.ru, личного кабинета платформы «Агрегатор», мессенджера «Релик-чат» и при оказании услуг генеалогического центра «Семейная реликвия» (совместно — Сервис), а также в отношении персональных данных работников Оператора и физических лиц — контрагентов.

1.3.Политика разработана в соответствии с Конституцией Российской Федерации, 152-ФЗ, Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Постановлением Правительства РФ от 01.11.2012 № 1119, Приказом ФСТЭК России от 18.02.2013 № 21, Приказом Роскомнадзора от 24.02.2021 № 18, иными нормативными правовыми актами Российской Федерации в области персональных данных.

1.4.Политика является общедоступным документом и размещена по адресу https://central-archive.ru/politika-konfidencialnosti. Ссылка на Политику размещается в подвале каждой страницы Сервиса и во всех формах сбора персональных данных.

1.5.Лицом, ответственным за организацию обработки персональных данных (ст. 22.1 152-ФЗ), назначен Генеральный директор Овчинников Павел Андреевич, действует на основании Устава. Контакты для обращений по вопросам обработки персональных данных: e-mail support@central-archive.ru (тема письма «Персональные данные»), почтовый адрес 394026, г. Воронеж, ул. Солнечная, д. 31а, оф. 14 (БЦ «Солнечный альянс»), телефон 8 800 550-58-90.

2. Термины и определения

2.1.В Политике используются термины в значении, установленном ст. 3 152-ФЗ, а также следующие понятия:

• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
• Оператор — Общество с ограниченной ответственностью «Истоки», самостоятельно организующее и осуществляющее обработку ПДн, а также определяющее цели обработки, состав ПДн и совершаемые с ними действия.
• Обработка ПДн — любое действие (операция) или совокупность действий с ПДн, совершаемых с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Автоматизированная обработка — обработка ПДн с помощью средств вычислительной техники.
• Распространение ПДн — действия, направленные на раскрытие ПДн неопределённому кругу лиц; предоставление — раскрытие определённому лицу или кругу лиц.
• Блокирование — временное прекращение обработки ПДн (за исключением случаев, когда обработка необходима для уточнения ПДн).
• Уничтожение — действия, в результате которых становится невозможным восстановить содержание ПДн в информационной системе и (или) уничтожаются материальные носители.
• Обезличивание — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту.
• Информационная система ПДн (ИСПДн) — совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств.
• Сервис — сайты Оператора central-archive.ru (включая раздел «Личный кабинет» по адресу central-archive.ru/lk), relic-chat.ru, программно-аппаратный комплекс «Агрегатор» (личный кабинет клиента и профи-кабинет), мессенджер «Релик-чат», а также услуги генеалогического центра «Семейная реликвия», оказываемые Оператором.
• Пользователь — любое физическое лицо, использующее Сервис, в том числе без регистрации.
• Cookie — небольшой фрагмент данных, отправляемый веб-сервером и хранимый на устройстве Пользователя, который браузер пересылает серверу при каждом запросе.

3. Принципы и условия обработки

3.1.Обработка персональных данных осуществляется Оператором на основе принципов, установленных ст. 5 152-ФЗ:

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора;
• не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только ПДн, которые отвечают целям их обработки; содержание и объём обрабатываемых ПДн соответствуют заявленным целям, избыточность не допускается;
• обеспечиваются точность, достаточность и, где необходимо, актуальность ПДн; Оператор принимает меры по удалению или уточнению неполных или неточных данных;
• хранение ПДн осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором;
• обрабатываемые ПДн уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей.

3.2.Обработка персональных данных осуществляется Оператором при наличии хотя бы одного из условий, предусмотренных ч. 1 ст. 6 152-ФЗ, в том числе: с согласия субъекта (п. 1); для исполнения возложенных на Оператора законом обязанностей (п. 2); для исполнения договора, стороной которого либо выгодоприобретателем является субъект, а также для заключения такого договора по инициативе субъекта (п. 5); для осуществления прав и законных интересов Оператора при условии, что при этом не нарушаются права субъекта (п. 7).

3.3.Оператор не обрабатывает биометрические персональные данные (ст. 11 152-ФЗ). Специальные категории персональных данных (ст. 10 152-ФЗ) Оператор целенаправленно не собирает. Сведения о вероисповедании, национальности, состоянии здоровья исторических лиц, сообщаемые субъектом в анкете исследования или биографии, обрабатываются исключительно в целях генеалогического исследования на основании п. 1 ч. 2 ст. 10 152-ФЗ (согласие в письменной форме, выраженное в порядке п. 5.4 Политики) и не используются для принятия решений в отношении субъекта.

3.4.Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных (ст. 16 152-ФЗ).

3.5.Сервис предназначен для лиц, достигших 18 лет. Оператор не осуществляет целенаправленный сбор персональных данных несовершеннолетних; сведения о несовершеннолетних родственниках вносятся в древо их законными представителями под их ответственность.

4. Цели, правовые основания, категории субъектов и состав ПДн

4.1.Оператор обрабатывает персональные данные в следующих целях, на следующих правовых основаниях и в следующем объёме:

4.2.Источниками персональных данных являются: субъект персональных данных (самостоятельно заполняет формы, анкету, загружает документы и контент); Пользователь, предоставляющий сведения о своих родственниках; архивы, органы ЗАГС и иные организации, отвечающие на запросы в рамках исследования; технические средства Сервиса (автоматический сбор технических данных).

4.3.Пользователь, предоставляющий Оператору персональные данные третьих лиц (родственников, иных упоминаемых в анкете, древе, документах и контенте лиц), гарантирует, что получил согласие указанных лиц на предоставление их персональных данных Оператору и обработку в целях п. 4.1 Политики, а в отношении умерших лиц действует с согласия их наследников (ч. 7 ст. 9 152-ФЗ) либо в качестве наследника, и несёт ответственность за нарушение данной гарантии. Оператор в этом случае обрабатывает персональные данные третьих лиц на основании ч. 1 ст. 6 п. 5 152-ФЗ в интересах Пользователя как стороны договора и ч. 3 ст. 6 152-ФЗ.

4.4.Оператор не проверяет достоверность персональных данных, предоставленных Пользователем, и исходит из того, что Пользователь предоставляет достоверные и достаточные данные и поддерживает их в актуальном состоянии.

4.5.Рекламные рассылки (п. 4.1.8) направляются исключительно при наличии отдельно выраженного согласия, которое не является условием использования Сервиса. Согласие на обработку персональных данных в целях п. 4.1.1–4.1.7 не включает согласия на рекламные рассылки.

5. Порядок и условия обработки

5.1.Обработка персональных данных осуществляется смешанным способом: с использованием средств автоматизации (в ИСПДн «Агрегатор» и «Релик-чат», размещённых на серверах Оператора в Российской Федерации) и без использования таких средств (бумажные договоры, отчёты, родословные книги).

5.2.Оператор совершает с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Распространение персональных данных (раскрытие неопределённому кругу лиц) осуществляется исключительно в случае п. 4.1.6 на основании отдельного согласия по ст. 10.1 152-ФЗ.

5.3.Трансграничная передача персональных данных (ст. 12 152-ФЗ) Оператором не осуществляется. При обработке персональных данных граждан Российской Федерации Оператор обеспечивает их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

5.4.Согласие на обработку персональных данных даётся субъектом в форме конклюдентных действий, позволяющих подтвердить факт его получения (ч. 1 ст. 9 152-ФЗ): проставление отметки в поле «Даю согласие на обработку персональных данных» при отправке формы на сайте, при первом входе в личный кабинет (регистрации), при регистрации в Релик-чате. Текст согласия размещён по адресу https://central-archive.ru/soglasie. Оператор фиксирует дату и время, IP-адрес, адрес электронной почты и редакцию документов на момент дачи согласия; указанные сведения хранятся в течение срока по п. 7.1 Политики и служат доказательством получения согласия (ч. 3 ст. 9 152-ФЗ). Согласие на обработку персональных данных при заключении договора на оказание услуг в письменной форме оформляется в составе договора.

5.5.Персональные данные, содержащиеся в анкете исследования, древе, документах, семейных сайтах и страницах памяти, обрабатываются в закрытом режиме — доступ к ним имеют только Пользователь, лица, приглашённые им в проект или семейную группу, и работники Оператора в пределах своих ролей. Публичный доступ к странице памяти или семейному сайту открывается только после совершения Пользователем действия «Опубликовать» и может быть прекращён им в любое время.

5.6.Доступ к персональным данным внутри Оператора имеют только работники, в должностные обязанности которых входит обработка соответствующих данных, в объёме, необходимом для выполнения обязанностей. Перечень таких должностей и допущенных лиц утверждается приказом Оператора.

6. Передача ПДн третьим лицам и поручение обработки

6.1.Оператор передаёт персональные данные третьим лицам исключительно в случаях, предусмотренных законом или необходимых для достижения целей п. 4.1, и обеспечивает конфиденциальность персональных данных (ст. 7 152-ФЗ):

6.2.Лица, которым Оператор поручает обработку персональных данных, обязаны соблюдать принципы и правила обработки, конфиденциальность и безопасность персональных данных, предусмотренные 152-ФЗ; в поручении Оператора определяются перечень действий с персональными данными, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность, требования к защите (ч. 3 ст. 6 152-ФЗ). Ответственность перед субъектом за действия такого лица несёт Оператор (ч. 5 ст. 6 152-ФЗ).

6.3.Оператор не продаёт персональные данные и не передаёт их третьим лицам в маркетинговых целях.

7. Сроки обработки и хранения

7.1.Персональные данные обрабатываются и хранятся в течение сроков, необходимых для достижения целей обработки, если иной срок не установлен федеральным законом или договором:

7.2.По истечении установленных сроков, по достижении целей обработки, при отзыве согласия (если нет иного законного основания обработки) или по требованию субъекта в случаях ст. 21 152-ФЗ персональные данные уничтожаются, а при невозможности уничтожения в установленный срок — блокируются с последующим уничтожением, либо обезличиваются. Уничтожение оформляется актом в порядке, установленном Приказом Роскомнадзора от 28.10.2022 № 179.

8. Меры по обеспечению безопасности

8.1.Во исполнение ст. 18.1 и 19 152-ФЗ Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий:

• назначение лица, ответственного за организацию обработки ПДн (ст. 22.1 152-ФЗ);
• издание настоящей Политики и локальных актов, устанавливающих процедуры обработки, предотвращения и выявления нарушений, устранения их последствий; ознакомление работников под подпись;
• определение угроз безопасности ПДн при их обработке в ИСПДн и уровня защищённости в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119; применение организационных и технических мер по Приказу ФСТЭК России от 18.02.2013 № 21;
• размещение баз данных на серверах в Российской Федерации (ч. 5 ст. 18 152-ФЗ);
• разграничение прав доступа: ролевая модель (клиент, родственник, менеджер, генеалог, руководитель, администратор); доступ работников только к ПДн, необходимым для исполнения обязанностей; проверка полномочий при каждом запросе к серверу;
• идентификация и аутентификация: вход по одноразовым кодам, хранение кодов и паролей только в виде хешей, серверные сессии с возможностью принудительного завершения, ограничение числа попыток входа;
• защита каналов передачи данных протоколом TLS (HTTPS); выдача файлов только по краткосрочным подписанным ссылкам; контроль типов загружаемых файлов;
• регистрация событий безопасности и действий с ПДн (журналы доступа, история изменений проектов);
• резервное копирование и восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа;
• обязательства работников и исполнителей о неразглашении конфиденциальной информации; поручение обработки третьим лицам только по договору с условиями ч. 3 ст. 6 152-ФЗ;
• внутренний контроль соответствия обработки требованиям 152-ФЗ; оценка вреда, который может быть причинён субъектам в случае нарушения.

8.2.Работники Оператора, допущенные к обработке персональных данных, несут ответственность за нарушение требований 152-ФЗ в соответствии со ст. 13.11 КоАП РФ, ст. 137 УК РФ и трудовым законодательством.

9. Права субъекта персональных данных

9.1.Субъект персональных данных имеет право (гл. 3 152-ФЗ):

• получать информацию, касающуюся обработки его ПДн, в объёме ч. 7 ст. 14 152-ФЗ: подтверждение факта обработки, правовые основания и цели, применяемые способы, наименование и адрес Оператора, обрабатываемые ПДн и источник их получения, сроки обработки и хранения, сведения об осуществлённой или предполагаемой трансграничной передаче, сведения о лицах, имеющих доступ к ПДн, и о лицах, которым поручена обработка;
• требовать уточнения своих ПДн, их блокирования или уничтожения, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки (ч. 1 ст. 14 152-ФЗ);
• отозвать согласие на обработку ПДн (ч. 2 ст. 9 152-ФЗ) и согласие на распространение (ч. 12 ст. 10.1 152-ФЗ) в любое время;
• требовать прекращения распространения своих ПДн (ч. 14 ст. 10.1 152-ФЗ);
• отказаться от получения рекламных рассылок (ч. 2 ст. 15 152-ФЗ, ч. 2 ст. 18 38-ФЗ);
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов ПДн (Роскомнадзор) или в судебном порядке (ст. 17 152-ФЗ);
• на возмещение убытков и компенсацию морального вреда в судебном порядке (ст. 24 152-ФЗ).

9.2.Большую часть персональных данных Пользователь может самостоятельно уточнить, изменить или удалить средствами личного кабинета (разделы «Личные данные», «Анкета», «Древо рода», «Документы», «Семейные сайты», «Страницы памяти»). Отзыв согласия осуществляется кнопкой «Отозвать согласие и удалить данные» в разделе «Личные данные» либо путём направления обращения в порядке раздела 11.

9.3.Право субъекта на доступ к персональным данным может быть ограничено в случаях ч. 8 ст. 14 152-ФЗ. Отзыв согласия не влияет на законность обработки, осуществлённой до отзыва, и не прекращает обработку, для которой имеется иное правовое основание (исполнение договора, требования закона о хранении документов).

10. Обязанности Оператора

10.1.Оператор обязан:

• предоставлять субъекту по его запросу информацию, указанную в ч. 7 ст. 14 152-ФЗ, либо мотивированный отказ в сроки, установленные ст. 20 152-ФЗ;
• обеспечивать запись, систематизацию, накопление, хранение, уточнение, извлечение ПДн граждан РФ с использованием баз данных, находящихся на территории РФ;
• принимать меры, предусмотренные ст. 18.1 и 19 152-ФЗ; опубликовать настоящую Политику в свободном доступе;
• уведомить уполномоченный орган об обработке ПДн в порядке ст. 22 152-ФЗ и сообщать об изменениях сведений, содержащихся в уведомлении;
• уведомлять уполномоченный орган и субъектов о неправомерной или случайной передаче ПДн (инциденте) в порядке и сроки, установленные ч. 3.1 ст. 21 152-ФЗ (в течение 24 часов — о факте, в течение 72 часов — о результатах внутреннего расследования);
• прекращать обработку и уничтожать ПДн в случаях и сроки, предусмотренные ст. 21 152-ФЗ;
• вести журнал учёта обращений субъектов ПДн.

11. Порядок рассмотрения обращений

11.1.Обращения субъектов персональных данных (запросы о предоставлении информации, требования об уточнении, блокировании, уничтожении, отзыв согласия) направляются в письменной форме на почтовый адрес Оператора либо в форме электронного документа на адрес support@central-archive.ru с адреса электронной почты, указанного субъектом при регистрации или в договоре. Запрос должен содержать сведения, предусмотренные ч. 3 ст. 14 152-ФЗ: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с Оператором (адрес электронной почты учётной записи, номер договора или проекта) либо иные сведения, подтверждающие факт обработки, подпись субъекта или его представителя.

11.2.Оператор предоставляет запрошенную информацию либо мотивированный отказ в течение 10 рабочих дней с момента обращения; срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта (ч. 1, 1.1 ст. 20 152-ФЗ). Информация предоставляется в доступной форме и не должна содержать персональных данных, относящихся к другим субъектам.

11.3.При отзыве согласия Оператор прекращает обработку персональных данных и уничтожает их (при отсутствии иного законного основания) в срок, не превышающий 30 дней с даты поступления отзыва (ч. 5 ст. 21 152-ФЗ). При выявлении неправомерной обработки Оператор прекращает её в срок, не превышающий 3 рабочих дней, и уничтожает данные в срок, не превышающий 10 рабочих дней (ч. 3 ст. 21 152-ФЗ). При выявлении неточных данных Оператор блокирует их на период проверки и уточняет в течение 7 рабочих дней (ч. 1, 2 ст. 21 152-ФЗ).

11.4.Обращение, поданное через кнопку «Отозвать согласие и удалить данные» в личном кабинете, считается поданным субъектом, прошедшим аутентификацию, и регистрируется в системе обращений Оператора с фиксацией даты и времени; о результатах Оператор уведомляет субъекта по адресу электронной почты учётной записи.

11.5.Учёт обращений ведётся в журнале обращений субъектов персональных данных.

12. Файлы cookie и метрические программы

12.1.Сервис использует файлы cookie и локальное хранилище браузера: технически необходимые (идентификатор сессии, токен входа, настройки интерфейса — без них вход в личный кабинет невозможен) и аналитические (счётчик Яндекс.Метрика № 99465067 ООО «Яндекс», включая технологию «Вебвизор», собирающую обезличенные сведения о действиях на страницах).

12.2.При первом посещении Сервиса Пользователю показывается уведомление об использовании cookie со ссылкой на Политику; продолжение использования Сервиса означает согласие Пользователя на обработку технических данных в целях п. 4.1.9. Пользователь вправе отключить cookie в настройках браузера или воспользоваться средством блокировки счётчиков ООО «Яндекс»; при этом функции Сервиса, требующие аутентификации, могут быть недоступны.

12.3.Данные метрических программ не используются Оператором для идентификации конкретного Пользователя и не объединяются с данными учётных записей.

13. Заключительные положения

13.1.Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её размещения по адресу, указанному в п. 1.4, если иное не предусмотрено новой редакцией. Актуальная редакция и дата её утверждения указываются в начале документа; предыдущие редакции предоставляются по запросу.

13.2.Отношения, не урегулированные Политикой, регулируются законодательством Российской Федерации. При противоречии Политики и договора с субъектом применяются положения, обеспечивающие больший уровень защиты прав субъекта.

13.3.Политика утверждена приказом генерального директора ООО «Истоки» от 08.09.2026.