Политика безопасности персональных данных

Дата вступления в силу: 01.01.2020 г.
Версия: 1.0

Настоящий документ определяет политику ООО «Сенат А» (далее – «Оператор») в области обеспечения безопасности персональных данных (ПДн) при их обработке в информационной системе сайта https://orto76.ru/ (далее – «Сайт»). Документ является неотъемлемой частью Политики обработки персональных данных и Публичной оферты.

1. Общие положения

1.1. Нормативная база

Настоящая Политика безопасности разработана в соответствии с:

Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных»;
Приказом Роскомнадзора от 05.09.2013 № 996 «Об утверждении требований и методов по обезличиванию персональных данных».

1.2. Цель

Предотвращение утечки, уничтожения, искажения, блокирования, копирования, предоставления, распространения персональных данных, а также иных несанкционированных действий при их обработке.

1.3. Основные угрозы безопасности ПДн

Несанкционированный доступ (НСД) со стороны злоумышленников (внешние и внутренние атаки);
Утечка через каналы связи или съёмные носители;
Воздействие вредоносного ПО (вирусы, трояны, программы-шпионы);
Технические сбои и отказы оборудования;
Ошибки персонала (человеческий фактор).

2. Перечень мер по защите персональных данных

Оператор реализует следующие меры, предусмотренные ст. 19 152-ФЗ:

2.1. Организационные меры

№	Мера	Описание
1	Назначение ответственного за обработку ПДн	Приказом генерального директора назначено лицо, отвечающее за организацию обработки и обеспечение безопасности ПДн.
2	Локальные нормативные акты	Утверждены: перечень лиц, имеющих доступ к ПДн; правила обработки ПДн; инструкция по действиям при инцидентах.
3	Допуск сотрудников	Сотрудники, обрабатывающие ПДн, подписывают обязательство о неразглашении. Доступ предоставляется только по служебной необходимости.
4	Обучение и контроль	Проводится вводный инструктаж по безопасности ПДн, периодические проверки знаний.
5	Учёт машинных носителей	Все носители (жёсткие диски, флешки) с ПДн учитываются, хранятся в опечатываемых сейфах.

2.2. Технические меры

№	Мера	Реализация
1	Защита от НСД	Использование межсетевого экрана (firewall) на уровне хостинга; блокировка портов, не используемых для работы сайта.
2	Аутентификация и контроль доступа	Доступ к административной панели OpenCart — по сложному паролю (мин. 12 символов, цифры, спецсимволы). Двухфакторная аутентификация (по требованию).
3	Антивирусная защита	Регулярное обновление антивирусных баз на сервере и рабочих станциях. Периодическое сканирование.
4	Шифрование каналов связи	Использование протокола HTTPS (SSL/TLS сертификат) для всех страниц сайта, включая формы заказа и личный кабинет.
5	Защита от атак на веб-приложения	Web Application Firewall (WAF) на уровне хостинг-провайдера; фильтрация SQL-инъекций, XSS, CSRF.
6	Резервное копирование	Ежедневное резервное копирование баз данных (в т.ч. ПДн) на отдельный защищённый сервер. Копии хранятся 30 дней.
7	Журналирование событий	Логирование всех действий с ПДн (доступ, изменение, удаление). Журналы хранятся 1 год.
8	Обновление ПО	Своевременная установка обновлений безопасности для OpenCart, PHP, MySQL, серверной ОС.
9	Обезличивание ПДн	При передаче данных для статистики (Яндекс.Метрика) IP-адреса обезличиваются (маскировка последних октетов).

2.3. Физическая защита

№	Мера	Описание
1	Контроль доступа в помещения	Серверное оборудование размещено в дата-центре с ограниченным доступом (хостинг-провайдер). Офисные помещения оборудованы замками и видеонаблюдением.
2	Уничтожение документов	Документы на бумажных носителях, содержащие ПДн, уничтожаются с помощью шредера.

3. Порядок действий при инцидентах

3.1. Инцидент безопасности — любое событие, которое привело или могло привести к нарушению конфиденциальности, целостности или доступности ПДн (например, попытка взлома, утеря носителя, обнаружение вируса).

3.2. Действия при обнаружении инцидента

Шаг	Действие	Срок
1	Заблокировать доступ к подозрительным данным (отключить учётную запись, закрыть порт).	Немедленно
2	Сообщить ответственному за обработку ПДн и генеральному директору.	В течение 1 часа
3	Провести анализ — установить причины, объём утечки (какие ПДн, скольких субъектов).	В течение 24 часов
4	Если подтверждена утечка — уведомить Роскомнадзор (по форме) и субъектов ПДн.	В течение 24 часов
5	Принять меры по устранению уязвимости, усилить контроль.	В течение 3 рабочих дней

3.3. Контакт для сообщения об инцидентах:
Email: 216000@mail.ru с пометкой «ИНЦИДЕНТ БЕЗОПАСНОСТИ»
Телефон: +7 (901) 997-14-15

4. Уровень защищённости ПДн

В соответствии с Постановлением Правительства РФ № 1119, Оператор установил 3 уровень защищённости персональных данных, так как:

Обрабатываются ПДн не более 100 000 субъектов в год;
Отсутствуют специальные категории ПДн (здоровье, биометрия), за исключением случаев явного предоставления их пользователем;
База данных ПДн изолирована от прямого доступа из сети Интернет.

Применяемый набор мер соответствует требованиям для 3 уровня (Приказ ФСТЭК № 21).

5. Права и обязанности сторон

5.1. Оператор обязуется

Поддерживать меры безопасности на актуальном уровне;
Не реже одного раза в год проводить внутренний аудит безопасности ПДн;
Не разглашать ПДн третьим лицам, кроме случаев, предусмотренных законом и Политикой конфиденциальности.

5.2. Пользователь (субъект ПДн) обязуется

Не сообщать свои учётные данные (логин, пароль) третьим лицам;
Использовать сложные пароли и не повторять их на других сайтах;
Незамедлительно сообщать о подозрительных действиях с его учётной записью.

5.3. Пользователь имеет право

Запросить информацию о применяемых мерах безопасности;
Требовать блокирования или уничтожения его ПДн в случае подтверждённого факта их незаконного использования.

6. Ответственность

6.1. Должностные лица и сотрудники Оператора, виновные в нарушении требований безопасности ПДн, несут дисциплинарную, административную (ст. 13.11 КоАП РФ) и уголовную (ст. 137, 272 УК РФ) ответственность в соответствии с законодательством РФ.

6.2. Пользователь, сообщивший заведомо ложные сведения об инциденте или пытавшийся несанкционированно получить доступ к чужим ПДн, несёт самостоятельную ответственность.

7. Заключительные положения

7.1. Настоящая Политика безопасности действует бессрочно до её замены новой версией.

7.2. Изменения вносятся приказом генерального директора и публикуются на Сайте не позднее чем за 5 дней до вступления в силу (кроме экстренных мер безопасности, вступающих немедленно).

7.3. Если какое-либо положение Политики признано недействительным, это не влечёт недействительности остальных положений.

Реквизиты Оператора
ООО «Сенат А»
Адрес: 150000, г. Ярославль, ул. Чкалова, д. 17
Email: 216000@mail.ru
Телефон: +7 (901) 997-14-15

Ответственный за обработку ПДн (назначен приказом №1 от 01.01.2020 г.) — Генеральный директор Анашкин Н.Б.