Политика в отношении обработки персональных данных

НПК «НПО «СПЕЦЗАЩИТА»

Электронная редакция опубликована 14.08.2026; бумажный экземпляр оформляется.

1. Общие положения

1.1. Настоящая Политика определяет принципы, цели, условия и порядок обработки персональных данных Некоммерческим Потребительским Кооперативом «Научно-производственное объединение «СПЕЦЗАЩИТА» при ведении деятельности Кооператива, использовании сайта speczashchita.com, личного кабинета, корпоративной переписки и информационных систем.

1.2. Политика разработана с учётом Конституции Российской Федерации, Гражданского кодекса Российской Федерации, Трудового кодекса Российской Федерации, Налогового кодекса Российской Федерации, Федеральных законов от 27.07.2006 № 152-ФЗ «О персональных данных», от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте», от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации», Закона Российской Федерации от 19.06.1992 № 3085-1, Устава Кооператива, договоров и локальных актов.

1.3. Федеральный закон № 152-ФЗ устанавливает требования к обработке и защите персональных данных, но сам по себе не используется как самостоятельное материальное основание для каждой операции. Конкретные основания указаны применительно к целям обработки в разделе 5.

1.4. Политика является общедоступным документом. Она не является согласием на обработку персональных данных, договором о членстве, заявлением о вступлении или публичной офертой. Когда основанием обработки является согласие субъекта либо закон требует его получения, такое согласие запрашивается конкретно, до начала соответствующей обработки и отдельно от иных информации и (или) документов, которые субъект подтверждает и (или) подписывает.

1.5. В Политике используются понятия в значениях, определённых законодательством Российской Федерации о персональных данных.

2. Оператор и контакты

2.1. Оператор персональных данных:

• полное наименование: Некоммерческий Потребительский Кооператив «Научно-производственное объединение «СПЕЦЗАЩИТА»;
• сокращённое наименование: НПК «НПО «СПЕЦЗАЩИТА»;
• ОГРН: 1207700383087;
• ИНН / КПП: 9709066128 / 770901001;
• адрес места нахождения и почтовый адрес: 109004, г. Москва, ул. Станиславского, д. 22, стр. 2, помещ. 11;
• электронная почта для обращений по персональным данным: office@speczashchita.com;
• телефон: +7 (921) 307-67-01.

2.2. Организацию обработки персональных данных обеспечивает назначенное распорядительным документом ответственное лицо. Обращения субъектов принимаются по указанным выше каналам независимо от того, адресованы ли они лично ответственному лицу.

2.3. Паспортные, банковские и иные чувствительные документы не следует направлять обычным электронным письмом. После ввода защищённой загрузки они передаются через личный кабинет либо иным отдельно согласованным безопасным способом.

3. Принципы обработки

Оператор:

• обрабатывает данные законно, добросовестно и только для заранее определённых целей;
• не объединяет базы данных, обрабатываемые в несовместимых целях;
• запрашивает только сведения, необходимые для конкретного этапа;
• не собирает сведения «на будущее» только потому, что они могут понадобиться;
• обеспечивает точность данных и возможность их уточнения;
• ограничивает хранение сроком, необходимым для цели, требований закона и защиты прав;
• предоставляет доступ только уполномоченным лицам по принципу минимальных прав;
• по умолчанию не публикует профиль, документы, сведения о заявлении, членстве, взносах или выплатах;
• не принимает решений о членстве, имеющих юридические последствия, исключительно автоматизированным способом.

4. Категории субъектов

В зависимости от цели Оператор обрабатывает данные:

1. посетителей сайта;

2. лиц, создающих учётную запись, зарегистрированных пользователей и лиц, направляющих обращения;

3. заявителей, действующих и бывших членов Кооператива, включая иностранных граждан и лиц 16–17 лет в случаях, допускаемых Уставом и законом;

4. законных представителей, представителей заявителей, членов и организаций;

5. руководителей, подписантов, контактных лиц и представителей юридических лиц;

6. правообладателей и совладельцев имущества, предлагаемого в качестве неденежного пая;

7. работников, бывших работников и соискателей;

8. физических лиц и индивидуальных предпринимателей — контрагентов, клиентов, выгодоприобретателей, поручителей и участников претензионных, судебных или исполнительных производств;

9. представителей и контактных лиц организаций-контрагентов.

5. Цели, состав данных и основания

5.1. Сайт, учётная запись, личный кабинет и обращения

Цели: работа и защита сайта; регистрация и ведение учётной записи; подтверждение адреса электронной почты; аутентификация и восстановление доступа; предоставление функций личного кабинета; направление сервисных уведомлений; обработка обращений; предупреждение, выявление и расследование инцидентов безопасности.

Данные:

• имя для обращения и адрес электронной почты;
• идентификатор и статус учётной записи, дата создания и подтверждения;
• криптографический хеш пароля; пароль в открытом виде не хранится;
• идентификаторы и хеши одноразовых токенов и сессий, сроки их действия и сведения об отзыве;
• сведения об идентификаторах, редакциях и контрольных суммах Пользовательского соглашения, Политики и отдельного Согласия на обработку персональных данных для создания и обслуживания аккаунта; факт, дата и время принятия Соглашения, ознакомления с Политикой и предоставления согласия;
• IP-адрес либо его защищённое производное, user-agent либо его хеш, необходимые технические cookie, дата, время, URL, request ID и результат запроса;
• события регистрации, подтверждения почты, входа, выхода, восстановления доступа, ограничения аккаунта, аудита и информационной безопасности;
• тема и содержание обращения, история переписки и ответа.

Имя при регистрации используется для обращения и само по себе не подтверждает личность. Подтверждение email подтверждает контроль над почтовым ящиком, но не является KYC или проверкой документа.

Субъекты: посетители сайта; лица, создающие аккаунт; зарегистрированные пользователи; лица, направляющие обращения.

Основания: отдельное согласие субъекта — для создания и обслуживания учётной записи, подтверждения контактных данных, аутентификации, восстановления доступа, предоставления функций личного кабинета, направления сервисных уведомлений и защиты аккаунта; заключение и исполнение Пользовательского соглашения по инициативе субъекта — в части обработки, необходимой для заключения, исполнения и прекращения Соглашения; выполнение обязанностей Оператора, установленных законом; осуществление прав и законных интересов Оператора и пользователей в части информационной безопасности, предотвращения злоупотреблений и защиты требований при условии, что права и свободы субъекта не нарушаются. Для иной операции, основанной на согласии, Оператор запрашивает самостоятельное согласие, соответствующее конкретной цели.

Согласие на обработку персональных данных для создания и обслуживания аккаунта предоставляется отдельным самостоятельным действием после возможности ознакомиться с его действующей редакцией. Поле согласия по умолчанию не отмечено. Без предоставления согласия учётная запись не создаётся. Это согласие не распространяется на предварительную заявку, формальное заявление о приёме в члены, проверку личности и документов, членские, платёжные и иные последующие процедуры, рекламу или распространение персональных данных; для них применяются самостоятельные основания и документы.

Регистрация учётной записи не является заявлением о вступлении, не запускает срок рассмотрения заявления, не создаёт членство и не порождает обязанность вносить взносы.

5.2. Заявления о вступлении, членские дела, взносы, паи и выплаты

Цели: подготовка и рассмотрение заявлений; проверка личности, полномочий и документов; принятие и документирование решений; ведение членских дел и реестра; организация корпоративного взаимодействия; учёт вступительных, паевых, дополнительных, членских и целевых взносов; ведение лицевых паевых счетов; оценка и учёт денежных и неденежных паёв; выплаты и возврат паёв; исполнение Устава, договоров, решений органов Кооператива, требований бухгалтерского, налогового и архивного законодательства.

В зависимости от этапа и статуса заявителя могут обрабатываться только необходимые из следующих сведений:

• фамилия, имя, отчество; прежние имена при необходимости проверки документов;
• дата и место рождения, пол, гражданство, семейное и имущественное положение — когда это требуется применимой формой, законом или характером имущественной операции;
• адрес места жительства, регистрации и адрес для корреспонденции;
• email и телефон;
• данные документа, удостоверяющего личность в Российской Федерации или за её пределами, миграционные и визовые сведения, перевод документа;
• ИНН, СНИЛС и иностранный налоговый идентификатор — только когда они необходимы для установленной законом, налоговой, договорной или членской процедуры;
• налоговое резидентство;
• номер, дата и статус заявления; номер членского дела, членский номер, сведения о решениях органов Кооператива;
• сведения о представителе и документе, подтверждающем полномочия;
• вид, размер, дата, назначение и валюта взноса; начисления, платежи, выплаты и возвраты;
• банковские реквизиты, необходимые для перевода или учёта, без полного набора реквизитов банковской карты и кода безопасности;
• сведения о правах, стоимости, оценке, обременениях, владельцах и совладельцах неденежного пая;
• договоры, заявления, приложения, акты, счета, переписка и документы, подтверждающие исполнение;
• фотоизображение лица, если оно содержится в документе или необходимо для утверждённой процедуры проверки;
• профессия, должность и доходы — только если они объективно необходимы для конкретной процедуры, проверки источника средств, полномочий или исполнения закона.

Стандартная публичная регистрация не собирает паспорт, СНИЛС, сведения о доходах, банковские реквизиты, KYC-файлы или биометрические данные. Их запрос возможен только после регистрации, в отдельном защищённом процессе и в объёме, необходимом для выбранной процедуры.

Фото, видео, запись голоса или отпечатки пальцев являются биометрическими персональными данными, когда Оператор использует их для установления личности. Такая обработка не входит в стандартную регистрацию и может начаться только после отдельного документированного решения, определения законного основания и выполнения специальных требований закона. Специальные категории данных не запрашиваются, если их обработка прямо не требуется законом и не оформлено соответствующее основание.

Субъекты: заявители; действующие и бывшие члены Кооператива; законные представители; представители заявителей и членов; иностранные граждане; несовершеннолетние лица 16–17 лет и их законные представители в применимых случаях; руководители, подписанты и представители юридических лиц; правообладатели и совладельцы имущества.

Основания: согласие — для операций, для которых оно требуется; действия по инициативе субъекта до заключения договора; заключение и исполнение договоров; Устав и решения уполномоченных органов Кооператива; Закон Российской Федерации № 3085-1, статьи 123.2–123.3 Гражданского кодекса Российской Федерации, нормы бухгалтерского, налогового и архивного законодательства; осуществление прав и законных интересов Кооператива и его членов при условии соблюдения прав субъекта.

5.3. Кадровая деятельность и исполнение обязанностей работодателя

Цели: подбор кандидатов; заключение, исполнение, изменение и прекращение трудовых договоров; ведение кадрового, воинского, бухгалтерского и налогового учёта; расчёт и осуществление выплат; охрана труда; исполнение обязанностей работодателя; хранение кадровых документов и ведение кадрового архива.

Данные: только необходимые для конкретного процесса ФИО, дата и место рождения, пол, контакты, адреса, гражданство, семейное положение, паспортные данные, ИНН, СНИЛС, данные документа об образовании и квалификации, профессия и должность, сведения о трудовой деятельности, доходах и выплатах, банковский счёт для перечисления выплат, сведения о воинском учёте, фотография для кадрового документа, иные сведения, прямо предусмотренные трудовым, налоговым и иным законодательством.

Субъекты: работники, бывшие работники и соискатели.

Основания: Трудовой кодекс Российской Федерации, Налоговый кодекс Российской Федерации, Федеральные законы № 402-ФЗ, № 27-ФЗ, № 125-ФЗ и иные применимые нормы; заключение и исполнение трудового договора; согласие соискателя на кадровый резерв — если применимо.

5.4. Договоры, контрагенты и деловая переписка

Цели: подготовка, заключение, исполнение, изменение и прекращение договоров; проверка полномочий; ведение деловой переписки; договорный, бухгалтерский и налоговый учёт; осуществление расчётов; претензионная и судебная работа; защита прав и законных интересов Кооператива и третьих лиц.

Данные: ФИО, должность, контакты, адреса, ИНН, данные удостоверяющего личность документа при необходимости, расчётный счёт; сведения о договорах, полномочиях, доверенностях, заявлениях, приложениях, соглашениях, актах, счетах, претензиях, судебных и исполнительных делах; электронная подпись и данные электронного документооборота; платёжные и расчётные сведения; документы, подтверждающие исполнение обязательств.

Субъекты: физические лица и индивидуальные предприниматели — стороны, выгодоприобретатели и поручители; руководители, представители и контактные лица организаций; участники претензионных, судебных и исполнительных производств.

Основания: действия по инициативе субъекта до заключения договора; заключение и исполнение договора; Гражданский кодекс Российской Федерации, Налоговый кодекс Российской Федерации, Федеральный закон № 402-ФЗ и применимое процессуальное законодательство; осуществление прав и законных интересов Кооператива и третьих лиц при условии соблюдения прав субъекта.

6. Операции и способы обработки

6.1. Оператор может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу в форме предоставления или доступа уполномоченному лицу или обработчику, блокирование, удаление и уничтожение.

6.2. Обработка осуществляется смешанным способом: с использованием средств автоматизации и без их использования, с передачей по сети Интернет. На дату редакции отдельная передача персональных данных по офисной или иной корпоративной локальной сети Оператора не осуществляется. Между компонентами кабинета данные технически передаются по приватным Docker-сетям на сервере; это часть автоматизированной обработки в информационной системе, а не офисная локальная сеть.

6.3. Автоматическая проверка формата, комплектности, срока действия ссылки или риска безопасности носит вспомогательный характер. Решение о приёме в члены Кооператива принимает уполномоченный орган, а не алгоритм.

7. Получение и обязательность данных

7.1. Основной источник данных — сам субъект или его уполномоченный представитель. Данные могут быть получены из официальных реестров, от контрагента, работодателя или иного законного источника, если это необходимо для заявленной цели и допускается законом.

7.2. Обязательные поля отмечаются в интерфейсе. Если данные необходимы для заключения или исполнения соглашения, подачи заявления либо выполнения требования закона, отказ предоставить их может сделать соответствующую операцию невозможной. Факультативные данные не являются условием доступа к функции, для которой они не нужны.

7.3. Субъект не должен передавать сведения третьего лица без полномочия или загружать избыточные данные, которые Оператор не запросил.

8. Технические cookie и журналы

8.1. Для работы личного кабинета применяются только необходимые cookie:

• __Host-sz_session — серверная сессия авторизации; cookie недоступна JavaScript, прекращает действовать при выходе, отзыве или истечении сессии;
• __Host-sz_csrf — защита от межсайтовой подделки запроса; cookie недоступна JavaScript и используется вместе с одноразовым либо подписанным значением запроса.

8.2. Максимальный срок активной сессии — 12 часов, срок бездействия — 30 минут. Эти cookie необходимы для запрошенной пользователем функции и не используются для рекламы или построения маркетингового профиля.

8.3. На дату редакции отдельные рекламные cookie и системы веб-аналитики к кабинету не подключены. Их подключение требует предварительной оценки, обновления Политики и, когда требуется законом, отдельного согласия.

9. Лица, обрабатывающие данные по поручению, и получатели

Для работы информационных систем Оператор может использовать перечисленные ниже российские сервисы в пределах фактически подключённых функций. Передача данных сервису именно как лицу, обрабатывающему их по поручению, допускается после проверки его фактической роли, применимых договорных условий и оформления документированного поручения, когда оно требуется. Указание сервиса в настоящей Политике само по себе не заменяет договор и не подтверждает наличие ещё не проверенных договорных условий.

Передача государственным органам, судам, банкам, аудиторам и иным получателям выполняется только при наличии законного основания и в необходимом объёме. При оформлении поручения договор должен предусматривать конфиденциальность, безопасность данных, перечень операций и выполнение применимых требований Оператора к обработке.

10. Локализация и трансграничная передача

10.1. При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение выполняются с использованием баз данных на территории Российской Федерации.

10.2. В описанных настоящей Политикой процессах трансграничная передача не осуществляется. До начала такой передачи Оператор обязан отдельно определить государство, получателя, основание и меры защиты, выполнить установленную законом процедуру и обновить применимые документы и уведомления.

11. Сроки обработки и порядок уничтожения

Срок определяется целью, законом, договором и утверждённой номенклатурой дел. Если более длительное хранение не требуется, применяются следующие пределы:

После достижения цели данные удаляются или уничтожаются, если отсутствует другое законное основание. Если немедленное уничтожение невозможно, данные блокируются и уничтожаются не позднее установленного законом срока. Уничтожение в информационной системе оформляется способом, позволяющим подтвердить его выполнение; бумажные носители уничтожаются способом, исключающим восстановление.

12. Защита персональных данных

С учётом характера обработки и актуальных угроз Оператор применяет необходимые правовые, организационные и технические меры, в том числе:

• назначение ответственного и утверждение локальных актов;
• учёт информационных систем, носителей, ролей и лиц с доступом;
• разграничение доступа, персональные учётные записи и минимальные полномочия;
• для личного кабинета — запрет выдачи сотруднику административной сессии без проверенной многофакторной аутентификации; для иных административных систем — применение MFA только после её фактической настройки, вместе с дополнительными ограничениями доступа;
• хеширование паролей, защищённые серверные сессии, CSRF-защиту и ограничение частоты запросов;
• шифрование каналов связи, резервных копий и рабочих устройств в применимом объёме;
• журналирование событий безопасности и контроль действий с чувствительными данными;
• резервное копирование и проверку восстановления;
• обновление программного обеспечения, управление уязвимостями и реагирование на инциденты;
• проверку договорных условий и оформление требований к лицам, обрабатывающим данные по поручению, до начала соответствующей передачи;
• оценку возможного вреда, определение актуальных угроз и контроль эффективности мер.

Защищённая загрузка документов, когда она будет включена, должна предусматривать приватное хранилище, карантин, проверку типа и размера, антивирусную проверку, случайные имена объектов, шифрование, версионирование и журнал доступа. До её готовности KYC-файлы через публичную регистрацию не принимаются.

13. Права субъекта и обращения

Субъект вправе получить сведения об обработке, потребовать уточнения, блокирования или уничтожения данных, отозвать согласие, потребовать прекращения обработки в предусмотренных законом случаях, отказаться от рекламы и обжаловать действия Оператора.

Обращение направляется через доступную функцию кабинета, почтовым отправлением по адресу Оператора или на office@speczashchita.com. В обращении указываются сведения, позволяющие идентифицировать заявителя и соответствующую обработку. Оператор вправе запросить минимальное подтверждение личности или полномочий, не собирая для этого избыточные данные.

Основные сроки исполнения требований определяются Федеральным законом № 152-ФЗ, в том числе:

• предоставление сведений по запросу — 10 рабочих дней с возможным мотивированным продлением не более чем на 5 рабочих дней;
• уточнение подтверждённо неточных данных — 7 рабочих дней;
• прекращение неправомерной обработки — до 3 рабочих дней, уничтожение при невозможности обеспечить правомерность — до 10 рабочих дней;
• уничтожение при достижении цели или отзыве согласия при отсутствии другого основания — до 30 дней;
• прекращение обработки по требованию субъекта — 10 рабочих дней с возможным мотивированным продлением не более чем на 5 рабочих дней.

Отзыв Согласия на обработку персональных данных для создания и обслуживания аккаунта может сделать невозможным дальнейшее использование аккаунта. После получения отзыва Оператор прекращает обработку, основанную на согласии, и уничтожает относящиеся к этой цели данные в установленный законом срок, если отсутствует иное законное основание. Отзыв не отменяет законность обработки, выполненной до его получения, и не прекращает обработку, которая продолжается на другом законном основании. Закрытие учётной записи также не влечёт уничтожение документов и ограниченных доказательств юридически значимых действий, которые Оператор обязан или вправе хранить по закону, договору или для защиты прав.

14. Инциденты

При выявлении неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным Оператор проводит внутреннее расследование и уведомляет Роскомнадзор в установленные сроки: первичное уведомление — в течение 24 часов, результаты расследования — в течение 72 часов. Необходимость и порядок информирования субъектов определяются с учётом характера инцидента и риска для их прав.

15. Изменение и публикация Политики

15.1. Действующая редакция и архив предыдущих редакций публикуются на speczashchita.com с указанием версии и даты вступления в силу. На страницах сбора персональных данных размещается прямая ссылка на действующую редакцию.

15.2. Новая редакция применяется к обработке с даты её вступления в силу. Изменение Политики само по себе не расширяет ранее данное согласие и не заменяет уведомление или новое согласие, если они требуются для новой цели.

15.3. При существенном изменении целей, состава данных, получателей, трансграничной передачи или сроков хранения Оператор до начала изменённой обработки актуализирует Политику, внутреннюю матрицу и, когда требуется, сведения, направленные в Роскомнадзор.