1.1. Настоящая Политика в отношении обработки персональных данных и сведений о реализуемых требованиях к их защите (далее - Политика), определяет общие принципы, порядок обработки персональных данных и меры по обеспечению их безопасности в Обществе с ограниченной ответственностью «УНИК косметик»(ООО «УНИК косметик», ИНН 5029191685, адрес: 141821, Россия, Московская область, г. Дмитров, п. Рыбное, ул. Уникальная, д.1, стр.1) (далее — Компания).
Цель Политики — обеспечить защиту прав и свобод человека при обработке его персональных данных, в том числе права на неприкосновенность частной жизни, личную и семейную тайну, а также соблюсти требования законодательства Российской Федерации в области персональных данных (далее — законодательство).

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными нормативными правовыми актами, регулирующими работу с персональными данными и требования к их защите.

1.3. В Политике используются термины в значениях, определенных законодательством и настоящей Политикой, в том числе:

• автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
• база персональных данных – упорядоченный массив персональных данных, независимый от вида материального носителя информации и используемых средств его обработки (архивы, картотеки, электронные базы данных);
• биометрические персональные данные – сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных;
• блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• доступ к персональным данным – ознакомление определенных лиц (в том числе работников) с персональными данными субъектов, обрабатываемыми Компанией, при условии сохранения конфиденциальности этих сведений;
• контрагент – сторона договора с Компанией, не являющаяся работником Компании;
• конфиденциальность персональных данных – обязанность лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством;
• обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• персональные данные, разрешенные субъектом персональных данных для распространения - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом;
• оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. В Положении под оператором понимается Компания;
• персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• субъект персональных данных – физическое лицо, к которому относятся персональные данные;
• трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
• уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

2.1. Компания является оператором персональных данных. К категориям субъектов персональных данных относятся: работники (включая бывших), члены семей работников, соискатели, покупатели, представители контрагентов, представители субъектов, посетители охраняемых помещений, пользователи и анонимные посетители сайта https://acnezero.ru/. Субъект может относиться к нескольким категориям одновременно.

2.2. Компания может передавать персональные данные другим операторам (органам власти, статистическим органам, операторам фискальных данных и др.) в случаях, предусмотренных законодательством. Согласия субъекта на такую передачу не требуется.

3.1. Законность и справедливость: Компания не обрабатывает данные в случаях, запрещенных законом, и не использует их во вред субъектам.

3.2. Ограничение целей: обработка персональных данных их субъектов осуществляется только для конкретных, заранее определенных и законных целей.

3.3. Соответствие объема: Компания не собирает и не обрабатывает данные, избыточные по отношению к заявленным целям.

3.4. Недопущение объединения баз: не допускается объединение баз данных, если обработка в них осуществляется для несовместимых целей.

3.5. Точность и актуальность: Компания принимает меры для поддержания данных в актуальном состоянии. Субъект вправе требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не нужны для целей обработки.

3.6. Срок хранения: данные хранятся не дольше, чем требуют цели обработки, если иной срок не установлен законом, договором или стороной договора.

3.7. Уничтожение или обезличивание: по достижении целей, при невозможности устранить нарушения, при отзыве согласия (если иное не предусмотрено законом или договором) данные уничтожаются либо обезличиваются.

4.1. Обработка допускается при наличии согласия субъекта либо при наличии иного законного основания (исполнение договора, выполнение обязанностей по закону, реализация прав и законных интересов Компании или третьих лиц при условии соблюдения прав субъекта, статистические или исследовательские цели при обезличивании, обязательное раскрытие по закону).

4.2. Компания не раскрывает и не распространяет данные без согласия субъекта, если иное не предусмотрено законом, договором или самим согласием.

4.3. Обработка специальных категорий данных (о расе, политических взглядах, религии, здоровье, интимной жизни) допускается только в случаях, прямо установленных законом.

4.4. Обработка данных о судимости возможна исключительно в порядке, установленном законом.

4.5. Компания не принимает решений, порождающих юридические последствия исключительно на основании автоматизированной обработки, без проверки со стороны уполномоченных работников.

5.1. Компания осуществляет обработку как с использованием средств автоматизации, так и без них (при условии, что такая обработка соответствует характеру действий, совершаемых с использованием автоматизации).

6.1. Работники, получившие доступ к персональным данным, обязаны обеспечивать их конфиденциальность. Требование не распространяется на обезличенные и общедоступные данные.

6.2. Компания вправе поручить обработку третьему лицу на основании договора, где закреплены обязанности лица соблюдать принципы и правила обработки, обеспечивать конфиденциальность и безопасность, а также четко определен объем действий и цели. Ответственность перед субъектом за действия такого лица несет Компания.

6.3. При размещении информационных систем в дата-центре или облачной инфраструктуре Компания исключает возможность доступа персонала провайдера к данным (запрет доступа закрепляется в договоре). В таком случае размещение не считается поручением обработки и не требует отдельного согласия субъектов.

7.1. Согласие дается свободно, своей волей и в своем интересе. Оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Форма должна позволять подтвердить факт получения.

7.2. При получении согласия от представителя проверяются его полномочия.

7.3. Если данные получены от контрагента, ответственность за правомерность передачи и получение согласия несет контрагент (это закрепляется в договоре). Компания не обязана информировать субъекта о начале обработки в этом случае.

7.4. Специально выраженного согласия работника не требуется, если обработка необходима для исполнения трудового договора и реализации функций работодателя (за исключением случаев, прямо требующих письменной формы).

7.5. Специально выраженного согласия членов семей работников не требуется, если обработка основана на законе или выполняется для статистического учета. В иных случаях согласие должно быть доказываемым.

7.6. Специально выраженного согласия соискателя не требуется для обработки в целях рассмотрения кандидатуры (за исключением случаев, требующих письменной формы). При отказе в приеме на работу данные подлежат уничтожению в течение 30 дней (если иное не предусмотрено соглашением или согласием).

7.7. Согласие покупателя дается путем простановки отметки в чек-боксе при обращении.

7.8. Согласие пользователя сайта дается путем простановки отметки в чек-боксе веб-формы или при указании данных в запросе.

7.9. Согласие посетителя сайта на обработку данных о ПО, оборудовании, IP-адресе, просмотре страниц (включая cookie) дается путем принятия условий Предупреждения об
использовании файлов cookie (отметка или закрытие баннера).

7.10. В случаях, требующих письменной формы, согласие может быть получено в виде электронного документа, подписанного электронной подписью.

7.11. Согласие не требуется при получении мотивированных запросов от уполномоченных органов (прокуратура, правоохранительные органы, органы следствия, дознания, государственные инспекторы труда).

7.12. При запросах от организаций без соответствующих полномочий Компания обязана получить согласие субъекта и предупредить получателей о целевом использовании данных.

7.13. Субъект вправе отозвать согласие на обработку, если она не установлена законом или не требуется для исполнения договора.

7.14. Обязанность доказать наличие согласия или иного законного основания возлагается на Компанию.

8.1. Субъект вправе получать информацию об обработке своих данных, требовать их уточнения, блокирования или уничтожения.

8.2. При нарушении прав субъект вправе обжаловать действия Компании в уполномоченном органе или в суде.

8.3. Субъект вправе защищать свои права и законные интересы, в том числе требовать возмещения убытков и (или) компенсации морального вреда в судебном порядке.

9.1. Защита обеспечивается комплексом правовых, организационных и технических мер.

9.2. Правовые меры: разработка локальных актов, реализующих требования законодательства.

9.3. Организационные меры:

• назначение лица, ответственного за организацию обработки, и лица, ответственного за безопасность в информационных системах;
• ограничение круга работников с доступом к данным и организация разрешительной системы;
• ознакомление работников с законодательством, Политикой и локальными актами;
• обучение работников правилам работы и обеспечения безопасности;
• закрепление обязанностей в должностных инструкциях;
• регламентация процессов обработки;
• организация учета и безопасного хранения материальных носителей;
• определение актуальных угроз безопасности, уровня защищенности и требований к защите;
• размещение технических средств в охраняемых зонах в помещениях Компании;
• ограничение допуска посторонних лиц в зоны обработки данных.

9.4. Технические меры:

• разработка системы защиты на основе модели угроз для установленных уровней защищенности;
• применение средств защиты, прошедших процедуру оценки соответствия;
• оценка эффективности мер до ввода системы в эксплуатацию;
• реализация разрешительной системы доступа и регистрация действий с данными;
• защита данных при передаче по электронной почте (архивы с паролями);
• ограничение программной среды;
• выявление вредоносного ПО;
• межсетевое экранирование;
• аутентификация пользователей;
• контроль целостности ПО и средств защиты;
• обнаружение вторжений и реагирование на инциденты;
• восстановление данных после несанкционированного доступа (резервное копирование);
• периодический мониторинг и разбор нарушений.

10.1. Иные права и обязанности Компании определяются законодательством.

10.2. Должностные лица и работники, виновные в нарушении норм, несут ответственность в соответствии с законодательством.

Политика действует в редакции от «20» августа 2026 года.