Политика ООО «МЕТРО КЭШ ЭНД КЕРРИ» в отношении персональных данных (клиенты, контрагенты)

1. Общие положения

1.1 Настоящая Политика обработки персональных данных (далее — Политика) является документом, определяющим политику ООО «МЕТРО Каш энд Керри» (далее — Общество / Оператор) в отношении обработки Оператором персональных данных. Политика разработана в строгом соответствии с законодательством Российской Федерации и Общим руководством по защите персональных данных группы компаний МЕТРО (верс. 3.0 от 01.03.2025) в целях обеспечения защиты прав и свобод Субъектов персональных данных при обработке Оператором их персональных данных.

1.2 Политика определяет в отношении обработки ПД цели, принципы, категории обрабатываемых ПД, категории субъектов ПД и их права, способы, условия и правила обработки, сроки обработки и хранения, порядок уничтожения ПД, меры направленные на предотвращение и выявление нарушений законодательства Российской Федерации, права, обязанности и ответственность лиц, осуществляющих обработку персональных данных.

1.3 Политика является локальным нормативным актом и распространяется на все структурные подразделения Оператора и обязательно для исполнения всеми работниками Общества, в том числе лицами, непосредственно осуществляющими обработку и защиту персональных данных у Оператора. Положение доводится до сведения всех работников под подпись, включается в перечень обязательных документов для ознакомления при приеме на работу. Кроме того, Политика подлежит обязательному исполнению: — Обработчиками (в т.ч. сотрудниками Обработчиков и (или) контрагентами Обработчиков), осуществляющими обработку ПД на основании поручения Оператора; — контрагентами-физическими лицами, включая самозанятых, непосредственно оказывающими услуги (выполняющими работы) на основании договоров гражданско-правового характера с Оператором.

1.4 Основные понятия, используемые в Политике:

1. персональные данные (ПД) - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (Субъекту персональных данных);
2. субъект персональных данных (субъект ПД) – любое физическое лицо независимо от его правового статуса, которое прямо или косвенно определено или определяемо с помощью ПД.
3. персональные данные, разрешенные Субъектом персональных данных для распространения — персональные данные, доступ неограниченного круга лиц к которым предоставлен Субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных им для распространения в порядке, предусмотренном Законом о персональных данных;
4. Оператор — лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Для целей настоящей Политики Оператором является Общество с ограниченной ответственностью «МЕТРО Каш энд Керри» (ОГРН 1027700272148), если иное прямо не указано в Политике;
5. Обработчик — любое лицо, которое на основании договора с оператором осуществляет обработку персональных данных по поручению оператора. Оператор несет ответственность перед субъектом персональных данных за действия (бездействия) Обработчика. Обработчик несет ответственность перед Оператором.
6. обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
7. автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
8. неавтоматизированная обработка персональных данных — обработка персональных данных, при которой такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека;
9. распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
10. предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
11. блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных);
12. уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
13. обезличивание персональных данных — действия, в результате которых становится невозможно без использования дополнительной информации определить принадлежность персональных данных конкретному Субъекту персональных данных;
14. информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
15. трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
16. Контрагент — третье лицо, с которым Общество осуществляет взаимодействие в процессе реализации обязательственных, договорных или преддоговорных отношений;
17. Закон о персональных данных (Закон о ПД) — Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» или иной федеральный закон принятый взамен указанного в случае его отмены.

2. Цели, категории ПД, категории субъектов ПД, правовые основания, способы и сроки обработки ПД

2.1. Общество является Оператором, самостоятельно или совместно с другими лицами организующим и (или) осуществляющим обработку персональных данных.

2.2. Обработка ПД в Обществе ограничивается достижением законных, конкретных, заранее определенных целей, при этом обеспечивается соответствие содержания и объема обрабатываемых ПД заявленным целям обработки.

Цели обработки персональных данных определены в Приложении № 1 к Политике, кроме того, для каждой из целей обработки определены:

• категории субъектов ПД;
• категории и перечень обрабатываемых ПД;
• правовые основания обработки ПД;
• способы обработки ПД;
• перечень действий (операций) с ПД;
• сроки обработки и хранения ПД.

2.3. Оператор осуществляет обработку ПД в следующих основных случаях (перечень оснований обработки ПД):

2.3.1. согласие (п. 1 ч. 1 ст. 6 Закона о ПД);

2.3.2. выполнение функций, полномочий и обязанностей, возложенных законодательством на Оператора (п. 2 ч. 1 ст. 6 Закона о ПД);

2.3.3. исполнение договора (п. 5 ч. 1 ст. 6 Закона о ПД);

2.3.4. осуществление прав и законных интересов оператора или третьих лиц (п. 2 ч. 1 ст. 6 Закона о ПД). Оператор вправе осуществлять обработку ПД и в иных случаях, прямо предусмотренных законодательством.

3. Принципы и порядок обработки персональных данных

3.1. При обработке ПД Оператор и все лица, непосредственно осуществляющие обработку и защиту персональных данных, должны неукоснительно соблюдать принципы обработки, установленные Законом о персональных данных:

3.1.1. ПД должны обрабатываться на законной и справедливой основе;

3.1.2. обработка должна ограничиваться достижением конкретных, заранее определенных и законных целей, которым должны соответствовать содержание и объем обрабатываемых ПД. Обрабатывать можно только те персональные данные, которые отвечают целям обработки;

3.1.3. при обработке должны обеспечиваться точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки. Должны приниматься необходимые меры по удалению или уточнению неполных или неточных данных либо обеспечиваться принятие таких мер;

3.1.4. хранить ПД нужно в форме, позволяющей определить Субъекта ПД, не дольше, чем этого требуют цели обработки персональных данных, если срок их хранения не установлен федеральным законом или договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПД. Обрабатываемые ПД нужно уничтожить или обезличить по достижении целей обработки или если утрачена необходимость в достижении этих целей, при условии, что иное не предусмотрено федеральным законом.

3.1.5. Не допускается (запрещено):

• обработка ПД, несовместимая с целями их сбора;
• объединение баз данных, содержащих ПД, обработка которых осуществляется в целях, несовместимых между собой;
• обрабатывать избыточные ПД по отношению к заявленным целям их обработки.

3.2. Персональные данные обрабатываются с использованием средств автоматизации (автоматизированная обработка ПД) и без использования средств автоматизации (неавтоматизированная обработка ПД).

Оператор может осуществлять следующие действия с ПД: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), в том числе трансграничную, обезличивание, блокирование, удаление, уничтожение персональных данных.

Конкретные способы обработки ПД и перечень действий (операций) с ПД определяются в Приложении № 1 к Политике.

3.3. При сборе ПД, в том числе посредством информационно-телекоммуникационной сети Интернет, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, кроме случаев, прямо предусмотренных законодательством.

3.4. Оператор вправе осуществлять передачу ПД третьим лицам с согласия Субъекта ПД, за исключением случаев, установленных законодательством, когда такое согласие не требуется.

Перечень таких третьих лиц может определяться в:

• согласии;
• специально размещаемом(-ых) перечне(-ях), опубликовываемом(-ых) на сайте(-ах) Оператора;
• соответствии с принадлежностью к следующим категориям лиц, когда такая передача необходима для целей указанных в Приложении № 1 к Политике или предусмотрена законодательством: уполномоченные государственные органы, аффилированные компании (компании МЕТРО Групп), банки, страховые компании, операторы связи, ИТ-компании, колл-центры, рекламные (маркетинговые) агентства, исследовательские центры, архивные организации, производители, дистрибьютеры, поставщики и продавцы товаров, логистические компании, консалтинговые фирмы, аудиторы, а также иные контрагенты Общества.

3.5. Трансграничная передача ПД может осуществляться исключительно в порядке, предусмотренном законодательством Российской Федерации. До передачи ПД Оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу в соответствии со ст. 12 Закона о персональных данных.

3.6. Оператор осуществляет распространение ПД, разрешенных Субъектом ПД для распространения, то есть производит действия, направленные на их раскрытие неопределенному кругу лиц, с соблюдением запретов и условий, установленных ст. 10.1 Закона о персональных данных. Согласие на обработку ПД, разрешенных Субъектом ПД для распространения, оформляется отдельно от иных согласий такого Субъекта на обработку его ПД.

3.7. На официальном сайте МЕТРО Россия (https://www.metro-cc.ru/), а также на иных сайтах и мобильных приложениях владельцем, которых является Общество, могут использоваться cookie- файлы, веб-маяки (пиксели) и аналогичные технологии, чтобы получать статистику для целей обеспечения функционирования Сайта (Приложения), хранения настроек пользователей, обеспечения безопасности Сайта (Приложения), улучшения продуктов, услуг и сервисов, формирование персонализированных предложений продуктов, услуг и сервисов, проведение аналитических, статистических, маркетинговых исследований, проведение рекламных и маркетинговых активностей и акций. Продолжая пользоваться Сайтом (Приложением) без изменения настроек, пользователи дают согласие на использование cookie-файлов, веб-маяков (пикселей) и аналогичных технологий. Более подробно ознакомиться с условиями и порядком обработки cookie-файлов можно по ссылке: https://www.metro-cc.ru/cookies.

4. Права и обязанности субъекта персональных данных

Права субъектов ПД

4.1. Субъект ПД имеет право на получение информации, касающейся обработки его ПД в порядке и в сроки, установленные законодательством РФ в сфере ПД. Указанные сведения должны быть предоставлены Субъекту ПД Оператором в доступной форме, и в них не должны содержаться ПД, относящиеся к другим Субъектам ПД, за исключением случаев, когда имеются законные основания для раскрытия таких ПД. Право Субъекта ПД на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе в случаях, указанных в ч. 8 ст. 14 Закона о персональных данных.

4.2. Для реализации своего права, предусмотренного пунктом 2.1. Субъект ПД или его представитель должны обратиться к Оператору, по реквизитам, указанным в пункте 8.4. Политики с письменным заявлением, которое должно содержать:

• номер основного документа, удостоверяющего личность субъекта ПД или его представителя;
• сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта ПД в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения) либо сведения, иным образом подтверждающие факт обработки персональных данных оператором;
• подпись субъекта ПД или его представителя.

4.3. Субъект ПД вправе требовать от Оператора уточнения его ПД, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

4.4. Субъект ПД вправе отозвать свое согласие на обработку персональных данных и требовать прекращения их обработки, если у Оператора не имеются иных оснований для обработки ПД, кроме согласия. Отозвать такое согласие субъект ПД вправе следующими способами: — путем направления Оператору письменного заявления по реквизитам, указанным в разделе 8.4. Политики; — в форме аналогичной, с помощью которой согласие субъекта ПД было получено Оператором с использованием информационно- телекоммуникационных сетей при условии, если у Оператора имеется такая техническая возможность (функциональность программного обеспечения). Обеспечение такой технической возможности Оператором не гарантируется, если иное прямо не предусмотрено действующим законодательством.

4.5. Субъект ПД также вправе реализовывать все иные права, предусмотренные Законом о персональных данных и иными нормативно- правовыми актами.

4.6. Если Субъект ПД считает, что Оператор осуществляет обработку его ПД с нарушением требований Закона о персональных данных или иным образом нарушает его права и свободы, то он вправе принимать любые разрешенные законодательством меры по защите своих прав, включая обжалование.

Обязанности субъекта ПД

4.7. Субъекты ПД обязаны сообщать Оператору достоверные, актуальные и точные данные о себе. В отношениях с Оператором Субъекты ПД не вправе реализовывать свои права с использованием ложных, вымышленных данных, которые могут привести к неправомерной обработке ПД (например, предоставление Оператору согласия на обработку ПД от имени другого лица без надлежащего оформления полномочий на такие действия или от вымышленного лица). В случае выявления неправомерной обработки ПД, в том числе персональных данных, которые не принадлежат субъекту ПД, выдавшему согласие на их обработку, такие данные подлежат уничтожению в соответствии с требованиями Закона о персональных данных. Оператор не отвечает за какие-либо негативные последствия для субъекта ПД, наступившие вследствие прекращения такой неправомерной обработки, допущенной по вине субъекта ПД.

4.8. Субъект ПД в целях уточнения и актуализации своих ПД обязан своевременно представлять Оператору информацию об изменении своих ПД.

4.9. Субъекты ПД обязаны исполнять обязанности, предусмотренные Законом о персональных данных и иными нормативно-правовыми актами.

5. Права и обязанности Оператора

Права Оператора

5.1. Оператор вправе самостоятельно определить состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено этим законом или другими федеральными законами.

5.2. Оператор вправе в порядке, установленном ч. 3 ст. 6 Закона о персональных данных, поручить обработку ПД другому лицу с согласия Субъекта ПД, если иное не предусмотрено федеральным законом. Лицо, осуществляющее обработку персональных данных по поручению Оператора (далее — Обработчик), не обязано получать согласие Субъекта ПД на такую обработку.

5.3. Оператор вправе в случае отзыва Субъектом ПД согласия на обработку персональных данных продолжить такую обработку без согласия Субъекта ПД при наличии оснований, указанных в п.п. 2, 3, 3.1, 5, 6, 7, 9, 11 ч. 1 ст. 6, п.п. 2.3, 3, 6, 8 ч. 2 ст. 10 Закона о персональных данных, а также иных оснований прямо, предусмотренных законодательством РФ.

5.4. При выявлении нарушения или обоснованных подозрениях в нарушении, предусмотренном п. 2.7. Политики Оператор вправе по имеющимся контактным данным субъекта ПД запросить у него документы и (или) информацию, необходимые для проведения проверки достоверности, актуальности и точности ПД.

5.5. Оператор также вправе реализовывать все иные права, предусмотренные Законом о персональных данных и иными нормативно-правовыми актами.

Обязанности Оператора

5.6. Оператор обязан обеспечивать конфиденциальность ПД, то есть не раскрывать третьим лицам и не распространять ПД без согласия субъекта ПД, если иное не предусмотрено федеральным законом.

5.7. Оператор обязан предоставить Субъекту ПД по запросу информацию, касающуюся обработки его ПД в порядке и в сроки, установленные законодательством РФ в сфере ПД.

5.8. Оператор обязан разъяснить Субъекту ПД юридические последствия отказа предоставить его ПД и (или) дать согласие на их обработку, если в соответствии с федеральным законом предоставление персональных данных и (или) получение Оператором согласия на их обработку являются обязательными;

5.9. Оператор обязан до начала обработки ПД, полученных не от Субъекта ПД, предоставить последнему следующую информацию: — наименование и адрес Оператора; — цель обработки ПД и ее правовое основание; — перечень ПД; — предполагаемые пользователи ПД; — установленные Законом о персональных данных права Субъекта ПД; — источник получения персональных данных. Оператор освобождается от обязанности предоставить Субъекту ПД указанные сведения в случаях, предусмотренных ч. 4 ст. 18 Закона о персональных данных

5.10. При сборе ПД Оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПД граждан России с использованием баз данных, находящихся на территории РФ, кроме случаев прямо предусмотренных действующим законодательством.

5.11. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами.

5.12. Оператор обязан обеспечить ознакомление своих работников, непосредственно осуществляющих обработку ПД, с положениями законодательства о персональных данных, в том числе требованиями к защите ПД, Политикой и иными локальными актами по вопросам обработки персональных данных и (или) обучение указанных работников.

5.13. Оператор обязан также исполнять иные обязанности, предусмотренные Законом о персональных данных и иными нормативно- правовыми актами.

6. Меры по обеспечению конфиденциальности и защите персональных данных

6.1. Общество обеспечивает конфиденциальность обрабатываемых персональных данных и их защиту от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

6.2. Оператор принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие в соответствии с требованиями законодательства Российской Федерации и локальными нормативными актами Общества.

6.3. Обеспечение защиты персональных данных достигается в Обществе, в частности, за счет принятия следующих мер:

• назначения ответственного за организацию обработки ПД;
• издание настоящей Политики в отношении обработки персональных данных, к которому предоставлен неограниченный доступ (размещена на сайте Оператора);
• ограничение круга лиц, допущенных к обработке ПД;
• ознакомление работников Оператора, непосредственно осуществляющих обработку ПД, с положениями законодательства РФ о ПД, в том числе с требованиями к защите ПД, документами, определяющими политику Оператора в отношении обработки ПД, локальными актами по вопросам обработки ПД, и обучение указанных работников;
• осуществление внутреннего контроля/аудита соответствия обработки ПД нормативным правовым актам, требованиям к защите ПД, политике Оператора в отношении обработки ПД, локальным актам оператора;
• проводится оценка потенциального вреда субъектам ПД, соотношения вреда и принимаемых Оператором мер;
• определение угрозы безопасности персональных данных при их обработке в ИСПДн;
• применение организационных и технических мер по обеспечению безопасности ПД при их обработке в ИСПДн, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности персональных данных;
• проведение оценки эффективности принимаемых мер по обеспечению безопасности ПД до ввода в эксплуатацию ИСПДн;
• ведение учета машинных носителей ПД;
• обеспечение обнаружения фактов несанкционированного доступа к ПД и принятие мер, в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак на ИСПДн и по реагированию на компьютерные инциденты в них;
• обеспечение восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установление правил доступа к ПД, обрабатываемым в ИСПДн, а также обеспечение регистрации и учета действий, совершаемых с персональными данными в информационной системе;
• осуществление контроля за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищенности информационных систем.

6.4. При обработке ПД в ИСПДн Оператор соблюдает требования, установленные Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

6.5. При обработке персональных данных без использования средств автоматизации Оператор соблюдает требования, установленные Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденным Постановлением Правительства РФ от 15.09.2008 № 687.

7. Актуализация (уточнение), блокирование, прекращение обработки, удаление и уничтожение персональных данных.

Актуализация

7.1. В случае подтверждения факта неточности (неполные, неточные, неактуальные) ПД Оператор на основании сведений, представленных Субъектом ПД или его представителем либо уполномоченным органом по защите прав субъектов ПД, или иных необходимых документов обязан уточнить ПД либо обеспечить их уточнение (если обработка ПД осуществляется Обработчиком) в течение 7 (семи) рабочих дней со дня представления таких сведений и снять блокирование персональных данных.

Блокирование

7.2. Оператор должен осуществить блокирование ПД или обеспечить их блокирование (если обработка ПД осуществляется Обработчиком) в следующих случаях и в следующие сроки:

• если выявлена неправомерная обработка ПД при обращении Субъекта ПД или его представителя либо по запросу Субъекта ПД или его представителя либо уполномоченного органа по защите прав субъектов ПД — с момента такого обращения или получения указанного запроса на период проверки;
• если выявлены неточные ПД при обращении Субъекта ПД или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов ПД — с момента такого обращения или получения указанного запроса на период проверки, если блокирование ПД не нарушает права и законные интересы Субъекта ПД или третьих лиц;
• если отсутствует возможность уничтожения ПД в течение срока, указанного в ч. 3 — ч. 5.1 ст. 21 Закона о персональных данных, — до момента уничтожения.

Прекращение обработки

7.3. Оператор должен также прекратить обработку ПД или обеспечить прекращение такой обработки Обработчиком, в следующих случаях:

• если выявлена неправомерная обработка ПД, осуществляемая Оператором или Обработчиком, — в срок не более 3 (трех) рабочих дней с даты этого выявления;
• если достигнуты цели обработки персональных данных;
• если Субъект ПД отозвал согласие на обработку его персональных данных;
• если Субъект ПД обратился к Оператору с требованием о прекращении обработки — в срок не более 10 (десяти) рабочих дней с даты получения соответствующего требования. Этот срок может быть продлен, но не более чем на пять рабочих дней, если Оператор направит Субъекту ПД мотивированное уведомление с указанием причин продления срока.

Удаление (уничтожение) ПД

7.4. Оператор должен уничтожить ПД, в частности, в следующих случаях и в следующие сроки:

• если достигнуты цели обработки ПД либо утрачена необходимость их достижения — в срок не более 30 (тридцати) дней с даты достижения таких целей, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПД, иным соглашением между Оператором и Субъектом ПД либо если Оператор не вправе осуществлять обработку ПД без согласия Субъекта ПД на основаниях, предусмотренных федеральными законами;
• если Субъект ПД или его представитель предъявил сведения, подтверждающие, что такие ПД получены незаконно или не являются необходимыми для заявленной цели обработки, — в срок не более 7 (семи) рабочих дней со дня представления таких сведений;
• если выявлена неправомерная обработка ПД при условии, что невозможно обеспечить ее правомерность, — в срок не более 10 (десяти) рабочих дней с даты выявления неправомерной обработки;
• если Субъект ПД отозвал согласие на обработку его ПД при условии, что сохранение таких данных более не требуется для целей их обработки, — в срок не более 30 (тридцати) дней с даты поступления отзыва. Это возможно при условии, что иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПД, иным соглашением между Оператором и Субъектом ПД, либо в случае, если Оператор не вправе осуществлять обработку ПД без согласия Субъекта ПД на основаниях, предусмотренных федеральными законами.

7.5. При обработке ПД без использования средств автоматизации документом, подтверждающим уничтожениеПД, является Акт об уничтожении ПД. При обработке ПД с использованием средств автоматизации документами, подтверждающими уничтожение персональных данных, являются Акт об уничтожении ПД и Выгрузка из журнала регистрации событий в ИСПДн (далее — Выгрузка из журнала). При обработке ПД одновременно с использованием средств автоматизации и без использования средств автоматизации документами, подтверждающими уничтожение ПД, являются Акт об уничтожении ПД и Выгрузка из журнала. Акт об уничтожении ПД и Выгрузка из журнала подлежат хранению в течение 3 лет с момента уничтожения ПД.

8. Заключительные положения

8.1. Политика вступает в силу с «01» октября 2025 г. и применяется к отношениям, возникшим после введения ее в действие.

8.2. Настоящая Политика размещается для неограниченного доступа на официальном сайте Оператора на странице: https://metro-cc.ru/privacy.

8.3. Оператор имеет право вносить изменения в настоящую Политику.

8.4. Адрес для направления обращений: 125445, г. Москва, Ленинградское шоссе, д. 71Г. Контактный адрес электронной почты: data.protection@metro-cc.ru

8.5. Приложения:

• Приложение № 1 — Перечень целей, категории субъектов ПД, категории и видов ПД, правовых оснований, способов, операций и сроков обработки ПД.
• Приложение № 2 — Общее руководство по защите персональных данных группы компаний METPO (верс. 3.0 от 01.03.2025) с Приложением 2 к нему.

Приложение №1 к Политике ООО «МЕТРО Кэш энд Керри» в отношении обработки персональных данных (версия 3.0.)

Предыдущие версии документа