Акционерное общество «Контракт-Холдинг»
(АО «Контракт-Холдинг»)

ПОЛИТИКА
в отношении обработки персональных данных

Редакция для публикации на веб-сайте

г. Москва
2026 год

1. Назначение и область применения

1.1. Настоящая Политика оператора в отношении обработки персональных данных (далее — «Политика») разработана в соответствии с требованиями п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — ФЗ-152), Конституции Российской Федерации и иных нормативных правовых актов РФ в области персональных данных.

1.2. Настоящая Политика определяет порядок обработки и защиту персональных данных субъектов персональных данных (далее — «Пользователь» / «Субъект ПДн») веб-сайта Оператора: www.exnovo.ru (далее — «Сайт»). Под «Оператором» или «Обществом» в рамках настоящего документа понимается Акционерное общество «Контракт Холдинг» (АО «Контракт Холдинг»), ИНН: 7707473702/КПП: 770701001, адрес: 127006, г. Москва, вн.тер. г муниципальный округ Тверской, Долгоруковская улица, дом 34, стр. 2.

1.3. Настоящая Политика определяет основные цели, принципы, способы и условия обработки ПДн, права и обязанности Общества при обработке ПДн, права и обязанности субъектов ПДн, а также реализуемые в Обществе требования и меры к защите ПДн.

1.4. Использование Сайта, его сервисов или отправка данных через формы обратной связи означает согласие Пользователя с настоящей Политикой и указанными в ней условиями обработки персональных данных.

2. Перечень терминов и определений

Оператор (Общество) — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

Защита персональных данных — комплекс мероприятий технического, организационного и организационно-технического характера, направленных на обеспечение безопасности ПДн и защиту сведений, относящихся к определенному или определяемому на основании такой информации субъекту ПДн.

Информационная система персональных данных (ИСПДн) — информационная система, представляющая собой совокупность ПДн, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществить обработку таких ПДн с использованием средств автоматизации или без использования таких средств.

Конфиденциальность персональных данных — обязательное для выполнения оператором или иным лицом, получившим доступ к персональным данным, требование не допускать раскрытия персональных данных третьим лицам и их распространения без согласия субъекта ПДн или наличия иного законного основания.

Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту.

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.

Персональные данные — любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных).

Распространение персональных данных — действия, направленные на раскрытие ПДн неопределенному кругу лиц.

Субъект персональных данных — физическое лицо, ПДн которого обрабатываются Обществом в соответствии с положениями действующих нормативных правовых актов Российской Федерации и внутренних документов Общества.

Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание ПДн в ИСПДн и (или) в результате которых уничтожаются материальные носители ПДн.

Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Файлы cookie (куки) — данные, которые автоматически передаются Оператору в процессе использования Сайта с помощью установленного на устройстве Пользователя программного обеспечения (в том числе IP-адрес, географическое местоположение, информация о браузере, технические характеристики оборудования, дата и время доступа).

3. Принципы обработки персональных данных

3.1. Обработка персональных данных в Обществе осуществляется на основе следующих принципов:

• Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
• Обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством РФ на Оператора функций, полномочий и обязанностей;
• Наличие законных оснований для обработки персональных данных;
• Ограниченность обработки персональных данных достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора персональных данных;
• Недопущение объединения баз данных, содержащих персональные данные, обработка которых осуществляется в несовместимых между собой целях;
• Обработка только тех персональных данных, которые отвечают целям их обработки;
• Соответствие содержания и объема (недопущение избыточности) обрабатываемых персональных данных заявленным целям обработки;
• Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен законодательством РФ или договором;
• Общество исходит из того, что информация, которую предоставляет Пользователь, является достоверной и достаточной. Общество не проверяет достоверность предоставляемой персональной информации.

4. Цели, категории ПДн, сроки и способы обработки

4.1. Сбор и обработка персональных данных пользователей на Сайте осуществляются Оператором строго в рамках трех конкретных, обособленных и законодательно обоснованных целей:

Цель обработки	Категория субъектов ПДн	Перечень обрабатываемых ПДн	Правовое основание	Срок обработки и хранения	Способ обработки и уничтожения
1. Обработка входящих запросов и заявок (установление обратной связи, направление консультаций и ответов).	Посетители Сайта, заполнившие форму обратной связи или заявку.	Фамилия, имя, отчество; номер телефона; адрес электронной почты (e-mail); текст обращения.	п. 1 ч. 1 ст. 6 ФЗ-152 (согласие на обработку ПДн); п. 5 ч. 1 ст. 6 ФЗ-152 (заключение договора по инициативе субъекта).	До полного рассмотрения обращения и предоставления ответа, но не более 1 года с даты получения.	Смешанная обработка. Уничтожение путем удаления из ИСПДн с оформлением Акта и выгрузки логов.
2. Продвижение товаров, работ и услуг (предоставление информации об акциях, конкурсах и мероприятиях).	Пользователи Сайта, давшие отдельное согласие на рассылку.	Фамилия, имя, отчество; адрес электронной почты (e-mail); номер телефона.	п. 1 ч. 1 ст. 6, ст. 15 ФЗ-152 (отдельное согласие на рассылку); ч. 1 ст. 18 ФЗ «О рекламе».	До момента отзыва согласия Пользователем (через кнопку «Отписаться» или заявление на e-mail).	Автоматизированная обработка. Прекращение обработки в целях маркетинга — незамедлительно с момента получения отзыва; полное уничтожение данных — в течение 30 дней.
3. Аналитика и улучшение работы Сайта (бизнес-аналитика, проведение статистических исследований).	Все посетители Сайта.	Технические данные устройств; IP-адрес; файлы cookie; данные о взаимодействии с Сайтом.	п. 1 ч. 1 ст. 6 ФЗ-152 (согласие на обработку файлов cookie, выраженное через куки-баннер или продолжение использования Сайта).	В течение срока действия файлов cookie, но не более 24 месяцев с момента последнего визита.	Обезличенная автоматизированная обработка через сервис «Яндекс.Метрика».

5. Файлы Cookie и использование сервисов веб-аналитики

5.1. Настоящим Оператор уведомляет Пользователей о том, что в целях улучшения работы Сайта, обеспечения его безопасности, а также для сбора статистических и аналитических данных, на Сайте осуществляется сбор и обработка файлов cookie. Продолжая использовать Сайт или нажимая кнопку «Принять» на информационном баннере, Пользователь выражает свое согласие Оператору на обработку файлов cookie на условиях, изложенных в настоящем разделе.

5.2. Оператор использует следующие типы файлов cookie для обеспечения корректной работы Сайта:

• Строго необходимые (технические): обеспечивают базовые функции Сайта, такие как навигация по страницам, доступ к защищенным разделам и безопасность. Без этих файлов Сайт не может работать правильно.
• Функциональные: позволяют Сайту запоминать сделанный вами выбор (например, имя пользователя или регион) для предоставления более персонализированных возможностей.
• Аналитические и статистические: помогают Оператору понять, как посетители взаимодействуют с Сайтом (какие страницы популярны, сколько времени Пользователи проводят на Сайте). Мы используем эти данные исключительно в обезличенном виде.

5.3. На Сайте Общества реализован сервис веб-аналитики «Яндекс.Метрика», предоставляемый Яндекс. Информация об использовании веб-сайта Пользователем подлежит передаче Яндексу и хранится на серверах Яндекса, расположенных в Российской Федерации. Яндекс обрабатывает полученную информацию для оценки использования веб-сайта и составления отчетов в соответствии со следующими условиями: Политикой конфиденциальности, размещенной в сети «Интернет» по адресу: https://yandex.ru/legal/confidential/, Политикой использования файлов cookie, размещенной в сети «Интернет» по адресу: https://yandex.ru/legal/cookies_policy/ru/; Условиями использования сервиса «Яндекс.Метрика», размещенными в сети «Интернет» по адресу: https://yandex.ru/legal/metrica_termsofuse/ru/.

5.4. Пользователь может отказаться от использования Cookies в настройках своего браузера. В таком случае Сайт будет использовать только те Cookies, которые строго необходимы для его функционирования, однако такой отказ может привести к некорректной работе Сайта.

6. Права субъектов персональных данных

6.1. Пользователь имеет право на получение сведений, которые касаются обработки его ПДн, в соответствии с действующим законодательством:

• Подтверждение факта обработки персональных данных;
• Правовые основания и цели обработки персональных данных;
• Цели и применяемые способы обработки персональных данных;
• Наименование и место нахождения оператора, сведения о лицах, которые имеют доступ к персональным данным;
• Перечень обрабатываемых персональных данных и источник их получения;
• Сроки обработки персональных данных и сроки их хранения;
• Порядок осуществления субъектом прав, предусмотренных законодательством РФ.

6.2. Пользователь вправе требовать от Общества уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

6.3. В целях реализации своих прав и законных интересов, Пользователь вправе обратиться в Общество за предоставлением информации, касающейся обработки и защиты его ПДн, а также отозвать свое согласие на обработку персональных данных, направив свое обращение по следующему адресу электронной почты: info@exnovo.ru или направив письменный запрос по почтовому адресу: 127006, г. Москва, вн.тер. г муниципальный округ Тверской, Долгоруковская улица, дом 34, стр. 2.

6.4. Общество предоставляет сведения, указанные в п. 6.1, по запросу Пользователя или его законного представителя в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.

6.5. Запрос Пользователя или его представителя должен содержать:

• номер основного документа, удостоверяющего личность субъекта ПДн или его представителя;
• сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта ПДн в отношениях с Обществом (номер договора, дата заключения договора или иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Обществом;
• подпись субъекта персональных данных или его представителя.

6.6. Пользователь вправе повторно обратиться в Общество с запросом сведений, указанных в п. 6.1, не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если иной срок не установлен законодательством РФ.

6.7. Пользователь вправе отозвать свое согласие на обработку персональных данных, если такое было дано. Отзыв согласия направляется субъектом в адрес Общества и должен содержать сведения, указанные в п. 6.5.

6.8. В случае отзыва субъектом согласия на обработку персональных данных Общество вправе продолжить обработку персональных данных без согласия субъекта при наличии оснований, предусмотренных законодательством Российской Федерации или договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

6.9. Общество рассматривает обращения субъектов ПДн, дает разъяснения и предпринимает меры по защите ПДн в соответствии с требованиями законодательства РФ. В случае претензий и жалоб со стороны субъектов ПДн, Общество принимает все необходимые меры для устранения возможных нарушений, установления виновных лиц и урегулирования спорных ситуаций в досудебном порядке.

6.10. Право субъекта ПДн на доступ к его ПДн может быть ограничено в случаях, установленных действующим законодательством Российской Федерации.

6.11. Иные права субъектов персональных данных определяются Федеральным законом «О персональных данных».

7. Меры по обеспечению безопасности ПДн при их обработке

7.1. Общество при обработке ПДн принимает все необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.

7.2. Основные меры, направленные на защиту ПДн, осуществляемые Обществом:

• определение угроз безопасности персональных данных при их обработке в информационных системах;
• применение организационных и технических мер, направленных на обеспечение безопасности ПДн при их обработке в информационных системах ПДн, необходимых для соблюдения требований к обработке и защите ПДн;
• оценка эффективности принимаемых мер по обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных;
• назначение в Обществе должностного лица, ответственного за организацию обработки ПДн;
• утверждение локальных нормативных актов по вопросам обработки и защиты ПДн, направленных на выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений после их выявления и предотвращения их в последствии;
• организация и осуществление периодического контроля за соблюдением принимаемых мер по обеспечению безопасности ПДн в рамках требований законодательства Российской Федерации по защите персональных данных, и принятых в его исполнение подзаконных нормативных правовых актов, и разработанных внутренних локальных нормативным документов, не противоречащих законодательству Российской Федерации;
• ознакомление работников Общества, непосредственно осуществляющих обработку ПДн, с положениями действующего законодательства Российской Федерации о ПДн, в том числе с требованиями к обработке и защите ПДн, локальными нормативными актами, включая настоящую Политику;
• организация работ и осуществление надлежащего контроля за выполнением требований по защите ПДн, в том числе физической защиты ПДн, обрабатываемых в границах контролируемой зоны Общества, а также по защите носителей ПДн, мест их хранения и обработки;
• установление правил доступа к ПДн, обрабатываемым в информационной системе ПДн, а также обеспечением регистрации и учета всех действий, совершаемых с ПДн в информационной системе ПДн.

8. Порядок прекращения обработки и уничтожения ПДн

8.1. В случае достижения цели обработки персональных данных обработка таких персональных данных должна быть прекращена, а персональные данные должны быть уничтожены в тридцатидневный срок с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных законодательством Российской Федерации.

8.2. В случае выявления неправомерной обработки персональных данных обработка таких персональных данных должна быть прекращена в течение трех рабочих дней. Если обеспечить правомерность обработки персональных данных невозможно, персональные данные подлежат уничтожению в течение десяти рабочих дней с даты выявления неправомерной обработки.

8.3. В случае отзыва субъектом согласия на обработку его персональных данных, Общество обязано незамедлительно прекратить обработку данных в marketing-целях (продвижение товаров, работ, услуг). В иных целях обработка должна быть прекращена, и в случае, если сохранение персональных данных более не требуется для целей обработки, такие персональные данные подлежат уничтожению в течение тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект, либо если оператор не вправе осуществлять обработку без согласия субъекта на основаниях, предусмотренных законодательством РФ.

8.4. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в пунктах 8.1-8.3, должно быть обеспечено блокирование таких персональных данных и их уничтожение в срок не более шести месяцев, если иной срок не установлен законодательством Российской Федерации.

8.5. В соответствии с Приказом Роскомнадзора № 179 от 28.10.2022 г., факт уничтожения ПДн при автоматизированной обработке подтверждается Обществом путем составления Акта об уничтожении персональных данных и обязательного сохранения выгрузки из журнала регистрации событий (логов) ИСПДн. Данные документы хранятся Обществом в течение 3 лет с момента уничтожения данных.

9. Передача персональных данных

9.1. Передача персональных данных третьему лицу осуществляется только с согласия Субъекта персональных данных или в случаях, прямо предусмотренных законодательством Российской Федерации.

9.2. Передача персональных данных органу государственной власти, органу местного самоуправления, органу безопасности и правопорядка, а также иному уполномоченному органу допускается по основаниям, предусмотренным законодательством Российской Федерации.

9.3. Оператор не осуществляет обработку персональных данных, разрешенных субъектом для распространения (в смысле ст. 10.1 ФЗ-152). Трансграничная передача персональных данных на территории иностранных государства Оператором не осуществляется. Базы данных локализованы на территории РФ.

10. Ответственность и заключительные положения

10.1. За нарушение требований, установленных законодательством Российской Федерации, Положением и другими локальными актами Общества, работники и иные лица, получившие доступ к персональным данным, несут дисциплинарную, административную, гражданско-правовую и уголовную ответственность в соответствии с законодательством Российской Федерации.

10.2. Настоящая Политика действует бессрочно до замены ее новой версией. Оператор имеет право вносить изменения в Политику в одностороннем порядке. Новая редакция Политики вступает в силу с момента ее размещения на Сайте, если иное не предусмотрено новой редакцией.