Сведения о защитеАктуальна на 11.10.2026

1. Общие положения

1.1. Сведения опубликованы во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и описывают меры АО «Щелково Агрохим» (далее — Оператор) по защите персональных данных в информационной системе персональных данных «Aigronom» (далее — ИСПДн): сайт https://aigronom.ru с чатом ИИ-помощника Aigronom, кабинет хозяйства https://chat.aigronom.ru, Telegram-бот Aigronom, сервис регистрации и данных хозяйств и ИИ-помощник Aigronom. Меры принимаются по ст. 18.1 и 19 Закона, Требованиям, утверждённым постановлением Правительства Российской Федерации от 01.11.2012 № 1119 (далее — Требования), и приказу ФСТЭК России от 18.02.2013 № 21.

1.2. В ИСПДн обрабатываются иные категории персональных данных работников Оператора и менее чем 100 000 субъектов, не являющихся работниками Оператора; специальные категории и биометрические данные не обрабатываются; актуальны угрозы 3-го типа. Установлен 4-й уровень защищённости (п. 12 Требований), который пересматривается при росте числа субъектов свыше 100 000, появлении биометрических или специальных категорий данных и изменении архитектуры ИСПДн. Серверы и базы данных находятся на территории Российской Федерации (ч. 5 ст. 18 Закона); трансграничная передача не осуществляется.

2. Правовые и организационные меры

2.1. Утверждены Политика в отношении обработки персональных данных и локальные акты по вопросам обработки и защиты персональных данных (п. 2 ч. 1 ст. 18.1 Закона). Проведена оценка вреда субъектам по приказу Роскомнадзора от 27.10.2022 № 178, составлена модель угроз по Методике оценки угроз безопасности информации ФСТЭК России от 05.02.2021, уровень защищённости определён актом. Лица, обрабатывающие данные по поручению Оператора, действуют по договорам с условиями ч. 3 ст. 6 Закона.

2.2. Приказом Оператора назначены: ответственный за организацию обработки персональных данных (ст. 22.1 Закона) — Генеральный директор; ответственный за обеспечение безопасности персональных данных в ИСПДн, он же лицо для взаимодействия с Роскомнадзором по инцидентам, — начальник отдела ИТ. Обращения принимаются по электронной почте law@aigronom.ru или письмом по адресу Оператора: 141108, Московская область, г. Щёлково, ул. Заводская, д. 3В, офис 204; телефон +7 (495) 745-05-51.

2.3. Перечень лиц, допущенных к персональным данным, утверждён руководителем Оператора (п. 13 Требований); они ознакомлены с законодательством и локальными актами (п. 6 ч. 1 ст. 18.1 Закона) и обязаны соблюдать конфиденциальность (ст. 7 Закона). База данных и файлы размещены на серверах российского хостинг-провайдера, вычисления ИИ-помощника Aigronom — на собственном сервере Оператора в Российской Федерации; серверы размещены в охраняемых помещениях с контролем доступа (площадка хостинг-провайдера уровня Tier III и помещение Оператора); администрирование ведётся по защищённому протоколу с аутентификацией по ключам.

2.4. Внутренний контроль ведёт ответственный за организацию обработки (ч. 4 ст. 22.1 Закона). Контроль выполнения Требований проводится не реже 1 раза в 3 года (п. 17 Требований); оценка эффективности мер — не реже 1 раза в 3 года (п. 6 Состава и содержания мер, утверждённых приказом ФСТЭК России от 18.02.2013 № 21) и при изменении архитектуры ИСПДн, с пересмотром модели угроз.

3. Технические меры

3.1. Оператор применяет следующие технические меры:

• передача данных только по протоколу HTTPS (TLS) с принудительным защищённым соединением; подпись сессии с ограниченным сроком действия; политика безопасности содержимого (CSP) против внедрения сценариев; cookie входа через Яндекс ID и VK ID недоступны сценариям страницы и передаются только по защищённому соединению (httponly, secure);
• вход по одноразовым кодам (хранятся в виде хэш-значений, срок и число попыток ограничены), passkey, Яндекс ID и VK ID с защитой обмена кодом авторизации; временная блокировка после неудачных попыток; ограничение регистрации из анонимизирующих сетей;
• разграничение прав участников хозяйства по ролям; журнал событий безопасности с IP-адресами, хранение 90 дней;
• хранение токенов доступа к государственным информационным системам в зашифрованном виде; доступ к секретам конфигурации только у служебной учётной записи;
• квоты и проверка типов загружаемых файлов, изолированный просмотр файлов, ограничение частоты запросов;
• защита от вредоносного кода: проверка типа и размера загружаемых файлов, запрет их исполнения, изоляция при просмотре, обновления операционных систем; антивирусное средство на рабочих местах администраторов; регулярное обновление программных зависимостей;
• резервное копирование базы данных и файлов, в том числе перед каждым выпуском обновлений, с проверкой восстановления; автоматизированная проверка безопасности перед выпуском; контроль доступности с двух независимых площадок.

4. Порядок действий при инцидентах

4.1. Выявив инцидент, Оператор локализует его, блокирует скомпрометированные учётные записи и ключи, при необходимости восстанавливает данные из резервных копий и прекращает неправомерную обработку в течение 3 рабочих дней (ч. 3 ст. 21 Закона). О неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлёкшей нарушение прав субъектов, Оператор с момента выявления инцидента уведомляет Роскомнадзор в порядке приказа Роскомнадзора от 14.11.2022 № 187 (ч. 3.1 ст. 21 Закона): в течение 24 часов — об инциденте, его предполагаемых причинах и предполагаемом вреде, принятых мерах и лице, уполномоченном на взаимодействие с Роскомнадзором; в течение 72 часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (при наличии). Взаимодействие с ГосСОПКА — в порядке ч. 12 ст. 19 Закона.

Реквизиты Оператора