Политика обработки персональных данных
ОБЩИЕ ПОЛОЖЕНИЯ
1. Общество с ограниченной ответственностью «Венеция», сокращенное наименование: ООО «Венеция»; адрес юридического лица: 160002, Вологодская область, г. Вологда, ул. Гагарина, дом 41, оф. 11; Дата регистрации общества 16.11.2007 г.; ОГРН 1073525017290, ИНН 3525194584, КПП 352501001 (далее — Общество), являясь оператором персональных данных, в соответствие с требования законодательства Российской Федерации, разработало и утвердило настоящую политику обработки персональных данных.
2. Настоящая Политика обработки персональных данных (далее — Политика) разработана в соответствии со статьей 18.1. Федерального закона от 27 июля 2006 года N 152-ФЗ «О персональных данных» и действует в отношении всех персональных данных, которые Общество получает от субъектов персональных данных или от их представителей.
3. Политика разработана на основании Конституции Российской Федерации, Трудового кодекса Российской Федерации, Гражданского кодекса Российской Федерации, Федеральных законов «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных», «О персональных данных», «Об информации, информационных технологиях и о защите информации» и устанавливает единые цели, принципы и правила обработки персональных данных в Обществе и определяет основные меры, реализуемые Обществом для обеспечения защиты персональных данных.
4. Настоящая Политика является внутренним локальным нормативным актом Общества и обязательна для исполнения всеми работниками Общества.
5. Общество во исполнение требований части 2 статьи 18.1. Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» в целях обеспечения неограниченного доступа к сведениям о реализуемых в Обществе мероприятиях по защите персональных данных, и к документам, определяющим политику Общества в отношении обработки и защиты персональных данных, размещает текст настоящей Политики на своем общедоступном официальном сайте в сети интернет по адресу: https://spa-venecia.ru/
6. Положения настоящей Политики распространяется на все случаи обработки персональных данных Обществом, полученные как до, так и после утверждения настоящей Политики.
7. Настоящая Политика действует в отношении всей информации, которую Общество получает от физического лица, в том числе при использовании им сайта Общества https://spa-venecia.ru/ или при использовании аккаунтов, зарегистрированных Обществом в социальной сети «Вконтакте» (международное название VK), иных социальных сетях и мессенджерах.
ОСНОВНЫЕ ПОНЯТИЯ
1. Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
2. Оператор персональных данных (оператор) — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
3. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
4. Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.
5. Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
6. Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
7. Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
8. Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
9. Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
10. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства, органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
11. Конфиденциальность персональных данных – обязательное для соблюдения оператором требование не раскрывать третьим лицам и не допускать распространения персональных данных без согласия субъектов персональных данных или наличия иного законного основания.
12. Защита персональных данных – деятельность оператора, направленная на предотвращение утечки защищаемых персональных данных, несанкционированных и непреднамеренных воздействий на защищаемые персональные данные.
13. Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Обработка персональных данных осуществляется на законной и справедливой основе.
2. Обработка ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора.
3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
4. Обработке подлежат только те персональные данные, которые отвечают целям обработки. Не допускается обработка данных, избыточных по отношению к заявленным целям.
5. При обработке персональных данных обеспечиваются точность и достаточность персональных данных и при необходимости актуальность по отношению к целям обработки. В случае подтверждения факта неточности персональных данных персональные данные подлежат актуализации, в случае подтверждение факта неправомерности обработки персональных данных их обработка должна быть прекращена.
6. Обработка персональных данных в Обществе осуществляется с согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации. При обработке персональных данных Общество обязано обеспечить их конфиденциальность.
7. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, за исключением случаев, предусмотренных частью 2 статьи 10 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных».
8. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, но не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
9. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Общество осуществляет обработку персональных данных субъектов руководствуясь: Конституцией Российской Федерации; статьями 86 — 90 Трудового кодекса Российской Федерации; Налоговым кодексом Российской Федерации; Федеральным законом от 01.04.1996 N 27-ФЗ «Об индивидуальном (персонифицированном) учете в системах обязательного пенсионного страхования и обязательного социального страхования»; Федеральным законом от 29.12.2006 N 255-ФЗ «Об обязательном социальном страховании на случай временной нетрудоспособности и в связи с материнством»; Федеральным законом от 29.11.2010 N 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»; Уставом Общества; иными нормативными актами Российской Федерации; условиями гражданско-правовых договоров, заключаемых с контрагентами и потребителями услуг, согласием на обработку персональных данных.
ЦЕЛИ ОБРАБОТКИ, КАТЕГОРИИ СУБЪЕКТОВ, КАТЕГОРИИ И ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Персональные данные обрабатываются в целях оформления трудовых отношений, ведения кадрового делопроизводства, воинского учета. Обеспечения выполнения трудовой функции, исполнения должностных обязанностей. Обеспечения контроля количества и качества выполняемой работы. Расчета и выплаты заработной платы, расчета и уплаты налогов, взносов, сдачи отчетности по начисленным налогам и взносам. Соблюдения действующего трудового, налогового, пенсионного, социального законодательства Российской Федерации и иных нормативных правовых актов, в том числе исполнения обязанностей, связанных с представлением документов, содержащих персональных данных в налоговые органы, Социальный фонд России, Территориальный фонд обязательного медицинского страхования, а также в иные государственные органы.
- Категории субъектов персональных данных:
— работники общества. - Категории обрабатываемых персональных данных:
— общедоступные персональные данные;
— специальные категории персональных данных — данные о состоянии здоровья. - Перечень обрабатываемых персональных данных:
— фамилия, имя, отчество; пол; дата и место рождения; реквизиты документа удостоверяющего личность; адрес регистрации, адрес места жительства (при несовпадении с адресом регистрации); данные документа в подтверждение смены фамилии (при необходимости); контактный номер телефона; СНИЛС; ИНН; сведения о гражданстве; сведения о доходах; сведения об отношении к воинской обязанности, сведения о воинском учете; данные документов, содержащих сведения о полученном образовании, сведения о трудовой деятельности, стаже работы; сведения о реквизитах банковского счета; сведения о состоянии здоровья, в объеме, предусмотренном порядком проведения обязательных предварительных и периодических медицинских осмотров работников; Сведения, содержащиеся в документах, в подтверждение наличия у работника оснований (или специального статуса) в целях предоставления работнику льгот, компенсаций, гарантий предусмотренных законодательством.
2. Персональные данные обрабатываются в целях предоставления для работников льгот, компенсаций, гарантий, предусмотренных действующим законодательством Российской Федерации, предоставление которых обусловлено наличием у работника члена семьи.
- Категории субъектов персональных данных:
— члены семьи работников общества. - Категории обрабатываемых персональных данных:
— общедоступные персональные данные;
— специальные категории персональных данных — данные о состоянии здоровья. - Перечень обрабатываемых персональных данных:
— данные документов, содержащих сведения о семейном положении; сведения о наличии детей (опекаемых, подопечных), (в том числе совершеннолетних в возрасте до 24-х лет, обучающихся по очной форме обучения) — для работников, имеющих право на получение налоговых вычетов, льгот по налогу на доходы, иных льгот и компенсаций; данные документов, содержащих сведения о наличии у ребенка (опекаемого, подопечного) работника – инвалидности (иного основания), для предоставления льгот, гарантий, компенсаций предусмотренных трудовым законодательством. Документы, в подтверждение статуса супруга (иного близкого родственника) работника (в целях предоставления работнику льгот и гарантий, предусмотренных трудовым законодательством).
3. Персональные данные обрабатываются в целях обеспечения пенсионных прав бывших работников, исполнения требований законодательства о налогах и сборах и законодательства о бухгалтерском учете, законодательных актов, регулирующих сроки хранения документов кадрового учета.
- Категории субъектов персональных данных:
— бывшие работники общества и члены их семей. - Категории обрабатываемых персональных данных:
— общедоступные персональные данные;
— специальные категории персональных данных — данные о состоянии здоровья (в том случае, если данные использовались при предоставлении льгот, налоговых вычетов, выплаты компенсаций). - Перечень обрабатываемых персональных данных:
— данные, содержащиеся в личных делах (карточках) работников, трудовых договорах, книгах (журналах) учета, приказах по личному составу. Бухгалтерских и иных документах, оформляемых для исчисления, удержания и перечисления налогов (взносов). Фамилия, имя, отчество; пол; дата и место рождения; реквизиты документа удостоверяющего личность; адрес регистрации, адрес места жительства (при несовпадении с адресом регистрации); данные документа в подтверждение смены фамилии (при необходимости); СНИЛС; ИНН; сведения о гражданстве; сведения о доходах; сведения о трудовой деятельности, стаже работы; документы в подтверждение наличия у работника специального статуса (в случае, если работнику предоставлялись льготы, компенсации, вычеты предусмотренные законодательством). Данные документов, содержащих сведения о члене семьи бывшего работника общества, если такому работнику, в связи с наличием у него члена семьи были предоставлены льготы, компенсации, вычеты.
4. Персональные данные обрабатываются в целях поиска соискателей на замещение вакантных должностей, принятия решения о приеме либо об отказе в приеме соискателя на вакантную должность.
- Категории субъектов персональных данных:
— физические лица, претендующие на вакантную должность, имеющуюся у Общества. - Категории обрабатываемых персональных данных:
— общедоступные персональные данные. - Перечень обрабатываемых персональных данных:
— фамилия, имя, отчество; дата рождения; сведения об образовании, квалификации; сведения, указанные соискателем в резюме.
5. Персональные данные обрабатываются в целях заключения и исполнения гражданско-правовых договоров, заключаемых Обществом.
- Категории субъектов персональных данных:
— физические лица – контрагенты Общества по гражданско-правовым договорам или их представители, индивидуальные предприниматели, представители другого юридического лица, состоящего в договорных отношениях с Обществом. - Категории обрабатываемых персональных данных:
— общедоступные персональные данные. - Перечень обрабатываемых персональных данных:
— фамилия, имя, отчество, пол, реквизиты документа, удостоверяющего личность; контактный телефон, адрес электронной почты (при необходимости, если с лицом заключается г/п договор); реквизиты документа, подтверждающего статус индивидуального предпринимателя (ОГРНИП) или плательщика налога на профессиональный доход, ИНН, банковские реквизиты (если с лицом заключается г/п договор).
6. Персональные данные обрабатываются с целью заключения и исполнения гражданско-правовых договоров на предоставление услуг и реализацию товаров потребителям.
- Категории субъектов персональных данных:
— физические лица (заказчики) – пользователи официального сайта Общества в информационно-телекоммуникационной сети «Интернет», оформившие заказ услуги/товара посредством форм обратной связи, а также физические лица (заказчики) обратившиеся за оказанием услуги/ приобретением товара лично. - Категории обрабатываемых персональных данных:
— общедоступные персональные данные;
— специальные категории персональных данных — данные о состоянии здоровья (в том случае, если данные необходимы для принятия решения об оказании услуги). - Перечень обрабатываемых персональных данных:
— фамилия, имя, отчество; дата рождения; пол; адрес регистрации; номер контактного телефона и (или) адрес электронной почты (при необходимости); данные паспорта гражданина РФ: серия и номер паспорта, сведения о дате выдачи и выдавшем паспорт органе; данные заграничного паспорта, серия и номер, срок его действия и дата выдачи; реквизиты свидетельства о рождении; Сведения о банковских реквизитах (при необходимости); Сведения о состоянии здоровья в объеме, необходимом для принятия решения о проведении процедуры в рамках договора оказания услуг либо об отказе от проведения процедуры).
7. Персональные данные обрабатываются с целью функционирования сайта Общества, размещения на сайте информации об услугах и продуктах, предоставляемых Обществом, получения информации о посещаемости сайта, запросах посетителей сайта.
- Категории субъектов персональных данных:
— физические лица – пользователи официального сайта Общества в информационно-телекоммуникационной сети «Интернет». - Категории обрабатываемых персональных данных:
— общедоступные персональные данные. - Перечень обрабатываемых персональных данных:
— URL страницы, реферер страницы, заголовок страницы, браузер и его версия, операционная система и ее версия, устройство, высота и ширина экрана, наличие Cookies, наличие JavaScript, часовой пояс, язык браузера, глубина цвета экрана, ширина и высота клиентской части окна браузера, пол и возраст посетителей, интересы посетителей, географические данные, JavaScript-события. Учет взаимодействий посетителя с сайтом, в том числе использование на сайте методов JavaScript API, параметры загрузки страницы, просмотр страницы, визит, переход по внешней ссылке, скачивание файла, отказ, время на сайте, глубина просмотра.
СРОКИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
В Обществе устанавливаются следующие сроки обработки и хранения персональных данных:
1. Персональные данные, которые получены Обществом в связи с исчислением, удержанием и перечислением налоговых платежей, а также документы бухгалтерского учета, содержащие персональные данные (первичные учетные документы, регистры бухгалтерского учета, бухгалтерская (финансовая) отчетность) хранятся в течение пяти лет (подпункт 5 пункта 3 статьи 24 Налогового кодекса РФ; часть 1 статьи 29 Федерального закона от 06.12.2011 N 402-ФЗ «О бухгалтерском учете». Отсчет срока хранения начинается с 1 января после окончания налогового периода, в котором использовались документы, содержащие персональные данные.
2. Документы, содержащие персональные данные, обрабатываемые в связи с трудовыми отношениями в том числе: трудовые договоры, личные карточки работников, заявления о согласии на обработку персональных данных, а также книги (журналы, карточки): учета, приема, перемещения (перевода), увольнения работников, личных дел, личных карточек, трудовых договоров, выдачи (учета движения) трудовых книжек и вкладышей к ним, хранятся в течение действия трудового договора и 75 лет после завершения действия трудового договора, если не будут переданы в архив ранее. Документы о несчастном случае, произошедшем с работником в зоне ответственности Общества, хранятся в течение 75 лет.
3. Персональные данные кандидатов на вакантные должности хранятся до момента вынесения решения в отношении кандидата.
4. Персональные данные, обрабатываемые в целях исполнения заключенного договора, в том числе договора на предоставление услуг и реализацию товаров, хранятся в течение срока действия договора и срока исковой давности, отсчитываемого после исполнения договора.
5. Если срок хранения персональных данных не установлен законом, или настоящим Положением, дата прекращения срока обработки персональных данных определяется наступлением одного из следующих событий:
— достигнуты цели обработки персональных данных или утрачена необходимость в их достижении;
— истек срок действия согласия субъекта персональных данных;
— субъект персональных данных отозвал свое согласие на обработку персональных данных (в случае, если у Общества отсутствуют законные основания продолжить обработку персональных данных);
— обнаружена неправомерная обработка персональных данных.
ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Получение персональных данных:
— За исключением общедоступных персональных данных, получение персональных данных осуществляется Обществом непосредственно у субъектов персональных данных, либо лиц, имеющих надлежащим образом оформленные полномочия представлять интересы субъектов персональных данных для передачи персональных данных Обществу. Если персональные данные субъекта можно получить только у третьей стороны, то субъект должен быть уведомлен об этом и от него должно быть получено письменное согласие.
— Персональные данные субъектов персональных данных могут быть получены Обществом способами, не противоречащими законодательству Российской Федерации и требованиям законодательства о защите персональных данных.
2. Документы, содержащие персональные данные, создаются путем:
— сканирования (копирования) оригиналов документов (документа об образовании, свидетельства ИНН, СНИЛС и др.);
— внесения сведений в учетные формы (реестры);
— получения оригиналов необходимых документов (справки о доходах физических лиц, трудовой книжки и др.).
3. Обработка персональных данных осуществляется Обществом с соблюдением принципов и правил, предусмотренных Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных» в следующих случаях:
— с согласия субъекта персональных данных на обработку его персональных данных;
— обработка персональных данных необходима для исполнения гражданско-правовых договоров на предоставление услуг и реализацию товаров потребителям или для оказания иных услуг стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных;
— в случаях, когда обработка персональных данных необходима для осуществления и выполнения возложенных законодательством Российской Федерации функций, полномочий и обязанностей;
— обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
— обработка персональных данных работников Общества, касающихся состояния здоровья, осуществляется в соответствии с требованиями Федеральных законов «О персональных данных» и «Об основах охраны здоровья граждан в Российской Федерации».
4. Обработка персональных данных осуществляется: с помощью средств вычислительной техники (автоматизированная обработка) либо при непосредственном участии человека без использования средств вычислительной техники (неавтоматизированная обработка).
5. Получение и обработка персональных данных на сайте Общества осуществляется в том числе с помощью метрической программы Яндекс Метрика, предоставляемой ООО «Яндекс» (119021, Россия, Москва, ул. Л. Толстого, 16). Сервис Яндекс Метрика использует технологию «cookie» — небольшие текстовые файлы, размещаемые на компьютере пользователей с целью анализа их пользовательской активности. Информация об использовании субъектом персональных данных сайта Общества, собранная при помощи технологии cookie, будет передаваться ООО «Яндекс» и храниться на сервере ООО «Яндекс». ООО «Яндекс» будет обрабатывать собранную информацию в интересах Общества, в частности для оценки использования сайта Общества и составления отчетов об активности пользователей на сайте. ООО «Яндекс» обрабатывает полученную информацию в порядке, установленном в Условиях использования сервиса Яндекс Метрика.
6. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Персональные данные субъектов персональных данных, зафиксированные на бумажных носителях, хранятся в специально отведенных железных шкафах (сейфах) в запираемых помещениях с ограниченным правом доступа.
7. Персональные данные субъектов персональных данных, обрабатываемые с использованием средств автоматизации, обрабатываются и хранятся с соблюдением требований, установленных Постановлением Правительства РФ от 01.11.2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
8. Передача персональных данных осуществляется Обществом исключительно для достижения целей, заявленных для обработки персональных данных. Общество передает персональные данные третьим лицам в следующих случаях:
— от субъекта персональных данных получено письменное согласие на такие действия;
— передача предусмотрена законодательством Российской Федерации в рамках установленной законодательством процедуры.
9. Общество передает персональные данные следующим лицам:
— в рамках исполнения обязательств, связанных с трудовыми отношениями, в Социальный Фонд России, Территориальный фонд обязательного медицинского страхования, Страховые медицинские организации (в целях добровольного медицинского страхования), Федеральную налоговую службу, иные органы, определенные законом.
10. В соответствии с поступившими запросами Общество передает персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.
11. Общество вправе поручить обработку персональных данных другому юридическому лицу или индивидуальному предпринимателю с согласия субъектов персональных данных на основании заключаемого договора. Юридическое лицо или индивидуальный предприниматель, осуществляющие обработку персональных данных по поручению Общества, обязаны соблюдать принципы и правила обработки персональных данных, предусмотренные законодательством Российской Федерации в области персональных данных. В случае, когда Общество на основании договора передает или поручает обработку персональных данных другому юридическому лицу или индивидуальному предпринимателю, существенным условием договора должна быть обязанность обеспечения указанным лицом условий конфиденциальности и обеспечения безопасности персональных данных при их передаче или обработке.
12. Сроки обработки, в том числе хранения, персональных данных работников Общества и других субъектов персональных данных на бумажных и иных материальных носителях, а также в информационных системах персональных данных определяются в соответствии с законодательством Российской Федерации.
13. Начало течения срока обработки персональных данных разграничивается применительно к каждой категории субъектов персональных данных.
Началом обработки персональных данных работника общества считается дата заключения трудового договора. Началом обработки персональных данных члена семьи работника считается дата предоставления работником Обществу документов в отношении члена семьи работника.
Началом обработки персональных данных лиц, обратившихся с целью замещения вакантной должности, считается дата получения Обществом резюме.
Началом обработки персональных данных заказчика услуги/товара считается дата заключения договора, предметом которого является предоставление услуг, передача товара.
Началом обработки персональных данных лица, использующего сайт Общества, является дата регистрации данного лица на сайте (дата заполнения формы обратной связи).
Началом обработки персональных данных физических лиц – контрагентов общества (представителей контрагентов) считается дата заключения гражданско-правового договора с данным лицом (дата предоставления документа, отражающего полномочия представителя — физического лица).
ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Субъект персональных данных имеет право на получение следующей информации:
— подтверждение факта обработки персональных данных Обществом;
— получение информации о правовых основания и целях обработки персональных данных, о применяемых способах обработки персональных данных;
— получение информации о наименовании и месте нахождения Общества, сведений о лицах (за исключением работников Общества), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Обществом или на основании федерального закона;
— получение информации об обрабатываемых персональных данных, относящихся к субъекту персональных данных, источнику их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
— получение информации о сроках обработки персональных данных, в том числе сроках их хранения, о порядке осуществления субъектом персональных своих прав, предусмотренных законом;
-получение информации об осуществленной или о предполагаемой трансграничной передаче данных;
— получение информации о наименовании или фамилии, имени, отчестве и адресе лица, осуществляющего обработку персональных данных по поручению Общества, если обработка поручена или будет поручена такому лицу;
— получение информации о способах исполнения Обществом обязанностей и мер направленных на защиту персональных данных.
2. Запрашиваемая информация должна быть предоставлена субъекту персональных данных в доступной форме, и в ней не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных. Запрашиваемая информация предоставляется субъекту персональных данных или его представителю в течение десяти рабочих дней с момента обращения либо получения Обществом запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Обществом в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
3. Субъект персональных данных вправе:
— требовать блокирования или уничтожения своих персональных данных в случае, если персональные данные являются неполными, устаревшими, незаконно полученными или не являются необходимыми для заявленной цели обработки;
— требовать извещения всех лиц, которым ранее были сообщены недостоверные или неполные его персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях;
— обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействия Общества в качестве оператора персональных данных при обработке его персональных данных;
— отозвать свое согласие на обработку персональных данных;
— на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
ОБЯЗАННОСТИ ОПЕРАТОРА ПЕРСОНАЛЬНЫХ ДАННЫХ
Общество при обработке персональных данных обязано:
— принимать необходимые меры для выполнения обязанностей оператора, предусмотренных законодательством Российской Федерации в сфере обработки и защиты персональных данных;
— обеспечивать защиту обрабатываемых персональных данных, от их неправомерного использования или утраты;
— разъяснять субъекту персональных данных юридические последствия отказа предоставить персональные данные, если это является обязательным в соответствии с законодательством Российской Федерации или в целях надлежащего оказания услуг;
— осуществлять блокирование неправомерно обрабатываемых персональных данных;
— осуществлять прекращение обработки персональных данных в соответствии с законодательством Российской Федерации;
— уведомлять субъекта персональных данных об устранении допущенных нарушений или уничтожении его персональных данных;
— предоставлять по просьбе субъекта персональных данных или его представителя информацию, касающуюся обработки его персональных данных, в порядке, установленном законодательством Российской Федерации;
— предоставлять безвозмездно субъекту персональных данных или его представителю по запросу возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных, а также по требованию субъекта персональных данных или его представителя вносить в них необходимые изменения.
ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. При обработке персональных данных в Обществе принимаются необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, несанкционированного копирования, предоставления, распространения персональных данных, а также иных неправомерных действий в отношении персональных данных.
2. Меры защиты, реализуемые Обществом при обработке персональных данных включают:
— принятие локальных нормативных актов и иных документов в области обработки и защиты персональных данных, в том числе разработка политики в отношении обработки персональных данных;
— назначение должностных лиц, ответственных за обеспечение безопасности персональных данных;
— организация обучения и проведение методической работы с работниками, осуществляющими обработку персональных данных, установление запретов для работников, осуществляющих обработку персональных данных, для их несанкционированного копирования, в том числе с использованием сменных носителей информации, мобильных устройств и переноса информации, с использованием различных интерфейсов (включая беспроводные), запоминающих устройств мобильных средств, а также устройств фото и видеосъемки;
— установление правил доступа к персональным данным, обрабатываемым в информационных системах персональных данных, а также обеспечение учета всех действий, совершаемых с персональными данными в информационных системах персональных данных;
— определение актуальных угроз безопасности персональным данным при их обработке в информационных системах, принятие необходимых организационных и технических мер для защиты персональных данных от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий;
— хранение материальных носителей персональных данных с соблюдением условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним;
— обеспечение раздельного хранения материальных носителей персональных данных, на которых содержатся персональные данные разных категорий или содержатся персональные данные, обработка которых осуществляется в разных целях;
— применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации и антивирусного программного обеспечения с регулярно обновляемыми базами;
— принятие мер при обнаружении фактов несанкционированного доступа к персональным данным.
ПОРЯДОК УНИЧТОЖЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. В обществе осуществляется систематический мониторинг и уничтожаются документы, иные материальные носители, содержащие персональные данные, а также удаляются персональные данные, содержащиеся в информационных системах персональных данных, файлах, хранящихся на АРМ, по достижении цели обработки, с истекшими сроками хранения, предусмотренными законодательством Российской Федерации, или при наступлении иных законных оснований.
2. Документы, содержащие персональные данные, уничтожаются без возможности их восстановления.
3. Материальные (бумажные) носители персональных данных уничтожаются при помощи технических средств или путём измельчения на мелкие части вручную. Уничтожение материальных (бумажных) носителей должно исключать возможность последующего восстановления информации, содержащей персональные данные, из остатков носителя. Подлежащие уничтожению файлы (папки, электронные архивы) с персональными данными заказчиков услуг, расположенные на жестком диске компьютера (информационной системы персональных данных), удаляются средствами операционной системы компьютера с последующим «очищением хранилища удаленных данных», что исключает возможность последующего восстановления информации, содержащей персональные данные. Уничтожение персональных данных, содержащихся на внешних неперезаписываемых электронных носителях, по окончании срока обработки производится путем механического нарушения целостности внешнего электронного носителя, не позволяющего произвести считывание или восстановление содержания персональных данных.
4. При необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.
5. Удаление (стирание) персональных данных из информационных систем персональных данных, из файлов АРМ или с внешних перезаписываемых электронных носителей производится с использованием средств удаления (стирания) персональных данных и остаточной информации (информации, которую можно восстановить после удаления с помощью нештатных средств и методов). При отсутствии (невозможности использования таких средств) удаление (стирание) персональных данных производится штатными средствами информационной системы персональных данных (АРМ).
6. Уничтожение персональных данных должно производиться в течение 30 рабочих дней с момента обнаружения данных, подлежащих уничтожению, если иной срок не предусмотрен законодательством, соглашением с субъектом персональных данных или согласием субъекта, за исключением персональных данных, обрабатываемых неправомерно, которые должны быть уничтожены в срок, не превышающий 10 рабочих дней с даты выявления неправомерной обработки персональных данных.
7. Факт уничтожения персональных данных подтверждается Актом об уничтожении персональных данных. Факт уничтожения персональных данных, обрабатываемых с использованием средств автоматизации, дополнительно подтверждается выгрузкой из журнала регистрации событий в информационной системе персональных данных.
8. Акт об уничтожении персональных данных должен содержать:
наименование Общества и его адрес; фамилию, имя, отчество субъекта (субъектов) или иную информацию, относящуюся к определенному (определенным) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены; фамилию, имя, отчество, должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись; перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных; наименование уничтоженного материального (материальных) носителя (носителей), содержащего (содержащих) персональные данные субъекта (субъектов) персональных данных, с указанием количества листов в отношении каждого материального носителя (в случае обработки персональных данных без использования средств автоматизации); наименование информационной (информационных) системы (систем) персональных данных, из которой (которых) были уничтожены персональные данные субъекта (субъектов) персональных данных (в случае обработки персональных данных с использованием средств автоматизации); способ уничтожения персональных данных; причину уничтожения персональных данных; дату уничтожения персональных данных субъекта (субъектов) персональных данных.
9. Выгрузка из журнала должна содержать:
фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определенному (определенным) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены; перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных; наименование информационной системы персональных данных, из которой были уничтожены персональные данные субъекта (субъектов) персональных данных; причину уничтожения персональных данных; дату уничтожения персональных данных субъекта (субъектов) персональных данных.
10. Акт об уничтожении персональных данных и выгрузка из журнала подлежат хранению в течение 3 лет с момента уничтожения персональных данных.
ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
Работники Общества, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, установленных в Обществе, могут быть привлечены к дисциплинарной, материальной, гражданско-правовой, административной и уголовной ответственности в соответствии с законодательством Российской Федерации.
В случае изменений законодательства и иных нормативных правовых актов Российской Федерации, настоящая Политика, а также изменения к ней, применяются в части, не противоречащей вновь принятым актам.
Общество вправе вносить изменения в настоящую Политику. Уведомление Субъектов персональных данных производится путем публикации обновленной редакции Политики на сайте Общества. Изменения вступают в силу со дня опубликования. Продолжая использование сайта Общества, субъект персональных данных выражает согласие с условиями действующей редакции Политики.
В случае несогласия со внесенными изменениями, субъект персональных данных имеет право отозвать предоставленные ранее согласия либо направить в Общество уведомление о несогласии с изменениями Политики.
