Политика в отношении обработки персональных данных

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
Информационная система персональных данных- совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
Обезличивание персональных данных– действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных; Обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования.
Оператор персональных данных- государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
Персональные данные- любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
Предоставление персональных данных- данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
Субъект персональных данных физическое лицо, которое прямо или косвенно определено, или определяемо с помощью персональных данных;
Распространение персональных данных– действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
Трансграничная передача персональных данных– передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
1. Общие положения
1.1. Настоящий документ (далее – Политика) определяет политику в отношении обработки персональных данных.
1.2. Настоящая Политика разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных).
1.3. Понятия, содержащиеся в ст. 3 Закона о персональных данных, используются в настоящей Политике с аналогичным значением.
1.4. Действие настоящей Политики распространяется на все операции, совершаемые Оператором с персональными данными с использованием средств автоматизации или без их использования.
1.5. Основные права и обязанности Оператора.
1.5.1. Оператор имеет право:

• – получать от субъекта персональных данных достоверные информацию и/или документы, содержащие персональные данные;
• – требовать от субъекта персональных данных своевременного уточнения предоставленных персональных данных.

1.5.2. Оператор обязан:

• – обрабатывать персональные данные в порядке, установленном действующим законодательством РФ;
• – рассматривать обращения субъекта персональных данных (его законного представителя) по вопросам обработки персональных данных и давать мотивированные ответы;
• – предоставлять субъекту персональных данных (его законному представителю) возможность безвозмездного доступа к его персональным данным;
• – принимать меры по уточнению, уничтожению персональных данных субъекта персональных данных в связи с его (его законного представителя) обращением с законными и обоснованными требованиями;
• – организовывать защиту персональных данных в соответствии с требованиями законодательства РФ.

1.6. Основные права и обязанности субъектов персональных данных:
1.6.1. Субъекты персональных данных имеют право:

• – на полную информацию об их персональных данных, обрабатываемых Оператором;
• – на доступ к их персональным данным, включая право на получение копии любой записи, содержащей их персональные данные, за исключением случаев, предусмотренных федеральным законом;
• – на уточнение их персональных данных, их блокирование или уничтожение в случаях, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• – на отзыв согласия на обработку персональных данных;
• – на принятие предусмотренных законом мер по защите своих прав;
• – на осуществление иных прав, предусмотренных законодательством РФ.

1.6.2. Субъекты персональных данных обязаны:

• – предоставлять Оператору только достоверные данные о себе;
• – предоставлять документы, содержащие персональные данные в объеме, необходимом для цели обработки;
• – сообщать Оператору об уточнении (обновлении, изменении) своих персональных данных.

1.6.3. Лица, передавшие Оператору недостоверные сведения о себе, либо сведения о другом субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством РФ.
2. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных
2.1. Оператор может обрабатывать персональные данные следующих субъектов персональных данных:

• – работники Оператора, бывшие работники, кандидаты на вакантные должности, а также родственники работников;
• – клиенты и контрагенты Оператора (физические лица);
• – представители/работники клиентов и контрагентов Оператора (юридических лиц);
• – посетители сайта (сайтов) Оператора (далее – Сайт и Сайты);
• – клиенты Оператора, обратившиеся по телефону или на горячую линию.

2.2. К персональным данным, обрабатываемым Оператором, относятся:
2.2.1. В случае, если субъектами персональных данных являются работники Оператора, бывшие работники, кандидаты на вакантные должности, а также родственники работников:

• – фамилия, имя, отчество субъекта персональных данных;
• – дата и место рождения;
• – сведения о гражданстве;
• – адрес постоянной регистрации;
• – адрес фактического места жительства;
• – семейное положение;
• – сведения о паспорте гражданина Российской Федерации и заграничных паспортах;
• – сведения о водительском удостоверении;
• – сведения об отношении к воинской обязанности;
• – сведения об образовании;
• – сведения о профессиональной деятельности;
• – сведения о ближайших родственниках (степень родства, фамилия, имя, отчество, дата и место рождения, домашний адрес, место работы, учебы);
• – номер мобильного телефона;
• – адрес электронной почты (e-mail).
• 2.2.2. В случае, если субъектами персональных данных являются клиенты Оператора (физические лица):
• – фамилия, имя, отчество субъекта персональных данных;
• – дата и место рождения;
• – сведения о гражданстве;
• – адрес постоянной регистрации;
• – адрес фактического места жительства;
• – сведения о документе, подтверждающем личность гражданина Российской Федерации (серия, номер, кем выдан);
• – номер мобильного телефона;
• – адрес электронной почты (e-mail);
• – сведения о состоянии здоровья;
• – иные персональные данные, необходимые для исполнения договорных обязательств.
• 2.2.3. В случае, если субъектами персональных данных являются контрагенты Оператора (физические лица, оказывающие услуги по договору без образования юр. лица (самозанятые, ИП)):
• – фамилия, имя, отчество субъекта персональных данных;
• – дата и место рождения;
• – сведения о гражданстве;
• – адрес постоянной регистрации;
• – адрес фактического места жительства;
• – сведения о паспорте гражданина Российской Федерации;
• – номер мобильного телефона;
• – адрес электронной почты (e-mail);
• – иные персональные данные, необходимые для исполнения договорных обязательств.
• 2.2.4. В случае, если субъектами персональных данных являются представители/работники клиентов и контрагентов Оператора (юридических лиц):
• – фамилия, имя, отчество субъекта персональных данных;
• – дата и место рождения;
• – адрес постоянной регистрации;
• – адрес фактического места жительства;
• – сведения о паспорте гражданина Российской Федерации;
• – номер мобильного телефона;
• – адрес электронной почты (e-mail);
• – иные персональные данные, необходимые для исполнения договорных обязательств.
• 2.2.5. В случае, если субъектами персональных данных являются посетители сайта (сайтов) Оператора:
• – фамилия, имя, отчество субъекта персональных данных;
• – дата рождения;
• – адрес электронной почты (e-mail);
• – файлы- cookie
• – номер мобильного телефона.
• 2.2.6. В случае, если субъектами персональных данных являются клиенты Оператора, обратившиеся по телефону или на горячую линию:
• – фамилия, имя, отчество субъекта персональных данных;
• – запись телефонного разговора;
• – номер телефона;
• – адрес электронной почты (e-mail).
• 2.3. Оператор обеспечивает соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки и, в случае необходимости, принимает меры по устранению их избыточности по отношению к заявленным целям обработки.
• 2.4. Оператор обрабатывает биометрические персональные данные при условии письменного согласия соответствующих субъектов персональных данных, а также в иных случаях, предусмотренных законодательством Российской Федерации.
• 2.5. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, Оператором не осуществляется.
• 2.6. Трансграничная передача персональных данных Оператором не осуществляется.
• 3. Цели сбора персональных данных
• 3.1. Персональные данные обрабатываются Оператором в следующих целях:
• – заключение с субъектами персональных данных любых договоров и их дальнейшего исполнения;
• – предоставление субъектам персональных данных сервисов и услуг, а также информации о разработке Оператором новых продуктов и услуг, в том числе рекламного характера;
• – обратная связь с субъектами персональных данных, в том числе обработка их запросов и обращений, информирование о работе Оператора;
• – контроль и улучшение качества услуг и сервисов Оператора, в том числе предложенных на Сайте (Сайтах);
• – ведение кадровой работы и организации учета работников Оператора, регулирование трудовых и иных, непосредственно связанных с ними отношений;
• – привлечение и отбор кандидатов на трудоустройство;
• – формирование статистической отчетности;
• – осуществление хозяйственной деятельности;
• – осуществление иных функций, полномочий и обязанностей, возложенных на Оператора законодательством РФ.
• 4. Правовые основания обработки персональных данных
• 4.1. Правовыми основаниями обработки персональных данных Оператором являются:
• – “Конституция Российской Федерации” (принята всенародным голосованием 12.12.1993 с изменениями, одобренными в ходе общероссийского голосования 01.07.2020);
• – “Трудовой кодекс Российской Федерации” от 30.12.2001 N 197-ФЗ (ред. от 30.04.2021) (с изм. и доп., вступ. в силу с 01.05.2021) Гражданский кодекс Российской Федерации (ГК РФ) от 30.11.1994 года N 51-ФЗ;
• – Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• – Закон РФ от 27 декабря 1991 г. № 2124-1 «О средствах массовой информации»;
• – Федеральный закон от 26 декабря 2008 г. № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля»;
• – Указ Президента РФ от 6 марта 1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера»;
• – Постановление Правительства Российской Федерации от 06 июля 2008 г. № 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;
• – Постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• – Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• – Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• – уставные документы Оператора;
• – договоры, заключаемые между Оператором и субъектами персональных данных;
• – согласия субъектов персональных данных на обработку персональных данных;
• – иные основания, когда согласие на обработку персональных данных не требуется в силу закона.
• 5. Порядок и условия обработки персональных данных
• 5.1. Обработка персональных данных Оператором осуществляется следующими способами:
• – неавтоматизированная обработка персональных данных;
• – автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники (п. 4 ст. 3 152-ФЗ).
• 5.2. Перечень действий, совершаемых Оператором с персональными данными: сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передача), обезличивание, блокирование, уничтожение, а также осуществление любых иных действий в соответствии с действующим законодательством РФ.
• 5.3. Обработка персональных данных осуществляется Оператором при условии получения согласия субъекта персональных данных (далее – Согласие), за исключением установленных законодательством РФ случаев, когда обработка персональных данных может осуществляться без такого Согласия.
• 5.4. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает Согласие свободно, своей волей и в своем интересе.
• 5. p 5. Согласие дается в любой позволяющей подтвердить факт его получения форме. В предусмотренных законодательством РФ случаях Согласие оформляется в письменной форме.
• 5.6. Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, истечение срока действия Согласия или отзыв Согласия субъектом персональных данных, а также выявление неправомерной обработки персональных данных.
• 5.7. Согласие может быть отозвано путем письменного уведомления, направленного в адрес Оператора заказным почтовым отправлением.
• 5.8. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено Федеральным законом, на основании заключаемого договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные 152-ФЗ «О персональных данных» и настоящей Политикой.
• В соответствии с требованиями 152-ФЗ «О персональных данных» в договорах с лицами, осуществляющими обработку персональных данных по поручению Оператора, определен перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, установлены обязанности такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, указываются требования к защите обрабатываемых персональных в соответствии со ст.19 152-ФЗ «О персональных данных». Перечень третьих лиц утверждается приказом и предоставляется по письменному запросу.
• 5.9. Оператор при обработке персональных данных принимает или обеспечивает принятие необходимых правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
• 5.10. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, в течение срока не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных.
• 5.11. При осуществлении хранения персональных данных Оператор использует базы данных, находящиеся на территории РФ.
• 5.12. Cроки обработки персональных данных определены с учетом:
• – установленных целей обработки персональных данных;
• – сроков действия договоров с субъектами персональных данных и согласий субъектов персональных данных на обработку их персональных данных;
• – Приказ Росархива от 20.12.2019 N 236 “Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения” (Зарегистрировано в Минюсте России 06.02.2020 N 57449)
• -сроков хранения документации, установленных внутренними нормативными актами Оператора.
• Прекращение обработки персональных данных осуществляется по истечении установленных сроков обработки персональных данных, при отзыве согласия субъекта персональных данных на обработку его персональных данных (за исключением случаев, когда Оператор вправе продолжить обработку персональных данных на ином правовом основании), при достижении цели обработки персональных данных или утрате необходимости в достижении цели, а также при выявлении неправомерной обработки персональных данных.
• 6. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов персональных данных на доступ к персональным данным
• 6.1. Субъект персональных данных имеет право обращаться к Оператору по вопросам обработки своих персональных данных в следующих случаях:
• – для получения информации, касающейся обработки его (субъекта) персональных данных:
• – для уточнения своих персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленной цели обработки;
• – для подачи жалобы на неправомерную обработку его (субъекта) персональных данных;
• – для отзыва своего согласия на обработку персональных данных.
• 6.2. Согласно требованиям 152-ФЗ «О персональных данных» запрос должен содержать, в частности:
• – серию, номер документа, удостоверяющего личность субъекта персональных данных (его представителя), сведения о дате выдачи указанного документа и выдавшем его органе;
• – сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
• – подпись субъекта персональных данных (его представителя);
• – в случае, если запрос направлен представителем субъекта персональных данных, он должен содержать документ (копию документа), подтверждающий полномочия данного представителя.
• 6.3. В случае отзыва субъектом персональных данных данного им согласия на обработку персональных данных соответствующий запрос должен соответствовать условиям, указанным в таком согласии.
• Ответ на запрос направляется субъекту персональных данных или его представителю в срок, не превышающий 30 (тридцать) дней со дня обращения.
• 6.4. При отказе в предоставлении информации или осуществления действия, отраженного в запросе, субъекту направляется мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 152-ФЗ «О персональных данных» или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий 30 (тридцати) дней со дня обращения субъекта персональных данных или его представителя.
• 6.5. Субъект персональных данных может повторно обратиться к Оператору для получения информации, касающейся обработки его (субъекта) персональных данных не ранее, чем через 30 (тридцать) дней после первоначального обращения или направления первоначального запроса. В случае, если субъекту персональных данных была предоставлена информация не в полном объеме по результатам рассмотрения первоначального обращения, субъект может повторно обратиться к Оператору раньше установленного срока, указав обоснование направления повторного запроса.
• 6. Оператор вправе отказать субъекту персональных данных в выполнении повторного запроса при наличии доказательств обоснованности отказа.
• 6.7. В случае выявления неправомерной обработки персональных данных или неточных персональных данных Оператор обеспечивает блокирование персональных данных (в том числе при обработке персональных данных другим лицом, действующим по поручению Оператора), на период проведения проверки.
• 6.8. В случае подтверждения факта неточности персональных данных Оператор обеспечивает уточнение персональных данных (в том числе при обработке персональных данных другим лицом, действующим по поручению), в течение 7 (семи) рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
• 6.9. В случае выявления неправомерной обработки персональных данных Оператор в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, обеспечивает прекращение неправомерной обработки персональных данных (в том числе при обработке персональных данных другим лицом, действующим по поручению). В случае, если обеспечить правомерность обработки персональных данных невозможно, Оператор в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Оператор обязан уведомить субъекта персональных данных или его представителя, либо уполномоченный орган по защите прав субъектов персональных данных (если запрос был направлен указанным органом).
• 6.10. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Оператор обеспечивает уничтожение персональных данных (в том числе при обработке персональных данных третьим лицом, действующим по поручению), в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва (за исключением случаев мотивированного отказа в отзыве согласия, установленных законодательством Российской Федерации).
• 6.11. По истечению сроков хранения персональных данных, Оператор обеспечивает уничтожение персональных данных (в том числе при обработке персональных данных третьим лицом, действующим по поручению), в срок, не превышающий 30 (тридцати) дней.
• 6.12. В случае отсутствия возможности уничтожения персональных данных в течение установленного срока, Оператор обеспечивает блокирование таких персональных данных (в том числе при обработке персональных данных третьим лицом, действующим по поручению), и обеспечивает уничтожение персональных данных в срок не более чем 6 (шесть) месяцев, если иной срок не установлен законодательством Российской Федерации.
• 7. Обеспечение конфиденциальности и безопасности персональных данных при их обработке
• 7.1. Безопасность персональных данных, обрабатываемых Оператором, обеспечивается принятием правовых, организационных и технических мер, определенных действующим законодательством Российской Федерации, а также внутренними нормативными документами Оператора в области защиты информации.
• 7.2. Обеспечение Оператором защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных достигается, в частности, следующими принятыми мерами:
• – назначение лица, ответственного за организацию обработки персональных данных;
• – назначение лица, ответственного за обеспечение безопасности персональных данных, обрабатываемых в информационных системах персональных данных;
• – определение перечня работников, имеющих доступ к персональным данным;
• – разработка и утверждение организационно-распорядительных документов, определяющих порядок обработки персональных данных;
• – определение перечня мест хранения материальных носителей персональных данных;
• – организация порядка уничтожения персональных данных по истечении срока их обработки;
• – учет машинных носителей персональных данных;
• – определение угроз безопасности персональных данных при их обработке, формирование на их основе модели угроз;
• – проведение внутренних проверок за соблюдением требований по обеспечению безопасности персональных данных;
• – ознакомление работников Оператора, осуществляющих обработку персональных данных, с требованиями законодательства Российской Федерации, организационно-распорядительными документами, определяющими порядок обработки и обеспечения безопасности персональных данных;
• – повышение уровня осведомленности работников о требованиях по обеспечению безопасности персональных данных;
• – проведение оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения 152-ФЗ «О персональных данных», соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей, предусмотренных 152-ФЗ «О персональных данных»;
• – физическая защита помещений, в которых осуществляется обработка персональных данных (пропускной режим, электронная система доступа в помещения, видеонаблюдение);
• – обеспечение антивирусной защиты информационных систем персональных данных;
• – обновление программного обеспечения на регулярной основе;
• – защита сетевой инфраструктуры (разграничение доступа, межсетевое экранирование);
• – обеспечение отказоустойчивости и резервного копирования;
• – определение правил доступа к персональным данным, обрабатываемых в информационных системах персональных данных;
• – регистрация и учет событий информационной безопасности;
• – определение порядка реагирования на инциденты информационной безопасности;
• – проведение внешних тестирований на проникновение;
• – применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
• – проведение оценки эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных.
• 7.3. Обеспечение конфиденциальности персональных данных, обрабатываемых Оператором, является обязательным требованием для всех работников Оператора, допущенных к обработке персональных данных в связи с исполнением трудовых обязанностей. Все работники, имеющие действующие трудовые отношения, деятельность которых связана с получением, обработкой и защитой персональных данных, подписывают обязательство о неразглашении, проходят инструктажи по обеспечению информационной безопасности под подпись и несут персональную ответственность за соблюдение требований по обработке и обеспечению безопасности персональных данных.
• 8. Заключительные положения
• 8.1. Все отношения, касающиеся обработки персональных данных, не получившие отражения в настоящей Политике, регулируются согласно положениям законодательства РФ.
• 8.2. Оператор имеет право вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента ее утверждения.