Политика в отношении обработки персональных данных
1. Общие положения
2. Правовые основания обработки персональных данных
1.1. Настоящая политика обработки персональных данных в ООО «АДМ-Хорошие Вывески» (далее – Политика) разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - Федеральный закон "О персональных данных") в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, оператором которых является ООО «АДМ-Хорошие Вывески» (далее Оператор), определяет основные принципы, цели, условия и способы обработки персональных данных, перечни субъектов и обрабатываемых Оператором персональных данных, функции при обработке персональных данных, права субъектов персональных данных, а также реализуемые Оператором требования к защите персональных данных.
1.2. Политика действует в отношении всех персональных данных, которые обрабатывает Оператор и распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики.
1.3. Положения Политики служат основой для разработки локальных нормативных актов, регламентирующих вопросы обработки персональных данных работников Оператора и других субъектов персональных данных.
1.4. Во исполнение требований ч. 2 ст. 18.1 Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных" Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте Оператора.
1.2. Политика действует в отношении всех персональных данных, которые обрабатывает Оператор и распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики.
1.3. Положения Политики служат основой для разработки локальных нормативных актов, регламентирующих вопросы обработки персональных данных работников Оператора и других субъектов персональных данных.
1.4. Во исполнение требований ч. 2 ст. 18.1 Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных" Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте Оператора.
2.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе:
Конституция Российской Федерации;
-Трудовой кодекс Российской Федерации;
-Гражданский кодекс Российской Федерации;
-Федеральный закон от 08.02.1998 N 14-ФЗ "Об обществах с ограниченной ответственностью";
-Федеральный закон от 06.12.2011 N 402-ФЗ "О бухгалтерском учете";
-Федеральный закон от 15.12.2001 N 167-ФЗ "Об обязательном пенсионном страховании в Российской Федерации";
-Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных";
-иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.
-принимаемые в соответствии с нормативными правовыми актами внутренние нормативные документы Оператора, а также согласие субъектов персональных данных на обработку их персональных данных в случаях, предусмотренных законодательством Российской Федерации в области персональных данных.
Конституция Российской Федерации;
-Трудовой кодекс Российской Федерации;
-Гражданский кодекс Российской Федерации;
-Федеральный закон от 08.02.1998 N 14-ФЗ "Об обществах с ограниченной ответственностью";
-Федеральный закон от 06.12.2011 N 402-ФЗ "О бухгалтерском учете";
-Федеральный закон от 15.12.2001 N 167-ФЗ "Об обязательном пенсионном страховании в Российской Федерации";
-Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных";
-иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.
-принимаемые в соответствии с нормативными правовыми актами внутренние нормативные документы Оператора, а также согласие субъектов персональных данных на обработку их персональных данных в случаях, предусмотренных законодательством Российской Федерации в области персональных данных.
3. Основные понятия, используемые в Политике:
4. Цели обработки персональных данных
персональные данные — любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных);
персональные данные, разрешенные субъектом персональных данных для распространения, — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом;
оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
персональные данные, разрешенные субъектом персональных данных для распространения, — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом;
оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
4.1. Оператор, являясь оператором персональных данных, осуществляет обработку персональных данных работников Оператора, физических лиц, уволившихся из Оператора, физических лиц, являющихся кандидатами на работу, физический лиц, заключивших с Оператором договор гражданско-правового характера и других субъектов персональных данных.
4.2. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
4.3. Персональные данные обрабатываются Оператором в целях:
-обеспечения соблюдения Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации, локальных нормативных актов Оператора;
-осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Оператора;
-регулирования трудовых отношений с работниками Оператора, ведения кадровой работы и организации учета работников, регулирование трудовых и иных, непосредственно связанных с ними отношений, в том числе: содействие работникам в трудоустройстве, получении образования и продвижении по службе, привлечение и отбор кандидатов на работу у Оператора, а также выполнение требований трудового, налогового законодательства, воинского учета, государственного статистического учета и иных предусмотренных действующим законодательством требований
-защиты жизни, здоровья или иных жизненно важных интересов субъектов персональных данных;
-подготовки, заключения, исполнения и прекращения договоров с контрагентами;
-обеспечения пропускного и внутриобъектового режимов на объектах Оператора;
-обеспечение сохранности имущества, ведение кадрового и бухгалтерского учета
-исполнения судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
-осуществления прав и законных интересов Оператора в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами Оператора, или третьих лиц либо достижения общественно значимых целей;
-в иных законных целях.
4.4. Обработка персональных данных работников может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов.
4.2. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
4.3. Персональные данные обрабатываются Оператором в целях:
-обеспечения соблюдения Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации, локальных нормативных актов Оператора;
-осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Оператора;
-регулирования трудовых отношений с работниками Оператора, ведения кадровой работы и организации учета работников, регулирование трудовых и иных, непосредственно связанных с ними отношений, в том числе: содействие работникам в трудоустройстве, получении образования и продвижении по службе, привлечение и отбор кандидатов на работу у Оператора, а также выполнение требований трудового, налогового законодательства, воинского учета, государственного статистического учета и иных предусмотренных действующим законодательством требований
-защиты жизни, здоровья или иных жизненно важных интересов субъектов персональных данных;
-подготовки, заключения, исполнения и прекращения договоров с контрагентами;
-обеспечения пропускного и внутриобъектового режимов на объектах Оператора;
-обеспечение сохранности имущества, ведение кадрового и бухгалтерского учета
-исполнения судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
-осуществления прав и законных интересов Оператора в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами Оператора, или третьих лиц либо достижения общественно значимых целей;
-в иных законных целях.
4.4. Обработка персональных данных работников может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов.
5. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных
6. Основные права и обязанности оператора персональных данных
5.1. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки, предусмотренным в разделе 4 настоящей Политики. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
5.2. Оператор может обрабатывать персональные данные следующих категорий субъектов персональных данных.
1) клиенты (потенциальные клиенты) /потребители услуг: фамилия, имя, отчество, адрес регистрации по месту жительства, адрес фактического проживания, паспортные данные, контактные данные, ИНН, СНИЛС, банковские реквизиты, профессия и/или должность.
2)работники, бывшие работники, кандидаты/соискатели вакантных мест: фамилия, имя, отчество, адрес электронной почты, паспортные данные (серия, номер, кем и когда выдан), гражданство, дата и место рождения, контактные данные, адрес проживания и/или адрес регистрации, сведения об образовании, опыте работы, квалификации; иные персональные данные, сообщаемые в резюме и сопроводительных письмах, изображение (фотография), индивидуальный номер налогоплательщика; страховой номер индивидуального лицевого счета (СНИЛС); пол, возраст, семейное положение, наличие детей, родственные связи; сведения о трудовой деятельности, в том числе наличие поощрений, награждений и (или) дисциплинарных взысканий; данные о регистрации брака; сведения о воинском учете; сведения об инвалидности; сведения о водительском удостоверении. сведения о состоянии здоровья; сведения об удержании алиментов; сведения о доходе с предыдущего места работы; иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства.
3)Представители (работники) клиентов и контрагентов Оператора (юридических лиц): фамилия, имя, отчество; паспортные данные; контактные данные; замещаемая должность; иные персональные данные, предоставляемые представителями (работниками) клиентов и контрагентов, необходимые для заключения и исполнения договоров.
5.3. Обработка Оператором биометрических персональных данных (сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность) допускается только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации.
5.4. Оператором не осуществляется обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, за исключением случаев, предусмотренных законодательством РФ.
5.5. Трансграничная передача данных Оператором не осуществляется.
5.6. Обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется в Компании на основании согласия субъекта персональных данных на распространение с соблюдением установленных субъектом персональных данных запретов и условий на обработку персональных данных.
5.2. Оператор может обрабатывать персональные данные следующих категорий субъектов персональных данных.
1) клиенты (потенциальные клиенты) /потребители услуг: фамилия, имя, отчество, адрес регистрации по месту жительства, адрес фактического проживания, паспортные данные, контактные данные, ИНН, СНИЛС, банковские реквизиты, профессия и/или должность.
2)работники, бывшие работники, кандидаты/соискатели вакантных мест: фамилия, имя, отчество, адрес электронной почты, паспортные данные (серия, номер, кем и когда выдан), гражданство, дата и место рождения, контактные данные, адрес проживания и/или адрес регистрации, сведения об образовании, опыте работы, квалификации; иные персональные данные, сообщаемые в резюме и сопроводительных письмах, изображение (фотография), индивидуальный номер налогоплательщика; страховой номер индивидуального лицевого счета (СНИЛС); пол, возраст, семейное положение, наличие детей, родственные связи; сведения о трудовой деятельности, в том числе наличие поощрений, награждений и (или) дисциплинарных взысканий; данные о регистрации брака; сведения о воинском учете; сведения об инвалидности; сведения о водительском удостоверении. сведения о состоянии здоровья; сведения об удержании алиментов; сведения о доходе с предыдущего места работы; иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства.
3)Представители (работники) клиентов и контрагентов Оператора (юридических лиц): фамилия, имя, отчество; паспортные данные; контактные данные; замещаемая должность; иные персональные данные, предоставляемые представителями (работниками) клиентов и контрагентов, необходимые для заключения и исполнения договоров.
5.3. Обработка Оператором биометрических персональных данных (сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность) допускается только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации.
5.4. Оператором не осуществляется обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, за исключением случаев, предусмотренных законодательством РФ.
5.5. Трансграничная передача данных Оператором не осуществляется.
5.6. Обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется в Компании на основании согласия субъекта персональных данных на распространение с соблюдением установленных субъектом персональных данных запретов и условий на обработку персональных данных.
6.1. Оператор имеет право:
1) самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных законодательством о персональных данных;
2) поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора.
3) в случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, установленных законодательством о персональных данных.
6.2. Оператор обязан:
1) организовывать обработку персональных данных в соответствии с требованиями законодательства о персональных данных;
2) отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями законодательства о персональных данных;
3) сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение 10 рабочих дней с даты получения такого запроса. Данный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить в Роскомнадзор мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации;
4) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование его о компьютерных инцидентах, которые повлекли неправомерную передачу (предоставление, распространение, доступ) персональных данных.
5) принимать меры, необходимые и достаточные для обеспечения выполнения требований законодательства Российской Федерации и локальных нормативных актов Оператора в области персональных данных, в том числе правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
6) прекращать обработку и уничтожать персональные данные в случаях, предусмотренных законодательством Российской Федерации в области персональных данных;
7) совершать иные действия, предусмотренные законодательством Российской Федерации в области персональных данных.
1) самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных законодательством о персональных данных;
2) поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора.
3) в случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, установленных законодательством о персональных данных.
6.2. Оператор обязан:
1) организовывать обработку персональных данных в соответствии с требованиями законодательства о персональных данных;
2) отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями законодательства о персональных данных;
3) сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение 10 рабочих дней с даты получения такого запроса. Данный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить в Роскомнадзор мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации;
4) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование его о компьютерных инцидентах, которые повлекли неправомерную передачу (предоставление, распространение, доступ) персональных данных.
5) принимать меры, необходимые и достаточные для обеспечения выполнения требований законодательства Российской Федерации и локальных нормативных актов Оператора в области персональных данных, в том числе правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
6) прекращать обработку и уничтожать персональные данные в случаях, предусмотренных законодательством Российской Федерации в области персональных данных;
7) совершать иные действия, предусмотренные законодательством Российской Федерации в области персональных данных.
7. Основные права субъекта персональных данных:
8. Порядок и условия обработки персональных данных
Субъект персональных данных имеет право:
1) получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются субъекту персональных данных Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных. Перечень информации и порядок ее получения установлен Законом о персональных данных;
2) доступа к своим персональным данным, включая право на получение копии любой записи, содержащей их персональные данные, за исключением случаев, предусмотренных законодательством Российской Федерации;
3) требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
4) дать предварительное согласие на обработку персональных данных в целях продвижения на рынке товаров, работ и услуг;
5) отозвать согласие на обработку персональных данных
6) обжаловать в административном или в судебном порядке неправомерные действия или бездействие Оператора при обработке его персональных данных.
7) осуществление иных прав, предусмотренных законодательством Российской Федерации.
1) получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются субъекту персональных данных Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных. Перечень информации и порядок ее получения установлен Законом о персональных данных;
2) доступа к своим персональным данным, включая право на получение копии любой записи, содержащей их персональные данные, за исключением случаев, предусмотренных законодательством Российской Федерации;
3) требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
4) дать предварительное согласие на обработку персональных данных в целях продвижения на рынке товаров, работ и услуг;
5) отозвать согласие на обработку персональных данных
6) обжаловать в административном или в судебном порядке неправомерные действия или бездействие Оператора при обработке его персональных данных.
7) осуществление иных прав, предусмотренных законодательством Российской Федерации.
8.1. Обработка персональных данных осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации.
8.2. Обработка персональных данных осуществляется с согласия субъектов персональных данных на обработку их персональных данных, а также без такового в случаях, предусмотренных законодательством Российской Федерации.
8.3. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.
8.4. Оператор осуществляет обработку персональных данных для каждой цели их обработки следующими способами:
- неавтоматизированная обработка персональных данных;
-автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
-смешанная обработка персональных данных.
8.5. К обработке персональных данных допускаются работники Оператора, в должностные обязанности которых входит обработка персональных данных.
8.6. Обработка персональных данных для каждой цели обработки, указанной разделе 4 настоящей Политики, осуществляется путем:
-получения персональных данных в устной и письменной форме непосредственно от субъектов персональных данных;
-внесения персональных данных в журналы, реестры и информационные системы Оператора;
-использования иных способов обработки персональных данных.
8.7. Не допускается раскрытие третьим лицам и распространение персональных данных без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.
8.8. Передача персональных данных органам дознания и следствия, уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.
8.9. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в том числе:
- определяет угрозы безопасности персональных данных при их обработке;
-принимает локальные нормативные акты и иные документы, регулирующие отношения в сфере обработки и защиты персональных данных;
-назначает лиц, ответственных за обеспечение безопасности персональных данных в структурных подразделениях и информационных системах Оператора;
-создает необходимые условия для работы с персональными данными;
-организует учет документов, содержащих персональные данные;
-организует работу с информационными системами, в которых обрабатываются персональные данные;
-хранит персональные данные в условиях, при которых обеспечивается их сохранность и исключается неправомерный доступ к ним;
-организует обучение работников Оператора, осуществляющих обработку персональных данных.
8.10. Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требует каждая цель обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором.
8.11. Персональные данные на бумажных носителях хранятся у Оператора в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ
8.12. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.
8.13. Обработка персональных данных Оператором допускается в случаях, когда:
-осуществляется обработка с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством Российской Федерации в области персональных данных;
-обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
-обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
-обработка осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в ст. 15 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных", при условии обязательного обезличивания персональных данных;
-осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
-иных случаях, предусмотренных законодательством Российской Федерации.
8.14. Оператор прекращает обработку персональных данных в следующих случаях:
1) выявлен факт их неправомерной обработки. Срок - в течение трех рабочих дней с даты выявления;
2) достигнута цель их обработки;
3) истек срок действия или отозвано согласие субъекта персональных данных на обработку указанных данных, в случае, когда согласно законодательству обработка этих данных допускается только с согласия.
8.15. При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку Оператор прекращает обработку этих данных, если:
1) иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных;
2) Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных законодательством о персональных данных;
3)иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.
8.16. При обращении субъекта персональных данных к Оператору с требованием о прекращении обработки персональных данных в срок, не превышающий 10 рабочих дней с даты получения Оператором соответствующего требования, обработка персональных данных прекращается, за исключением случаев, предусмотренных законодательством о персональных данных. Указанный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить субъекту персональных данных мотивированное уведомление с указанием причин продления срока.
8.17. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в законодательстве о персональных данных.
8.18. Оператор принимает все необходимые меры для обеспечения защиты персональных данных, в том числе,
-назначение лица, ответственного за организацию обработки персональных данных;
-принятие локальных нормативных актов и иных документов в области обработки и защиты персональных данных;
-соблюдение условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним;
-обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;
-организацию обучения и проведение методической работы с работниками Оператора, допущенными к работе с персональными данными, в том числе посредством информационных систем;
-получение согласий субъектов персональных данных на обработку их персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации;
-обособление персональных данных, обрабатываемых без использования средств автоматизации, от иной информации, в частности путем их фиксации на отдельных материальных носителях персональных данных, в специальных разделах;
-обеспечение раздельного хранения персональных данных и их материальных носителей, обработка которых осуществляется в разных целях и которые содержат разные категории персональных данных;
-обеспечение безопасности персональных данных при их передаче по открытым каналам связи;
-определение актуальных угроз безопасности персональных данных при их обработке в информационной системе персональных данных и разработка мер и мероприятий по защите персональных данных;
-установление индивидуальных паролей доступа работников в информационную систему в соответствии с производственными обязанностями;
-применение сертифицированного антивирусного программного обеспечения с регулярно обновляемыми базами;
-хранение материальных носителей персональных данных с соблюдением условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним;
осуществление внутреннего контроля соответствия обработки персональных данных законодательству, настоящей Политике, локальным нормативным актам Оператора.
8.2. Обработка персональных данных осуществляется с согласия субъектов персональных данных на обработку их персональных данных, а также без такового в случаях, предусмотренных законодательством Российской Федерации.
8.3. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.
8.4. Оператор осуществляет обработку персональных данных для каждой цели их обработки следующими способами:
- неавтоматизированная обработка персональных данных;
-автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
-смешанная обработка персональных данных.
8.5. К обработке персональных данных допускаются работники Оператора, в должностные обязанности которых входит обработка персональных данных.
8.6. Обработка персональных данных для каждой цели обработки, указанной разделе 4 настоящей Политики, осуществляется путем:
-получения персональных данных в устной и письменной форме непосредственно от субъектов персональных данных;
-внесения персональных данных в журналы, реестры и информационные системы Оператора;
-использования иных способов обработки персональных данных.
8.7. Не допускается раскрытие третьим лицам и распространение персональных данных без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.
8.8. Передача персональных данных органам дознания и следствия, уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.
8.9. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в том числе:
- определяет угрозы безопасности персональных данных при их обработке;
-принимает локальные нормативные акты и иные документы, регулирующие отношения в сфере обработки и защиты персональных данных;
-назначает лиц, ответственных за обеспечение безопасности персональных данных в структурных подразделениях и информационных системах Оператора;
-создает необходимые условия для работы с персональными данными;
-организует учет документов, содержащих персональные данные;
-организует работу с информационными системами, в которых обрабатываются персональные данные;
-хранит персональные данные в условиях, при которых обеспечивается их сохранность и исключается неправомерный доступ к ним;
-организует обучение работников Оператора, осуществляющих обработку персональных данных.
8.10. Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требует каждая цель обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором.
8.11. Персональные данные на бумажных носителях хранятся у Оператора в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ
8.12. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.
8.13. Обработка персональных данных Оператором допускается в случаях, когда:
-осуществляется обработка с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством Российской Федерации в области персональных данных;
-обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
-обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
-обработка осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в ст. 15 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных", при условии обязательного обезличивания персональных данных;
-осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
-иных случаях, предусмотренных законодательством Российской Федерации.
8.14. Оператор прекращает обработку персональных данных в следующих случаях:
1) выявлен факт их неправомерной обработки. Срок - в течение трех рабочих дней с даты выявления;
2) достигнута цель их обработки;
3) истек срок действия или отозвано согласие субъекта персональных данных на обработку указанных данных, в случае, когда согласно законодательству обработка этих данных допускается только с согласия.
8.15. При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку Оператор прекращает обработку этих данных, если:
1) иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных;
2) Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных законодательством о персональных данных;
3)иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.
8.16. При обращении субъекта персональных данных к Оператору с требованием о прекращении обработки персональных данных в срок, не превышающий 10 рабочих дней с даты получения Оператором соответствующего требования, обработка персональных данных прекращается, за исключением случаев, предусмотренных законодательством о персональных данных. Указанный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить субъекту персональных данных мотивированное уведомление с указанием причин продления срока.
8.17. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в законодательстве о персональных данных.
8.18. Оператор принимает все необходимые меры для обеспечения защиты персональных данных, в том числе,
-назначение лица, ответственного за организацию обработки персональных данных;
-принятие локальных нормативных актов и иных документов в области обработки и защиты персональных данных;
-соблюдение условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним;
-обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;
-организацию обучения и проведение методической работы с работниками Оператора, допущенными к работе с персональными данными, в том числе посредством информационных систем;
-получение согласий субъектов персональных данных на обработку их персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации;
-обособление персональных данных, обрабатываемых без использования средств автоматизации, от иной информации, в частности путем их фиксации на отдельных материальных носителях персональных данных, в специальных разделах;
-обеспечение раздельного хранения персональных данных и их материальных носителей, обработка которых осуществляется в разных целях и которые содержат разные категории персональных данных;
-обеспечение безопасности персональных данных при их передаче по открытым каналам связи;
-определение актуальных угроз безопасности персональных данных при их обработке в информационной системе персональных данных и разработка мер и мероприятий по защите персональных данных;
-установление индивидуальных паролей доступа работников в информационную систему в соответствии с производственными обязанностями;
-применение сертифицированного антивирусного программного обеспечения с регулярно обновляемыми базами;
-хранение материальных носителей персональных данных с соблюдением условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним;
осуществление внутреннего контроля соответствия обработки персональных данных законодательству, настоящей Политике, локальным нормативным актам Оператора.
9. Актуализация, исправление, удаление, уничтожение персональных данных, ответы на запросы субъектов персональных данных
9.1. Подтверждение факта обработки персональных данных Оператором, правовые основания и цели обработки персональных данных, а также иные сведения, предусмотренные законодательством о персональных данных, предоставляются Оператором субъекту персональных данных или его представителю в течение 10 рабочих дней с момента обращения либо получения запроса субъекта персональных данных или его представителя. Данный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору следует направить субъекту персональных данных мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации.
В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
Оператор предоставляет указанные сведения субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
Если в обращении (запросе) субъекта персональных данных не отражены в соответствии с требованиями Федерального закона "О персональных данных" все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.
Право субъекта персональных данных на доступ к его персональным данным может быть ограничено по основаниям, предусмотренным действующим законодательством, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
9.2. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом или иных необходимых документов, уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
9.3. В случае выявления неправомерной обработки персональных данных при обращении (запросе) субъекта персональных данных или его представителя либо уполномоченного органа Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения запроса.
9.4. При выявлении Оператором, уполномоченным органом или иным заинтересованным лицом факта неправомерной или случайной передачи (предоставления, распространения) персональных данных (доступа к персональным данным), повлекшей нарушение прав субъектов персональных данных, Оператор:
1) в течение 24 часов - уведомляет уполномоченный орган р о произошедшем инциденте, предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, предполагаемом вреде, нанесенном правам субъектов персональных данных, и принятых мерах по устранению последствий инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по вопросам, связанным с инцидентом;
2) в течение 72 часов - уведомляет уполномоченный орган о результатах внутреннего расследования выявленного инцидента и предоставляет сведения о лицах, действия которых стали его причиной (при наличии).
9.5. Порядок уничтожения персональных данных Оператором.
9.5.1. Условия и сроки уничтожения персональных данных Оператором:
- достижение цели обработки персональных данных либо утрата необходимости достигать эту цель - в течение 30 дней;
- достижение максимальных сроков хранения документов, содержащих персональные данные, - в течение 30 дней;
- предоставление субъектом персональных данных (его представителем) подтверждения того, что персональные данные получены незаконно или не являются необходимыми для заявленной цели обработки, - в течение семи рабочих дней;
- отзыв субъектом персональных данных согласия на обработку его персональных данных, если их сохранение для цели их обработки более не требуется, - в течение 30 дней.
9.5.2. При достижении цели обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:
- иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
- Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных законодательством о персональных данных или иными федеральными законами;
- иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.
9.5.3. Способы и порядок уничтожения персональных данных устанавливаются в локальных нормативных актах Оператора.
В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
Оператор предоставляет указанные сведения субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
Если в обращении (запросе) субъекта персональных данных не отражены в соответствии с требованиями Федерального закона "О персональных данных" все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.
Право субъекта персональных данных на доступ к его персональным данным может быть ограничено по основаниям, предусмотренным действующим законодательством, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
9.2. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом или иных необходимых документов, уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
9.3. В случае выявления неправомерной обработки персональных данных при обращении (запросе) субъекта персональных данных или его представителя либо уполномоченного органа Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения запроса.
9.4. При выявлении Оператором, уполномоченным органом или иным заинтересованным лицом факта неправомерной или случайной передачи (предоставления, распространения) персональных данных (доступа к персональным данным), повлекшей нарушение прав субъектов персональных данных, Оператор:
1) в течение 24 часов - уведомляет уполномоченный орган р о произошедшем инциденте, предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, предполагаемом вреде, нанесенном правам субъектов персональных данных, и принятых мерах по устранению последствий инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по вопросам, связанным с инцидентом;
2) в течение 72 часов - уведомляет уполномоченный орган о результатах внутреннего расследования выявленного инцидента и предоставляет сведения о лицах, действия которых стали его причиной (при наличии).
9.5. Порядок уничтожения персональных данных Оператором.
9.5.1. Условия и сроки уничтожения персональных данных Оператором:
- достижение цели обработки персональных данных либо утрата необходимости достигать эту цель - в течение 30 дней;
- достижение максимальных сроков хранения документов, содержащих персональные данные, - в течение 30 дней;
- предоставление субъектом персональных данных (его представителем) подтверждения того, что персональные данные получены незаконно или не являются необходимыми для заявленной цели обработки, - в течение семи рабочих дней;
- отзыв субъектом персональных данных согласия на обработку его персональных данных, если их сохранение для цели их обработки более не требуется, - в течение 30 дней.
9.5.2. При достижении цели обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:
- иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
- Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных законодательством о персональных данных или иными федеральными законами;
- иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.
9.5.3. Способы и порядок уничтожения персональных данных устанавливаются в локальных нормативных актах Оператора.
10. Заключительные положения
10.1. Политика обязательна для ознакомления и соблюдения всеми сотрудниками Оператора .
10.2. Сотрудник Оператора, имеющий доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных, несет ответственность в соответствии с законодательством Российской Федерации.
10.3. Контроль за соблюдением Политики осуществляет должностное лицо, назначенное ответственным за организацию обработки персональных данных у Оператора.
10.4. Политика является общедоступной и подлежит публикации на официальном сайте Оператора в информационно-телекоммуникационной сети "Интернет"
10.2. Сотрудник Оператора, имеющий доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных, несет ответственность в соответствии с законодательством Российской Федерации.
10.3. Контроль за соблюдением Политики осуществляет должностное лицо, назначенное ответственным за организацию обработки персональных данных у Оператора.
10.4. Политика является общедоступной и подлежит публикации на официальном сайте Оператора в информационно-телекоммуникационной сети "Интернет"