СКАЧАТЬ МОБИЛЬНОЕ ПРИЛОЖЕНИЕ
ПОЛИТИКА
ПОЛИТИКА
оператора ООО «Делтабокс СПБ»
в отношении обработки персональных данных
1. Общие положения
1.2. Политика разработана в целях реализации требований законодательства в области обработки и обеспечения безопасности персональных данных и направлена на обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных в Компании.
1.3. Политика устанавливает:
▪ цели обработки персональных данных;
▪ классификацию персональных данных и Субъектов персональных данных;
▪ общие принципы обработки персональных данных;
▪ основных участников системы управления процессом обработки персональных данных;
▪ основные подходы к системе управления процессом обработки персональных данных.
1.4. Положения настоящей Политики являются основой для организации работы по обработке персональных данных в Компании, в том числе, для разработки внутренних нормативных документов (регламентов, инструкций, методик, технологических схем бизнес-процессов и пр.), регламентирующих процесс обработки персональных данных в Компании.
1.5. Положения настоящей Политики являются обязательными для исполнения всеми Работниками Компании, имеющими доступ к персональным данным.
1.6. Настоящая Политика размещается на сайте Компании в глобальной сети Интернет для ознакомления с Политикой Компании неограниченного круга лиц – посетителей сайта Компании (субъектов персональных данных), в том числе, указанных в п. 3.5 настоящей Политики.
1.7. Ознакомление Работников Компании с положениями настоящей Политики осуществляется посредством рассылки Политики с использованием системы электронного документооборота, используемого Компанией. Факт ознакомления фиксируется личной подписью.
2. Цели обработки персональных данных
2.1. Компания осуществляет обработку персональных данных в целях:
▪ осуществления деловой и хозяйственной деятельности, заключения сделок в соответствии с Уставом;
▪ заключения с Субъектом персональных данных любых договоров и их дальнейшего исполнения;
▪ проведения рекламных акций, опросов, исследований;
▪ информирование Субъекта о мероприятиях, акциях, актуальных предложениях, новостных событиях
▪ предоставления Субъекту персональных данных информации об оказываемых Компанией услугах, о разработке новых продуктов и услуг; информирования Потребителей и Клиентов о предложениях по продуктам и услугам Компании;
▪ ведения кадровой работы и организации учета Работников Компании;
▪ привлечения и отбора Кандидатов на работу в Компании;
▪ формирования статистической и иной отчетности, в том числе для государственных органов;
▪ осуществления административно-хозяйственной деятельности;
▪ регулирования трудовых и иных, непосредственно связанных с ними отношений;
▪ осуществления деятельности по работе с Потребителями при оказании услуг связи, а также услуг, не являющихся услугами связи, при заключении, исполнении, расторжении договоров с Потребителями, при работе с претензиями Потребителей, в том числе подготовке ответов на претензии, обращения, а также претензионно-исковой работе с Потребителями.
3. Классификация персональных данных и Субъектов персональных данных
3.1. К персональным данным относится любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (Субъекту персональных данных), обрабатываемая Компанией для достижения заранее определенных целей.
3.2. Компания не осуществляет обработку специальных категорий персональных данных, касающихся расовой и национальной принадлежности, политических взглядов, религиозных и философских убеждений, интимной жизни, судимости физических лиц, если иное не установлено законодательством Российской Федерации.
3.3. Компания вправе осуществлять обработку специальной категории персональных данных, касающейся состояния здоровья Субъекта персональных данных (застрахованных лиц и иных лиц, в случаях, предусмотренных действующим законодательством).
3.4. Компания вправе осуществлять обработку биометрических персональных данных в форме видеофиксации снаружи и внутри помещений офиса Компании с целью обеспечения безопасности работников и посетителей Компании при осуществлении их пропуска на территорию Компании, их безопасного нахождения в офисных и иных помещениях на территории Компании, а также в целях контроля за сохранностью имущества Компании. Наружная видеофиксация осуществляется в пределах территорий, принадлежащих Компании на любых законных основаниях в целях контроля входа/выхода физических лиц, а также въезда/выезда транспортных средств.
3.5. Компания осуществляет обработку персональных данных следующих категорий Субъектов персональных данных:
▪ физические лица, являющиеся Кандидатами на замещение вакантных должностей и при устройстве на работу;
▪ физические лица, являющиеся Работниками Компании и их близких родственников;
▪ физические лица, осуществляющие выполнение работ по оказанию услуг и заключившие с Компанией договор гражданско-правового характера;
▪ физические лица (Потребители), проявившие собственный интерес к продукции и услугам Компании;
▪ физические лица (Потребители), приобретшие или намеревающиеся получить услуги Компании, услуги третьих лиц при посредничестве Компании или не имеющие с Компанией договорных отношений при условии, что их персональные данные включены в автоматизированные системы Компании и обрабатываются в соответствии с Законодательством о персональных данных;
▪ физические лица, не относящиеся к Потребителям Компании, заключившие или намеревающиеся заключить с Компанией договорные отношения в связи с осуществлением Компанией Административно-хозяйственной деятельности при условии, что их персональные данные включены в автоматизированные системы Компании и обрабатываются в соответствии с Законодательством о персональных данных;
▪ физические лица, персональные данные которых сделаны ими общедоступными, а их обработка не нарушает их прав и соответствует требованиям, установленным Законодательством о персональных данных;
▪ иные физические лица, выразившие согласие на обработку их персональных данных или физические лица, обработка персональных данных которых необходима Компании для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Компанию функций, полномочий и обязанностей;
▪ физические лица - пользователи сети Интернет, использующие Сервисы (сайты) Компании в собственных целях, а также иное физическое лицо, в интересах которого действует этот пользователь. Условия обработки информации о пользователях установлены в Приложении № 3 к настоящей Политике.
4. Общие принципы обработки персональных данных
4.1. Компания осуществляет обработку персональных данных на основе общих принципов:
▪ законности заранее определенных конкретных целей и способов обработки персональных данных;
▪ обеспечения надлежащей защиты персональных данных;
▪ соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных;
▪ соответствия объема, характера и способов обработки персональных данных целям обработки персональных данных;
▪ достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
▪ недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
▪ хранения персональных данных в форме, позволяющей определить Субъекта персональных данных, не дольше, чем этого требуют цели их обработки;
▪ уничтожения или обезличивания персональных данных по достижении целей их обработки, если срок хранения персональных данных не установлен законодательством Российской Федерации, договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект персональных данных;
▪ обеспечения конфиденциальности и безопасности обрабатываемых персональных данных.
4.2. В рамках обработки персональных данных для Субъекта персональных данных и Компании определены следующие права.
4.2.1. Субъект персональных данных имеет право:
▪ получать информацию, касающуюся обработки его персональных данных, в порядке, форме и сроки, установленные Законодательством о персональных данных;
▪ требовать уточнения своих персональных данных, их Блокирования или Уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для заявленной цели обработки или используются в целях, не заявленных ранее при предоставлении Субъектом персональных данных согласия на обработку персональных данных;
▪ принимать предусмотренные законом меры по защите своих прав;
▪ отозвать свое согласие на обработку персональных данных.
4.2.2. Компания имеет право:
▪ обрабатывать персональные данные Субъекта персональных данных в соответствии с заявленной целью;
▪ требовать от Субъекта персональных данных предоставления достоверных персональных данных, необходимых для исполнения договора, оказания услуги, идентификации Субъекта персональных данных, а также в иных случаях, предусмотренных Законодательством о персональных данных;
▪ ограничить доступ Субъекта персональных данных к его персональным данным в случае, если Обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, доступ Субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством Российской Федерации;
▪ обрабатывать общедоступные персональные данные физических лиц;
▪ осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
▪ с согласия субъекта персональных данных осуществлять передачу (распространение, предоставление, доступ) персональных данных третьим лицам с соблюдением мер, обеспечивающих защиту персональных данных от несанкционированного доступа;
▪ поручить обработку персональных данных другому лицу с согласия Субъекта персональных данных. Перечень организаций, осуществляющих обработку персональных данных, которым представлено право обработки персональных данных в интересах Компании – Приложение № 3-2.
5. Основные участники системы управления процессом обработки персональных данных
5.1. В целях осуществления эффективного управления процессом обработки персональных данных определены основные его участники.
5.1.1. Руководитель Компании:
▪ определяет, рассматривает и утверждает политику Компании в отношении обработки персональных данных.
▪ принимает решения по реализации действий Компании, связанных с использованием персональных данных, подверженных риску.
5.1.2. Лицо, ответственное за организацию обработки и защиту персональных данных, назначается приказом директора и выполняет следующие функции:
▪ разрабатывает, организует и контролирует процесс обработки персональных данных (осуществляемый с использованием средств автоматизации или без использования таких средств, в том числе на бумажных носителях) в соответствии с Законодательством о персональных данных, настоящей Политикой, внутренними нормативными документами Компании;
▪ осуществляет управление и постоянное совершенствование процесса обработки персональных данных по единым правилам, стандартизацию и тиражирование процесса;
▪ разрабатывает и представляет для утверждения директору внутренние нормативные документы, касающиеся вопросов обработки персональных данных, требований к защите персональных данных;
▪ организует доведение и (или) доводит до сведения Работников Компании положений законодательства о персональных данных, настоящей Политики, внутренних нормативных документов Компании по вопросам обработки персональных данных, требований к защите персональных данных;
▪ осуществляет анализ, оценку и прогноз рисков, связанных с обработкой персональных данных, выработку мер по снижению рисков;
▪ осуществляет оценку влияния процессов на права и свободы субъектов персональных данных;
▪ осуществляет анализ автоматизированных систем и процессов обработки персональных данных на предмет соответствия установленным обязательным требованиям в области обработки и защиты персональных данных;
▪ осуществляет ведение учета процедур и средств обработки персональных данных;
▪ осуществляет контроль наличия и полноты содержания договоров поручения на обработку персональных данных;
▪ осуществляет разработку и организацию применения правовых, организационных и технических мер защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также иных неправомерных действий в отношении персональных данных;
▪ осуществляет определение угроз безопасности персональных данных при их обработке;
▪ осуществляет организацию и контроль уровня защищенности информационных систем персональных данных;
▪ осуществляет оценку эффективности принимаемых мер по обеспечению безопасности персональных данных;
▪ разрабатывает внутренние процедуры, направленные на обеспечение безопасности и защиты персональных данных;
▪ организует и осуществляет внутренний контроль за соблюдением работниками Законодательства о персональных данных, настоящей Политики, внутренних нормативных документов Компании, требований к защите персональных данных;
▪ организует прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществляет контроль за приемом и обработкой таких обращений и запросов;
▪ осуществляет взаимодействие с органами государственной власти по вопросам защиты персональных данных;
▪ осуществляет уведомление надзорного органа в соответствии с применимыми требованиями о фактах утечки персональных данных;
▪ организует оповещение субъектов персональных данных о фактах утечки их персональных данных;
▪ в рамках проводимых контрольных процедур оценивает эффективность системы внутреннего контроля Компании по обеспечению соблюдения требований настоящей Политики, а также утвержденных нормативных документов Компании в отношении персональных данных.
5.1.2.1. Если лицо, ответственное за организацию обработки и защиту персональных данных не назначено, то его функции и обязанности исполняет Руководитель Компании.
6. Организация системы управления процессом обработки персональных данных
6.1. Обработка персональных данных Субъекта осуществляется с его согласия на обработку персональных данных, а также без такового, если Обработка персональных данных необходима для исполнения договора, стороной которого-либо выгодоприобретателем или поручителем по которому является Субъект персональных данных, а также для заключения договора по инициативе Субъекта персональных данных или договора, по которому Субъект персональных данных будет являться выгодоприобретателем или поручителем или в иных случаях, предусмотренных Законодательством о персональных данных.
6.2. Обработка специальной категории персональных данных, касающейся состояния здоровья Субъекта персональных данных осуществляется с согласия Субъекта персональных данных на обработку своих персональных данных в письменной форме, а также без такового, если персональные данные сделаны общедоступными Субъектом персональных данных.
6.3. Компания вправе поручить обработку персональных данных другому лицу с согласия Субъекта персональных данных, если иное не предусмотрено федеральным законом. Такая Обработка персональных данных осуществляется только на основании договора, заключенного между Компанией и третьим лицом, в котором должны быть определены:
▪ перечень действий (операций) с персональными данными, которые будут совершаться третьим лицом, осуществляющим обработку персональных данных;
▪ цели обработки персональных данных;
▪ обязанности третьего лица соблюдать конфиденциальность персональных данных и обеспечивать их безопасность при обработке, а также требования к защите обрабатываемых персональных данных.
6.4. Компания осуществляет передачу персональных данных государственным органам в рамках их полномочий в соответствии с законодательством Российской Федерации.
6.5. Компания несет ответственность перед Субъектом персональных данных за действия лиц, которым поручает обработку персональных данных Субъекта персональных данных.
6.6. Доступ к обрабатываемым персональным данным предоставляется только тем Работникам Компании, которым он необходим в связи с исполнением ими своих должностных обязанностей и с соблюдением принципов персональной ответственности.
6.7. Обработка персональных данных прекращается при достижении целей такой обработки, а также по истечении срока, предусмотренного законом, договором, или согласием Субъекта персональных данных на обработку его персональных данных.
6.7.1. При отзыве Субъектом персональных данных согласия на обработку его персональных данных, Компания вправе продолжить обработку персональных данных без согласия Субъекта персональных данных, если такая обработка предусмотрена договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект персональных данных, иным соглашением между Компанией и Субъектом персональных данных, либо если Компания вправе осуществлять обработку персональных данных без согласия Субъекта персональных данных на основаниях, предусмотренных федеральными законами.
6.8. Обработка персональных данных осуществляется с соблюдением конфиденциальности, под которой понимается обязанность не раскрывать третьим лицам и не распространять персональные данные без согласия Субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.
6.9. Компания обеспечивает конфиденциальность персональных данных Субъекта персональных данных со своей стороны, со стороны своих аффилированных лиц, со стороны своих Работников, имеющих доступ к персональным данным физических лиц, а также обеспечивает использование персональных данных вышеуказанными лицами исключительно в целях, соответствующих закону, договору или иному соглашению, заключенному с Субъектом персональных данных.
6.10. Обеспечение безопасности обрабатываемых персональных данных осуществляется Компанией в рамках единой комплексной системы организационно-технических и правовых мероприятий по защите информации, составляющей коммерческую и иную тайну, с учетом требований законодательства о персональных данных, принятых в соответствии с ним нормативных правовых актов.
6.11. Система информационной безопасности Компании непрерывно развивается и совершенствуется на базе требований национальных стандартов информационной безопасности.
7. Трансграничная передача персональных данных
7.1. Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных (такое уведомление направляется отдельно от уведомления о намерении осуществлять обработку персональных данных).
7.2. Оператор до подачи вышеуказанного уведомления, обязан получить от органов власти иностранного государства, иностранных физических лиц, иностранных юридических лиц, которым планируется трансграничная передача персональных данных, соответствующие сведения.
8. Заключительные положения
8.1. Компания, а также её Руководитель и Работники несут гражданско-правовую, административную и иную ответственность за несоблюдение принципов и условий обработки персональных данных физических лиц, а также за разглашение или незаконное использование персональных данных в соответствии с законодательством Российской Федерации.
8.2. Политика является общедоступной и подлежит размещению на официальном сайте Компании или иным образом обеспечивается неограниченный доступ к настоящему документу.
Приложение 1
Перечень нормативных актов, применяемых при определении
политики для обработки персональных данных
▪ Конституция Российской Федерации (принята всенародным голосованием 12.12.1993 с изменениями, одобренными в ходе общероссийского голосования 01.07.2020);
▪ Доктрина информационной безопасности Российской Федерации, утверждена Указом Президента РФ от 05.12.2016 N 646 "Об утверждении Доктрины информационной безопасности Российской Федерации",
▪ Трудовой кодекс Российской Федерации от 30.12.2001 N 197-ФЗ,
▪ Налоговый кодекс Российской Федерации;
▪ Федеральный закон от 19.12.2005 №160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных»;
▪ Федеральный закон от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации»;
▪ Федеральный закон от 27.07.2006 №152-ФЗ «О персональных данных»(далее - ФЗ №152 «О персональных данных»);
▪ Федеральный закон от 08.02.1998 N 14-ФЗ "Об обществах с ограниченной ответственностью";
▪ Федеральный закон от 06.12.2011 N 402-ФЗ "О бухгалтерском учете";
▪ Федеральный закон от 15.12.2001 N 167-ФЗ "Об обязательном пенсионном страховании в Российской Федерации";
▪ Постановление Правительства Российской Федерации от 15.09.2008 №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
▪ Постановление Правительства Российской Федерации от 01.11.2012 №1119
«Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и других нормативных правовых актов, регулирующих отношения в сфере обеспечения безопасности персональных данных.
▪ Приказ Роскомнадзора от 05.08.2022 N 128 "Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных" (Зарегистрировано в Минюсте России 20.09.2022 N 70152).
Приложение 2
Список терминов и определений, используемых в тексте Политики
Административно-хозяйственная деятельность – бизнес-процессы, направленные на текущее обеспечение производственной деятельности Компании товарно-материальными ценностями (осуществление закупок канцтоваров, офисного оборудования, расходных материалов, хозяйственных товаров, услуг связи и т.п.); на организацию документооборота (ведение архива, библиотек, баз данных); на организацию эксплуатации зданий, помещений, территорий (содержание, уборка, оформление и ремонт помещений); на содержание рабочих мест.
Компания – (оператор обработки персональных данных) – Коммерческая организация (Общество), осуществляющая обработку персональных данных, а также определяющий цели обработки персональных данных, состав персональных данных, подлежащих обработке, и действия, совершаемые с персональными данными.
Близкие р