ПОЛИТИКА «ЗАЩИТА И ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ»
общества с ограниченной ответственностью «ЭРБА»
1.1. Настоящая Политика общества с ограниченной ответственностью «ЭРБА» в отношении защиты и обработки персональных данных (далее — «Политика» или «Политика конфиденциальности ПДн») разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну доведения до сведения Субъектов ПДн позиции и намерений Оператора в области обработки и защиты персональных данных, предотвращения возможных нарушений при обработке персональных данных, обеспечения правил конфиденциальности и защиты персональных данных, соблюдения требований законодательства о защите персональных данных. Назначением Политики является установление правил и процедур, связанных с обработкой персональных данных Оператором. Политика определяет перечень обрабатываемых персональных данных, цели и способы обработки персональных данных, правила доступа к персональным данным, порядок хранения и удаления персональных данных, а также меры безопасности при обработке персональных данных и является важным инструментом для обеспечения защиты персональных данных и соблюдения законодательных требований.
1.2. Политика действует в отношении всех персональных данных, которые обрабатывает общество с ограниченной ответственностью «ЭРБА» (далее — Оператор, ООО «ЭРБА») и предназначена для неукоснительного исполнения руководителями и работниками всех структурных подразделений Оператора, а также подлежит доведению до сведения лиц, состоящих в договорных, гражданско-правовых и иных отношениях с Оператором (далее по тексту — граждане), партнеров и других заинтересованных сторон.
1.3. Политика вступает в силу с момента ее утверждения Генеральным директором и действует до ликвидации или реорганизации Компании, внесения в нее изменений или введение в действие новой редакции Политики и распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики.
1.4. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика располагается на адресах всех обособленных подразделений Оператора, а также на всех интернет-сайтах Оператора, для возможности ознакомления с нею третьими лицами.
1.5. Место нахождение Оператора: 121 059, г. Москва, вн. тер. г. муниципальный округ Дорогомилово, Бережковская наб., д. 20, стр. 64, этаж/помещ./ком. 2/I/99
Контактные данные Оператора: +7 (495) 786-80-90
1.2. Политика действует в отношении всех персональных данных, которые обрабатывает общество с ограниченной ответственностью «ЭРБА» (далее — Оператор, ООО «ЭРБА») и предназначена для неукоснительного исполнения руководителями и работниками всех структурных подразделений Оператора, а также подлежит доведению до сведения лиц, состоящих в договорных, гражданско-правовых и иных отношениях с Оператором (далее по тексту — граждане), партнеров и других заинтересованных сторон.
1.3. Политика вступает в силу с момента ее утверждения Генеральным директором и действует до ликвидации или реорганизации Компании, внесения в нее изменений или введение в действие новой редакции Политики и распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики.
1.4. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика располагается на адресах всех обособленных подразделений Оператора, а также на всех интернет-сайтах Оператора, для возможности ознакомления с нею третьими лицами.
1.5. Место нахождение Оператора: 121 059, г. Москва, вн. тер. г. муниципальный округ Дорогомилово, Бережковская наб., д. 20, стр. 64, этаж/помещ./ком. 2/I/99
Контактные данные Оператора: +7 (495) 786-80-90
Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (Субъекту персональных данных).
Персональные данные, разрешенные Субъектом персональных данных для распространения — это персональные данные, доступ неограниченного круга лиц к которым предоставлен Субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных Субъектом персональных данных для распространения.
Оператор персональных данных (Оператор) — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными, в частности, таковым является общество с ограниченной ответственностью «ЭРБА» (ОГРН 5 167 746 401 862, ИНН 7 730 222 383).
Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя, в том числе:
Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному Субъекту персональных данных.
Информационная система персональных данных (ИСПДНн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку, информационных технологий и технических средств.
Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Защита персональных данных — деятельность, направленная на предотвращение утечки защищаемых персональных данных, несанкционированных и непреднамеренных воздействий на защищаемые персональные данные.
Субъект персональных данных — физическое лицо, которое имеет право на обеспечение защиты его прав и свобод при обработке его персональных данных, защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
Сервис — сайт https://allseasonscomfort.ru,
на котором размещаются товарные предложения и возможность ознакомления с ними клиентов, а также предоставляющие возможность осуществить заказы товаров, и использующие функционал услуг цифровой платформы, интернет-магазина.
Персональные данные, разрешенные Субъектом персональных данных для распространения — это персональные данные, доступ неограниченного круга лиц к которым предоставлен Субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных Субъектом персональных данных для распространения.
Оператор персональных данных (Оператор) — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными, в частности, таковым является общество с ограниченной ответственностью «ЭРБА» (ОГРН 5 167 746 401 862, ИНН 7 730 222 383).
Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя, в том числе:
- сбор;
- запись;
- систематизацию;
- накопление;
- хранение;
- уточнение (обновление, изменение);
- извлечение;
- использование;
- передачу (предоставление, доступ);
- распространение;
- блокирование;
- удаление;
- уничтожение.
Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному Субъекту персональных данных.
Информационная система персональных данных (ИСПДНн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку, информационных технологий и технических средств.
Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Защита персональных данных — деятельность, направленная на предотвращение утечки защищаемых персональных данных, несанкционированных и непреднамеренных воздействий на защищаемые персональные данные.
Субъект персональных данных — физическое лицо, которое имеет право на обеспечение защиты его прав и свобод при обработке его персональных данных, защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
Сервис — сайт https://allseasonscomfort.ru,
на котором размещаются товарные предложения и возможность ознакомления с ними клиентов, а также предоставляющие возможность осуществить заказы товаров, и использующие функционал услуг цифровой платформы, интернет-магазина.
3.1. Обработка персональных данных осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации.
3.2. Обработка персональных данных осуществляется с согласия Субъектов персональных данных на обработку их персональных данных, а также без такового в случаях, предусмотренных законодательством Российской Федерации.
3.3. Согласие на обработку персональных данных, разрешенных Субъектом персональных данных для распространения, оформляется отдельно от иных согласий Субъекта персональных данных на обработку его персональных данных.
3.4. Согласие на обработку персональных данных, разрешенных Субъектом персональных данных для распространения, может быть предоставлено Оператору:
3.6. К обработке персональных данных допускаются работники Оператора, в должностные обязанности которых входит обработка персональных данных, а именно:
3.7. Обработка персональных данных осуществляется путем:
3.9. Передача персональных данных органам дознания и следствия, в Федеральную налоговую службу, Социальный фонд и другие уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.
3.10. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в том числе:
3.12. При сборе персональных данных, в том числе посредством информационно телекоммуникационной сети интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе действующем законодательстве о персональных данных.
3.13. Цели обработки персональных данных:
3.13.1. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
3.13.2. Обработка Оператором персональных данных осуществляется в целях, осуществляемых в соответствии с приложением № 1 к данной политике, являющимся его неотъемлемой частью:
К ним могут относиться:
• лица, обеспечивающие прием платежей Субъектов П Д, проведение платежных операций, предоставляющие сервисы кредитования, рассрочки платежа для Субъектов П Д: банки и иные финансовые организации, платежные агенты и т. д.
• лица, обеспечивающие хранение и доставку товаров, оказывающие логистические услуги;
• иные, не упомянутые выше третьи лица, в случае если субъект выразил согласие на передачу персональных данных такому лицу, либо их передача обусловлена исполнением договора Субъекта П Д с данным третьим лицом.
Указанные в п. 3.13.2 цели обработки ПДн не являются исчерпывающими. Общество вправе обрабатывать персональные данные в иных целях, предусмотренных действующим законодательством, Уставом Общества и иными локально-нормативными актами Общества, путем внесения изменений в соответствующее вышеуказанное приложение.
3.14. Обработка персональных данных работников может осуществляться исключительно в целях обеспечения соблюдения действующего законодательства Российской Федерации:
Обрабатываются ПДн следующих Субъектов ПДн:
Сроки обработки персональных данных.
Сроки обработки и хранения ПДн для каждой цели обработки ПДн, указанной в настоящей Политике, устанавливаются с учетом соблюдения требований, определенных законодательством РФ, и (или) с учетом положений договора, стороной, выгодоприобретателем или поручителем по которому выступает Субъект ПДн, и (или) согласия Субъекта ПДн на обработку его ПДн.
Обработка и хранение ПДн осуществляются не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен законодательством РФ, договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект ПДн.
3.17. Хранение ПДн.
3.17.1. ПДн Субъектов могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде.
3.17.2. ПДн, зафиксированные на бумажных носителях, хранятся в запираемых шкафах либо в запираемых помещениях с ограниченным правом доступа.
Обеспечивается раздельное хранение ПДн (материальных носителей), обработка которых осуществляется в различных целях.
3.17.3. ПДн Субъектов, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в разных папках. Обработка ПДн с использованием средств автоматизации осуществляется в соответствии с требованиями, установленными Постановлением Правительства Р Ф от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
3.17.4. Не допускается хранение и размещение документов, содержащих ПДн, в открытых электронных каталогах (файлообменниках) в ИСПДн.
3.17.5. Хранение ПДн в форме, позволяющей определить Субъекта ПДн, осуществляется не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
3.18. Уничтожение ПДн.
3.18.1. Уничтожение ПДн, обработка которых осуществляется в рамках целей, указанных в настоящей Политике, производится в следующих случаях:
— достижения целей обработки ПДн или утраты необходимости в их достижении;
— получения от Субъекта отзыва согласия Субъекта на обработку его ПДн или требования о прекращении обработки ПДн, (если исполнение указанного требования влечет за собой уничтожение ПДн);
— истечения срока согласия Субъекта ПДн;
— получения соответствующего предписания от уполномоченного органа по защите прав Субъектов ПДн;
— при выявлении факта неправомерной обработки ПДн.
В случае отсутствия возможности уничтожения ПДн в течение срока, определенного Федеральным законом от 27.07.2006 № 152‑ФЗ «О персональных данных», Оператор осуществляет блокирование таких ПДн или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) и обеспечивает уничтожение ПДн в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
Уничтожение документов (носителей), содержащих ПДн, производится путем сожжения, дробления (измельчения), химического разложения, превращения в бесформенную массу или порошок. Для уничтожения бумажных документов допускается применение шредера.
3.18.2. ПДн на электронных носителях уничтожаются путем стирания или форматирования носителя.
3.18.3. Факт уничтожения ПДн подтверждается документально актом об уничтожении носителей в соответствии с требованиями, установленными уполномоченным органом по защите прав Субъектов ПДн.
3.2. Обработка персональных данных осуществляется с согласия Субъектов персональных данных на обработку их персональных данных, а также без такового в случаях, предусмотренных законодательством Российской Федерации.
3.3. Согласие на обработку персональных данных, разрешенных Субъектом персональных данных для распространения, оформляется отдельно от иных согласий Субъекта персональных данных на обработку его персональных данных.
3.4. Согласие на обработку персональных данных, разрешенных Субъектом персональных данных для распространения, может быть предоставлено Оператору:
- непосредственно;
- с использованием информационной системы уполномоченного органа по защите прав Субъектов персональных данных.
3.6. К обработке персональных данных допускаются работники Оператора, в должностные обязанности которых входит обработка персональных данных, а именно:
- Оператором в установленном порядке назначено лицо, ответственное за организацию обработки ПДн;
- Оператором в установленном порядке назначено лицо, ответственное за обеспечение безопасности ПДн и ИСПДн;
- Оператором в установленном порядке назначены лица, ответственные за организацию обработки ПДн в структурных подразделениях;
- в обработке ПДн участвуют работники Оператора в рамках выполнения своих должностных обязанностей
3.7. Обработка персональных данных осуществляется путем:
- получения персональных данных в устной и письменной форме непосредственно с согласия Субъекта персональных данных на обработку или распространение его персональных данных;
- внесения персональных данных в журналы, реестры и информационные системы Оператора;
- использования иных способов обработки персональных данных.
- При обработке ПДн автоматизированном способом Оператор принимает необходимые меры по обеспечению безопасности обрабатываемых ПДн, в том числе с учетом требований постановления Правительства Р Ф от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
- Обработка ПДн неавтоматизированном способом осуществляется с учетом требований постановления Правительства Р Ф от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
3.9. Передача персональных данных органам дознания и следствия, в Федеральную налоговую службу, Социальный фонд и другие уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.
3.10. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в том числе:
- назначение Оператором ответственного за организацию обработки ПДн;
- издание Оператором локальных нормативных актов по вопросам обработки ПДн, а также локальных нормативных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений;
- осуществление внутреннего контроля и (или) аудита соответствия обработки ПДн Федеральному закону от 27.07.2006 № 152‑ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, данной Политике, локальным нормативным актам Оператора;
- оценка вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав Субъектов ПДн, который может быть причинен Субъектам ПДн в случае нарушения Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных», иных нормативных актов, регулирующих защиту персональных данных, соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152‑ФЗ «О персональных данных»;
- ознакомление работников Оператора, непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ о ПДн, в том числе требованиями к защите ПДн, данной Политикой, локальными нормативными актами по вопросам обработки ПДн, и (или) обучение указанных работников;
- определяет угрозы безопасности персональных данных при их обработке;
- назначает лиц, ответственных за обеспечение безопасности персональных данных в структурных подразделениях и информационных системах Оператора;
- создает необходимые условия для работы с персональными данными;
- организует и ведет учет документов, содержащих персональные данные;
- организует работу с информационными системами, в которых обрабатываются персональные данные;
- хранит персональные данные в условиях, при которых обеспечивается их сохранность и исключается неправомерный доступ к ним;
3.12. При сборе персональных данных, в том числе посредством информационно телекоммуникационной сети интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе действующем законодательстве о персональных данных.
3.13. Цели обработки персональных данных:
3.13.1. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
3.13.2. Обработка Оператором персональных данных осуществляется в целях, осуществляемых в соответствии с приложением № 1 к данной политике, являющимся его неотъемлемой частью:
- ведение кадрового и бухгалтерского учета;
- обеспечение соблюдения трудового законодательства РФ;
- подбор персонала (соискателей) на вакантные должности Оператора;
- обеспечение соблюдения налогового законодательства РФ;
- обеспечение соблюдения пенсионного законодательства РФ;
- продвижение и продажа товаров, работ, услуг на рынке;
- соблюдение кассовой дисциплины предприятия;
- подготовка, заключение и исполнение гражданско-правового договора
- анализ и оценка поведения пользователей сайта/моб. приложения (при наличии);
- повышение эффективности работы сайта/мобильного приложения (при наличии);
- взаимодействие с клиентами (покупателями) и посетителями сайта, пользователями мобильного приложения (при наличии).
К ним могут относиться:
• лица, обеспечивающие прием платежей Субъектов П Д, проведение платежных операций, предоставляющие сервисы кредитования, рассрочки платежа для Субъектов П Д: банки и иные финансовые организации, платежные агенты и т. д.
• лица, обеспечивающие хранение и доставку товаров, оказывающие логистические услуги;
• иные, не упомянутые выше третьи лица, в случае если субъект выразил согласие на передачу персональных данных такому лицу, либо их передача обусловлена исполнением договора Субъекта П Д с данным третьим лицом.
Указанные в п. 3.13.2 цели обработки ПДн не являются исчерпывающими. Общество вправе обрабатывать персональные данные в иных целях, предусмотренных действующим законодательством, Уставом Общества и иными локально-нормативными актами Общества, путем внесения изменений в соответствующее вышеуказанное приложение.
3.14. Обработка персональных данных работников может осуществляться исключительно в целях обеспечения соблюдения действующего законодательства Российской Федерации:
- Трудового законодательства, включая Трудовой кодекс РФ от 30.12.2001 № 197-ФЗ, Закон Р Ф от 19.04.1991 № 1032−1 «О занятости населения в Российской Федерации»;
- Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
- Федерального закона от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
- Федерального закона от 29.12.2006 № 255-ФЗ «Об обязательном социальном страховании на случай временной нетрудоспособности в связи с материнством»;
- Постановления Государственного комитета РФ по статистике от 05.01.2004 № 1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты»;
- Налогового кодекса РФ от 31.07.1998 № 146-ФЗ (часть первая), от 05.08.2000 № 117-ФЗ (часть вторая);
- Гражданского кодекса РФ от 30.11.1994 № 51-ФЗ (часть первая), от 26.01.1996 № 14-ФЗ (часть вторая); от 26.11.2001 № 146-ФЗ (часть третья);
- Закона РФ от 07.02.1992 г. № 2300−1 «О защите прав потребителей»;
- Федерального закона от 29.12.2006 № 255-ФЗ «Об обязательном социальном страховании на случай временной нетрудоспособности в связи с материнством»;
- Федерального закон от 16.07.1999 № 165-ФЗ «Об основах обязательного социального страхования»;
- Иных законов Российской Федерации.
Обрабатываются ПДн следующих Субъектов ПДн:
- физические лица, состоящие с ООО «ЭРБА» в трудовых отношениях (работники);
- физические лица, уволившиеся из ООО «ЭРБА» (уволенные работники);
- физические лица, являющиеся кандидатами на работу (соискатели);
- физические лица, состоящие с ООО «ЭРБА» в гражданско-правовых отношениях;
- родственники работников;
- физические лица, являющиеся авторизованными пользователями Сервиса, имеющие потенциальное намерение заказать или приобрести с помощью Сервиса товары и услуги исключительно для личных, семейных, домашних и иных нужд, не связанных с осуществлением предпринимательской деятельности и физические лица, являющиеся розничными потребителями, заключающие (заключившие) договор розничной купли-продажи товаров с помощью Сервиса (клиенты);
- посетители (неавторизованные пользователи);
- индивидуальные предприниматели (ИП);
- представители контрагентов;
- данные, полученные при осуществлении трудовых отношений;
- данные, полученные для осуществления отбора кандидатов на работу;
- данные, полученные при осуществлении гражданско-правовых отношений.
- персональные данные иных категорий
Сроки обработки персональных данных.
Сроки обработки и хранения ПДн для каждой цели обработки ПДн, указанной в настоящей Политике, устанавливаются с учетом соблюдения требований, определенных законодательством РФ, и (или) с учетом положений договора, стороной, выгодоприобретателем или поручителем по которому выступает Субъект ПДн, и (или) согласия Субъекта ПДн на обработку его ПДн.
Обработка и хранение ПДн осуществляются не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен законодательством РФ, договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект ПДн.
3.17. Хранение ПДн.
3.17.1. ПДн Субъектов могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде.
3.17.2. ПДн, зафиксированные на бумажных носителях, хранятся в запираемых шкафах либо в запираемых помещениях с ограниченным правом доступа.
Обеспечивается раздельное хранение ПДн (материальных носителей), обработка которых осуществляется в различных целях.
3.17.3. ПДн Субъектов, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в разных папках. Обработка ПДн с использованием средств автоматизации осуществляется в соответствии с требованиями, установленными Постановлением Правительства Р Ф от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
3.17.4. Не допускается хранение и размещение документов, содержащих ПДн, в открытых электронных каталогах (файлообменниках) в ИСПДн.
3.17.5. Хранение ПДн в форме, позволяющей определить Субъекта ПДн, осуществляется не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
3.18. Уничтожение ПДн.
3.18.1. Уничтожение ПДн, обработка которых осуществляется в рамках целей, указанных в настоящей Политике, производится в следующих случаях:
— достижения целей обработки ПДн или утраты необходимости в их достижении;
— получения от Субъекта отзыва согласия Субъекта на обработку его ПДн или требования о прекращении обработки ПДн, (если исполнение указанного требования влечет за собой уничтожение ПДн);
— истечения срока согласия Субъекта ПДн;
— получения соответствующего предписания от уполномоченного органа по защите прав Субъектов ПДн;
— при выявлении факта неправомерной обработки ПДн.
В случае отсутствия возможности уничтожения ПДн в течение срока, определенного Федеральным законом от 27.07.2006 № 152‑ФЗ «О персональных данных», Оператор осуществляет блокирование таких ПДн или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) и обеспечивает уничтожение ПДн в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
Уничтожение документов (носителей), содержащих ПДн, производится путем сожжения, дробления (измельчения), химического разложения, превращения в бесформенную массу или порошок. Для уничтожения бумажных документов допускается применение шредера.
3.18.2. ПДн на электронных носителях уничтожаются путем стирания или форматирования носителя.
3.18.3. Факт уничтожения ПДн подтверждается документально актом об уничтожении носителей в соответствии с требованиями, установленными уполномоченным органом по защите прав Субъектов ПДн.
4.1. В соответствии с требованиями нормативных документов Оператором создана система защиты персональных данных (СЗПДн), состоящая из подсистем правовой, организационной и технической защиты.
4.2. Подсистема правовой защиты представляет собой комплекс правовых, организационно-распорядительных и нормативных документов, обеспечивающих создание, функционирование и совершенствование СЗПДн.
4.3. Подсистема организационной защиты включает в себя организацию структуры управления СЗПДн, разрешительной системы, защиты информации при работе с работниками, партнерами и сторонними лицами.
4.4. Подсистема технической защиты включает в себя комплекс технических, программных, программно-аппаратных средств, обеспечивающих защиту ПДн.
4.4. Основными мерами защиты ПДн, используемыми Оператором, являются:
4.5.1. Назначение лица, ответственного за обработку ПДн, которое осуществляет организацию обработки ПДн, обучение и инструктаж, внутренний контроль за соблюдением Оператором и его работниками требований к защите ПДн.
4.5.2. Определение актуальных угроз безопасности ПДН при их обработке в ИСПДн (Информационная система персональных данных) и разработка мер и мероприятий по защите ПДн.
4.5.3. Разработка политики в отношении обработки персональных данных.
4.5.4. Установление правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечение регистрации и учета всех действий, совершаемых с ПДн в ИСПДн.
4.5.5. Установление индивидуальных паролей доступа работников в информационную систему в соответствии с их производственными обязанностями.
4.5.6. Применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации.
4.5.7. Сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами.
4.5.8. Соблюдение условий, обеспечивающих сохранность ПДн и исключающих
несанкционированный к ним доступ.
4.5.9. Обнаружение фактов несанкционированного доступа к персональным данным и принятие необходимых мер по прекращению указанного доступа и защите ПДн.
4.5.10. Восстановление ПДн, модифицированных или уничтоженных вследствие
несанкционированного доступа к ним.
4.5.11. Обучение работников Оператора, непосредственно осуществляющих обработку персональных данных, положениям законодательства РФ о персональных данных, в том числе требованиям к защите персональных данных, документам, определяющим политику Оператора в отношении обработки персональных данных, локальным актам по вопросам обработки персональных данных.
4.5.12. Осуществление внутреннего контроля и аудита.
4.2. Подсистема правовой защиты представляет собой комплекс правовых, организационно-распорядительных и нормативных документов, обеспечивающих создание, функционирование и совершенствование СЗПДн.
4.3. Подсистема организационной защиты включает в себя организацию структуры управления СЗПДн, разрешительной системы, защиты информации при работе с работниками, партнерами и сторонними лицами.
4.4. Подсистема технической защиты включает в себя комплекс технических, программных, программно-аппаратных средств, обеспечивающих защиту ПДн.
4.4. Основными мерами защиты ПДн, используемыми Оператором, являются:
4.5.1. Назначение лица, ответственного за обработку ПДн, которое осуществляет организацию обработки ПДн, обучение и инструктаж, внутренний контроль за соблюдением Оператором и его работниками требований к защите ПДн.
4.5.2. Определение актуальных угроз безопасности ПДН при их обработке в ИСПДн (Информационная система персональных данных) и разработка мер и мероприятий по защите ПДн.
4.5.3. Разработка политики в отношении обработки персональных данных.
4.5.4. Установление правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечение регистрации и учета всех действий, совершаемых с ПДн в ИСПДн.
4.5.5. Установление индивидуальных паролей доступа работников в информационную систему в соответствии с их производственными обязанностями.
4.5.6. Применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации.
4.5.7. Сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами.
4.5.8. Соблюдение условий, обеспечивающих сохранность ПДн и исключающих
несанкционированный к ним доступ.
4.5.9. Обнаружение фактов несанкционированного доступа к персональным данным и принятие необходимых мер по прекращению указанного доступа и защите ПДн.
4.5.10. Восстановление ПДн, модифицированных или уничтоженных вследствие
несанкционированного доступа к ним.
4.5.11. Обучение работников Оператора, непосредственно осуществляющих обработку персональных данных, положениям законодательства РФ о персональных данных, в том числе требованиям к защите персональных данных, документам, определяющим политику Оператора в отношении обработки персональных данных, локальным актам по вопросам обработки персональных данных.
4.5.12. Осуществление внутреннего контроля и аудита.
5.1. Основные права Субъекта ПДн.
Субъект имеет право на доступ к его персональным данным и следующим сведениям:
Оператор обязан:
Субъект имеет право на доступ к его персональным данным и следующим сведениям:
- подтверждение факта обработки ПДн Оператором;
- правовые основания и цели обработки ПДн;
- цели и применяемые Оператором способы обработки ПДн;
- наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Оператором или на основании федерального закона;
- сроки обработки персональных данных, в том числе сроки их хранения;
- порядок осуществления Субъектом ПДн прав, предусмотренных настоящим Федеральным законом;
- наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Оператора, если обработка поручена или будет поручена такому лицу;
- информацию о способах исполнения оператором обязанностей, установленных ст. 18.1 Федерального закона РФ от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
- обращение к Оператору и направление ему запросов;
- обжалование действий или бездействия Оператора.
Оператор обязан:
- при сборе ПДн предоставлять информацию об обработке ПДн лицам, в соответствии с действующим законодательством;
- до начала обработки персональных данных направить уведомление в Роскомнадзор о намерении осуществлять соответствующую обработку;
- в случаях если ПДн были получены не от Субъекта ПДН, уведомить об этом Субъекта;
- при отказе в предоставлении ПДн Субъекту разъяснить последствия такого отказа;
- опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его Политику в отношении обработки ПДн, к сведениям о реализуемых требованиях к защите ПДн;
- принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
- давать ответы на запросы и обращения Субъектов ПДн, их представителей и уполномоченного органа по защите прав Субъектов ПДн;
- прекращать обработку персональных данных при достижении цели обработки, при отзыве Субъектом ПДн согласия на обработку его ПДн, в установленном порядке уведомлять о прекращении обработки ПДн.
6.1. Подтверждение факта обработки персональных данных Оператором, правовые основания и цели обработки персональных данных, а также иные сведения, указанные в ч. 7 ст. 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных), предоставляются Оператором Субъекту персональных данных или его представителю при обращении либо при получении запроса Субъекта персональных данных или его представителя.
В предоставляемые сведения не включаются персональные данные, относящиеся к другим Субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
Запрос должен содержать:
Если в обращении (запросе) Субъекта персональных данных не отражены в соответствии с требованиями Закона о персональных данных все необходимые сведения или Субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.
Право Субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с ч. 8 ст. 14 Закона о персональных данных, в том числе если доступ Субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
6.2. В случае выявления неточных персональных данных при обращении Субъекта персональных данных или его представителя либо по их запросу или по запросу Роскомнадзора Оператор осуществляет блокирование персональных данных, относящихся к этому Субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы Субъекта персональных данных или третьих лиц.
В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных Субъектом персональных данных или его представителем либо Роскомнадзором, или иных необходимых документов уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
6.3. В случае выявления неправомерной обработки персональных данных при обращении (запросе) Субъекта персональных данных или его представителя либо Роскомнадзора Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому Субъекту персональных данных, с момента такого обращения или получения запроса.
6.4. При достижении целей обработки персональных данных, а также в случае отзыва Субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:
В предоставляемые сведения не включаются персональные данные, относящиеся к другим Субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
Запрос должен содержать:
- номер основного документа, удостоверяющего личность Субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
- сведения, подтверждающие участие Субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
- подпись Субъекта персональных данных или его представителя.
Если в обращении (запросе) Субъекта персональных данных не отражены в соответствии с требованиями Закона о персональных данных все необходимые сведения или Субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.
Право Субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с ч. 8 ст. 14 Закона о персональных данных, в том числе если доступ Субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
6.2. В случае выявления неточных персональных данных при обращении Субъекта персональных данных или его представителя либо по их запросу или по запросу Роскомнадзора Оператор осуществляет блокирование персональных данных, относящихся к этому Субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы Субъекта персональных данных или третьих лиц.
В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных Субъектом персональных данных или его представителем либо Роскомнадзором, или иных необходимых документов уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
6.3. В случае выявления неправомерной обработки персональных данных при обращении (запросе) Субъекта персональных данных или его представителя либо Роскомнадзора Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому Субъекту персональных данных, с момента такого обращения или получения запроса.
6.4. При достижении целей обработки персональных данных, а также в случае отзыва Субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:
- иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект персональных данных;
- Оператор не вправе осуществлять обработку без согласия Субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами;
- иное не предусмотрено другим соглашением между Оператором и Субъектом персональных данных.
7.1. Ответственность за нарушение требований законодательства Российской Федерации и нормативных документов ООО «ЭРБА» в области персональных данных определяется в соответствии с законодательством Российской Федерации.
7.2. Настоящая Политика вступает в силу с момента утверждения и действует бессрочно до принятия новой Политики.
7.3. Все изменения и дополнения к настоящей Политике должны быть утверждены генеральным директором ООО «ЭРБА».
7.2. Настоящая Политика вступает в силу с момента утверждения и действует бессрочно до принятия новой Политики.
7.3. Все изменения и дополнения к настоящей Политике должны быть утверждены генеральным директором ООО «ЭРБА».
