Политика обработки персональных данных
УТВЕРЖДЕНО
Приказом директора
ООО «УК «Ямская слобода»
от 30 декабря 2020 г.
Положение (политика)
об обработке и защите персональных данных (в том числе в отношении персональных данных клиентов (контрагентов) ООО «УК «Ямская слобода»
Общие положения
1.1. Положение об обработке и защите персональных данных (в том числе в отношении персональных данных клиентов (контрагентов) (далее – Положение) определяет политику, порядок и условия в отношении обработки и защиты персональных данных в ООО «УК «Ямская слобода» (далее – Общество, Организация, Оператор), устанавливает процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений, связанных с обработкой и защитой персональных данных (далее – ПД, персональные данные).
1.2. Настоящее Положение разработано в соответствии с Конституцией РФ, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информатизации, информационных технологиях и о защите информации» и иными нормативными актами, действующими на территории Российской Федерации.
1.3. Целью обработки персональных данных является:
- ведение кадрового и бухгалтерского учета;
- обеспечение соблюдения трудового законодательства РФ;
- обеспечение соблюдения налогового законодательства РФ;
- обеспечение соблюдения пенсионного законодательства РФ;
- обеспечение соблюдения страхового законодательства РФ;
- обеспечение соблюдения законодательства РФ в сфере здравоохранения;
- обеспечение соблюдения законодательства РФ об исполнительном производстве;
- подготовка, заключение и исполнение гражданско-правового договора;
- добровольное медицинское страхование;
- подбор персонала (соискателей) на вакантные должности оператора;
1.4. Условия обработки персональных данных:
1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
4) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных;
6) обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, в том числе в случаях, предусмотренных Федеральным от 03.07.2016 N 230-ФЗ "О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон "О микрофинансовой деятельности и микрофинансовых организациях", либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
7) обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в ст. 15 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", при условии обязательного обезличивания персональных данных;
8) осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
1.5. Настоящее Положение вступает в силу со дня его утверждения. Все изменения в настоящее Положение вносятся приказом директора Общества.
1.6. Контроль за выполнением настоящего Положения возлагается на директора Общества. 1.7. В настоящем Положении используются следующие термины и определения: Организация, Общество – Оператор, осуществляющий обработку ПД, а также определяющий цели обработки ПД, состав ПД, подлежащих обработке, действия (операции), совершаемые с ПД.
Контрагент – физическое лицо, официальный представитель юридического лица и/или индивидуального предпринимателя, вступившие в договорные отношения по оказанию услуг с Организацией.
Персональные данные – ПД, любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных), в том числе:
- фамилия, имя, отчество (при наличии);
- год, месяц, дата и место рождения;
- адрес места жительства физического лица;
- данные о паспорте гражданина Российской Федерации (серия и номер общероссийского паспорта, дата его выдачи, наименование органа, выдавшего паспорт);
- идентификационный номер налогоплательщика;
- номер страхового свидетельства государственного пенсионного фонда.
- копии документов и технической документации на объекты имущества, являющихся предметом договорных отношений;
- юридический адрес;
- адрес электронной почты;
- контактные номера телефонов.
Обработка ПД — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПД, включая: сбор физического лица, представителя юридического лица; запись; систематизацию; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передачу; (распространение, предоставление, доступ); обезличивание; блокирование; удаление; уничтожение ПД.
Защита ПД – деятельность Организации по обеспечению с помощью локального регулирования порядка обработки ПД и организационно - технических мер обеспечения конфиденциальности информации, защиты от уничтожения, изменения, блокирования. Конфиденциальность ПД – обязательное для соблюдения лицом, получившим доступ к ПД, требование не допускать их распространения и передачи третьим лицам без согласия субъекта ПД или наличия иного законного основания.
1.8. Все вопросы, связанные с обработкой и защитой персональных данных, не урегулированные настоящим Положением, разрешаются в соответствии с действующим законодательством Российской Федерации в области персональных данных.
2. Обработка персональных данных
2.1. ПД относятся к категории конфиденциальной информации. Общество обеспечивает конфиденциальность персональных данных, и обязано не допускать их распространения без согласия субъекта ПД, либо наличия иного законного основания.
2.2. Все меры конфиденциальности при сборе, обработке и хранении персональных данных распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.
2.3. Обработка персональных данных необходима для соблюдения прав и законных интересов Общества или иных третьих лиц при соблюдении условия, что при этом не нарушаются права и свободы субъекта ПД.
2.4. Обработка персональных данных заключается в получении, систематизации, накоплении, хранении, уточнении (обновлении, изменении), использовании, распространении, обезличивании, блокировании, уничтожении и в защите от несанкционированного доступа персональных данных.
2.5. В целях обеспечения прав и свобод человека и гражданина Общество при обработке ПД соблюдает следующие общие требования.
2.5.1. Обработка ПД осуществляется для выполнения функций, полномочий и обязанностей, возложенных на Общество Уставом.
2.5.2. При определении объема и содержания, обрабатываемых ПД Общество руководствуется действующим законодательством Российской Федерации.
2.5.3. Все ПД субъекта ПД Общество получает у него самого, за исключением случаев, когда их получение возможно только у третьей стороны способом, не противоречащим действующему законодательству Российской Федерации.
2.5.4. Обработка ПД, полученных от третьих лиц, возможна только при уведомлении субъекта ПД.
2.5.5. Общество не получает и не обрабатывает ПД субъекта ПД о его политических, религиозных и иных убеждениях и частной жизни.
2.5.6. ПД не используются в целях причинения какого-либо ущерба (вреда), затруднения реализации его прав и свобод.
2.5.7. При принятии решений, затрагивающих интересы субъекта ПД, Общество не основывается на ПД, полученных исключительно в результате их автоматизированной обработки без его письменного согласия на такие действия.
2.6. При идентификации Представителя Контрагента Общество требует предъявление документов, удостоверяющих личность и подтверждающих полномочия представителя, его право на оказание услуг (проведение работ), явившихся предметом договора.
2.7. При заключении договора, как и в ходе его исполнения, может возникнуть необходимость в предоставлении Контрагентом иных документов, содержащих информацию о нем.
2.8. После принятия решения о заключении договора или представления документов, подтверждающих полномочия представителя, а также впоследствии, в процессе выполнения договора, ПД Контрагента также будут включены в договор, что необходимо согласно действующему законодательству Российской Федерации.
2.9. Согласие Представителя субъекта ПД на обработку его персональных данных дается в форме конклюдентных действий, выраженных в предоставлении доверенности на право действовать от имени и по поручению субъектов персональных данных, и документа, удостоверяющего его личность.
2.10. Согласие субъектов на предоставление их персональных данных не требуется при получении Обществом, в рамках установленных полномочий, мотивированных запросов от органов прокуратуры, правоохранительных органов, органов безопасности, а также органов власти и местного самоуправления, налоговых органов, судебных приставов, иных организаций, направляющих в Общество запросы.
2.10.1. Мотивированный запрос должен включать в себя указание цели запроса, ссылку на правовые основания запроса, в том числе подтверждающие полномочия органа, направившего запрос, а также перечень запрашиваемой информации. В случае поступления запросов из организаций, не обладающих соответствующими полномочиями, Общество обязано получить согласие субъекта ПД на предоставление его персональных данных и предупредить лиц, получающих персональные данные, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, а также требовать от этих лиц подтверждения того, что это правило будет (было) соблюдено.
2.13. Оператор осуществляет обработку следующих персональных данных.
2.13.1. В отношении физических лиц, связанных с Оператором трудовыми отношениями; гражданско-правовыми отношениями:
- фамилия, имя, отчество (при наличии);
- дата рождения;
- номер контактного телефона;
- адрес электронной почты (e-mail);
- тип, серия и номер документа, удостоверяющего личность;
- дата выдачи документа, удостоверяющего личность и информация о выдавшем его органе;
- должность;
- адрес места проживания и адрес регистрации;
- идентификационный номер налогоплательщика;
- номер страхового свидетельства государственного пенсионного фонда.
2.13.2. В отношении физических лиц (представителей) юридических лиц и/или индивидуальных предпринимателей, вступивших с Оператором в договорные отношения: - фамилия, имя, отчество (при наличии);
- дата рождения; - номер контактного телефона;
- адрес электронной почты (e-mail);
- тип, серия и номер документа, удостоверяющего личность;
- дата выдачи документа, удостоверяющего личность и информация о выдавшем его органе;
- должность;
- адрес места проживания и адрес регистрации;
- идентификационный номер налогоплательщика;
- номер страхового свидетельства государственного пенсионного фонда.
- данные об оказанных и/или оказываемых Субъекту персональных данных услугах.
2.14. Оператор не осуществляет обработку персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных, философских и иных убеждений, интимной жизни, членства в общественных объединениях, в том числе в профессиональных союзах.
2.15. Биометрические данные (сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить личность и которые используются для установления личности) Оператором не обрабатываются.
2.16. Оператор осуществляет обработку персональных данных субъектов персональных данных путем ведения баз данных смешанным способом (автоматизированный и неавтоматизированный).
2.17. Оператор осуществляет обработку персональных данных посредством совершения любого действия (операции) или совокупности действий (операций), включая:
- сбор;
- запись;
- систематизацию;
- накопление;
- хранение; -
уточнение (обновление, изменение);
- извлечение;
- использование;
- передачу (распространение, предоставление, доступ);
- обезличивание;
- блокирование;
- удаление;
- уничтожение.
2.18. Оператор не осуществляет трансграничную передачу персональных данных.
3. Организация защиты персональных данных
3.1. Защита ПД, обрабатываемых Обществом, обеспечивается реализацией правовых, организационных и технических мер, необходимых и достаточных для обеспечения требований законодательства в области защиты персональных данных. Правовые меры включают:
- разработку локальных актов Общества, реализующих требования Российского законодательства, в том числе политики в отношении обработки персональных данных, и размещение ее на интернет-сайте Общества;
- отказ от любых способов обработки персональных данных, не соответствующих целям, заранее предопределенным Обществом;
- оценку вреда, который может быть причинен субъекту ПД в случае нарушения требований Федерального закона «О персональных данных», соотношение указанного вреда и принимаемых Обществом мер, направленных на обеспечение выполнения обязанностей, предусмотренных законодательством.
Организационные меры включают:
- назначение лиц, ответственных за организацию обработки ПД;
- назначение лица, ответственного за обеспечение безопасности ПД в информационных системах;
- осуществление внутреннего контроля обработки персональных данных требованиям Федерального закона «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПД, определенным в политике и локальных актах Общества;
- ограничение состава работников, имеющих доступ к ПД, и организацию разрешительной системы доступа к ним;
- ознакомление работников с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, с локальными актами Общества по вопросам обработки персональных данных;
- обучение работников, непосредственно осуществляющих обработку ПД, правилам работы с ними и обеспечения безопасности обрабатываемых данных;
- регламентацию процессов обработки персональных данных;
- организацию учѐта материальных носителей ПД, их хранения, обеспечивающую предотвращение хищения, подмены, несанкционированного копирования и уничтожения; - определение типа угроз безопасности ПД, актуальных для информационных систем персональных данных с учетом оценки возможного вреда субъектам персональных данных, который может быть причинен в случае нарушения требований безопасности, определение уровня защищенности персональных данных, формирование частных моделей актуальных угроз ПД;
- размещение технических средств обработки ПД в пределах охраняемой территории;
- ограничение допуска посторонних лиц в помещения Общества, где ведется работа с ПД и размещаются технические средства их обработки, а также недопущение их нахождения в помещениях, без контроля со стороны работников Общества.
Технические меры включают:
- реализацию разрешительной системы доступа работников к ПД, обрабатываемым в информационных системах, и программно-аппаратным и программным средствам защиты информации;
- выявление вредоносного программного обеспечения (применение антивирусных программ) на всех узлах информационной сети Общества, обеспечивающих соответствующую техническую возможность;
- обнаружение вторжений в информационную систему Общества, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности персональных данных;
- восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним (использование системы резервного копирования и восстановления персональных данных);
- периодическое проведение мониторинга действий пользователей, разбирательств по фактам нарушения требований безопасности персональных данных.
3.2. Все работники, имеющие доступ к ПД, подписывают Обязательство о неразглашении персональных данных.
3.3. Защита ПД от неправомерного их использования или утраты обеспечивается Обществом в порядке, установленном законодательством Российской Федерации, внутренними регламентирующими документами Общества.
3.4. Защите подлежат: - ПД субъектов ПД на бумажных носителях; - материальные носители информации, содержащие ПД.
3.5. Ответственные лица структурных подразделений Общества, хранящих ПД на бумажных и машинных носителях информации, обеспечивают их защиту от несанкционированного доступа и копирования на местах.
3.6. Ответственные лица, обрабатывающие ПД на бумажных носителях, в информационных системах ПД и на машинных носителях информации, обеспечивают защиту в соответствии с требованиями законодательства Российской Федерации, нормативными и методическими документами, касающимися защиты ПД.
3.7. Ответственность за организацию данных процессов несут все работники Общества, непосредственно осуществляющие работу по обработке и хранению ПД
. 3.8. Работник Общества, имеющий доступ к персональным данным в связи с исполнением трудовых обязанностей:
- обеспечивает хранение информации, содержащей персональные данные, исключающее доступ к ним третьих лиц;
- в отсутствие работника на его рабочем месте не должно быть документов, содержащих персональные данные;
- при увольнении работника, имеющего доступ к персональным данным, документы и иные носители, содержащие персональные данные, передаются другому работнику, имеющему доступ к персональным данным.
3.9. Защита доступа к электронным носителям, содержащим персональные данные, обеспечивается, в том числе:
- организацией контроля доступа посторонних лиц в помещения информационной системы;
- использованием лицензированных антивирусных программ, не допускающих несанкционированный доступ к персональным данным;
- разграничением прав доступа с использованием учетной записи
- установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных.
- учетом машинных носителей персональных данных.
- обнаружением фактов несанкционированного доступа к персональным данным и принятием соответствующих мер
- контролем эффективности принимаемых мер по обеспечению защищенности персональных данных.
3.10. Ответы на письменные запросы других организаций и учреждений о персональных данных субъекта ПД даются только с письменного согласия самого субъекта ПД, если иное не установлено законодательством. Ответы оформляются в письменном виде, на бланке Общества, и в том объеме, который позволяет не разглашать излишний объем персональных данных.
4. Хранение персональных данных
4.1. Обязанности по хранению документов, в которых содержатся ПД, возлагаются на работников Общества, которыми обрабатывается информация.
4.2. ПД могут храниться в электронном виде, доступ к которым ограничен.
4.3. Внутренний доступ к ПД другим работникам Общества может быть предоставлен только лицам, внесенным в приказ, лиц, допущенных к обработке ПД и только в интересах и в объеме выполнения ими должностных обязанностей.
4.4. Хранение ПД осуществляется в форме, позволяющей определить субъекта ПД, не дольше, чем этого требуют цели их обработки.
4.5. Обрабатываемые ПД подлежат уничтожению либо обезличиванию при поступлении соответствующего заявления, если иное не предусмотрено действующим законодательством.
4.6. По истечении срока действия и срока хранения документов, содержащих ПД, уничтожение производится с соблюдением правил уничтожения. Работник, отвечающий за уничтожение документов, содержащих ПД, несет персональную ответственность за их неразглашение.
4.7. Результатом уничтожения ПД должна стать невозможность восстановить содержание ПД в информационной системе ПД и (или) на материальных носителях.
5. Передача персональных данных
5.1. При передаче ПД соблюдаются следующие требования, и выполняются следующие условия:
5.1.1. Общество осуществляет обработку ПД в соответствии с настоящим Положением (Политикой).
5.1.2. Общество разрешает доступ к ПД только специально уполномоченным лицам, при этом указанные лица вправе получать только те ПД, которые необходимы для выполнения конкретных функций.
5.1.3. Общество вправе поручить обработку ПД другому лицу с согласия субъекта ПД, если иное не предусмотрено федеральным законодательством, с согласия субъекта ПД. 5.1.4. В случае если Общество поручает обработку ПД другому лицу, ответственность перед субъектом ПД за действия указанного лица, несет Общество. Лицо, осуществляющее обработку ПД по поручению Общества, несет ответственность перед Обществом.
5.1.5. Общество передает ПД субъекта ПД его представителям в порядке, установленном законодательством Российской Федерации, и ограничивает эту информацию только теми персональными данными, которые необходимы для выполнения указанными представителями их функций.
6. Обязанности субъекта ПД и Общества (Оператора ПД)
6.1. Субъект ПД обязан:
6.1.1. При работе с Оператором предоставить Оператору полные и достоверные данные о себе.
6.1.2. В случае изменения сведений, составляющих ПД, не позднее пяти рабочих дней, предоставить обновленную информацию Оператору.
6.2. Оператор обязан:
6.2.1. Обеспечить защиту и сохранность ПД субъектов от неправомерного их использования или утраты в порядке, установленном действующим законодательством Российской Федерации.
6.2.2. Обеспечить защищенное хранение документов, содержащих ПД. При этом ПД не должны храниться дольше, чем этого требуют цели, для которых они были получены, или дольше, чем это требуется в интересах лиц, о которых собраны данные, или дольше, чем этого требует законодательство.
6.2.3. В случае реорганизации или ликвидации Общества, учет и сохранность документов, порядок передачи их на хранение осуществлять в соответствии с действующим законодательством Российской Федерации.
6.2.4. Осуществлять передачу ПД субъекта только в соответствии с законодательством Российской Федерации и настоящим Положением.
6.2.5. По требованию субъекта ПД или его законного представителя предоставить ему полную информацию о его ПД и обработке этих данных.
6.2.6. В случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, Общество обязано прекратить их обработку и обеспечить прекращение такой обработки другим лицом, действующим по поручению Общества, а также уничтожить персональные данные субъекта ПД и обеспечить их уничтожение другим лицом, действующим по поручению Общества.
6.2.7. При обращении либо при получении запроса субъекта ПД Общество в течение тридцати дней с даты получения запроса обязано сообщить субъекту ПД информацию о наличии персональных данных о нем, и при необходимости предоставить возможность ознакомления с ними, либо в течение этого же срока дать мотивированный отказ в предоставлении информации.
7. Права субъекта ПД в целях защиты персональных данных
7.1. Субъект ПД имеет право:
7.1.1. На получение полной информации о составе своих ПД и их обработке.
7.1.2. На получение сведений об Обществе, о месте его нахождения, о наличии в Обществе персональных данных, относящихся к нему, а также на ознакомление с такими персональными данными.
7.1.3. На бесплатный доступ к своим ПД, включая право на получение копий любой записи, содержащей ПД на основании письменного запроса, за исключением случаев, если предоставление ПД нарушает конституционные права и свободы других лиц и норм законодательства.
7.1.4. На выбор представителей для защиты своих ПД.
7.1.5. На требование об исключении или исправлении неверных или неполных устаревших, недостоверных, незаконно полученных или не являющихся необходимыми для Общества персональных данных. При отказе Общества исключить или исправить ПД субъекта ПД, субъект ПД имеет право заявить в письменной форме Обществу о своем несогласии с соответствующим обоснованием такого несогласия.
7.1.6. На требование об извещении Обществом всех лиц, которым ранее были сообщены неверные или неполные ПД субъекта ПД, обо всех произведенных в них исключениях, исправлениях или дополнениях.
7.1.7. На обжалование в суде любых неправомерных действий или бездействия Общества при обработке и защите его ПД.
8. Ответственность за нарушение норм, регулирующих получение, обработку и защиту персональных данных
8.1. Лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, а также в неправомерном разглашении информации, доступ к которой ограничен федеральным законом, причинении гражданину морального вреда (физические или нравственные страдания) неправомерными действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину другие нематериальные блага, а также в иных случаях, предусмотренных законом – могут быть привлечены к дисциплинарной, гражданско-правовой, административной и уголовной ответственности в порядке, установленном действующим законодательством РФ.
8.2. За незаконное разглашение или использование сведений, составляющих коммерческую тайну – действующим законодательством РФ установлена дисциплинарная, административная и уголовная ответственность.
8.3. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, а также несоблюдения требований к их защите, установленных Законом о персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
9. Заключительные положения
9.1. Положение вступает в действие с момента его утверждениям генеральным директором Общества и обязательно для исполнения всеми работниками Общества, имеющими доступ к персональным данным.
9.2. Во всех случаях, не предусмотренных настоящим Положением, следует руководствоваться действующим законодательством Российской Федерации.
9.3. Все изменения и дополнения к настоящему Положению утверждаются приказом директора Общества.
9.4. Общество во исполнение требований п. 2, ст. 18.1. Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» для обеспечения неограниченного доступа к сведениям о реализуемых Обществом мероприятиях по защите персональных данных, и к документам, определяющим политику Общества в отношении обработки персональных данных, размещает текст настоящего Положения на своем общедоступном официальном сайте в телекоммуникационной сети Internet.