1. Общие положения
1.1. Настоящая Политика является локальным нормативным актом ООО «АвтоДом» (далее - Общество), разработано с учетом требований Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации в области персональных данных.
1.2. В Политике устанавливаются:
- цель, порядок и условия обработки персональных данных;
- категории субъектов, персональные данные которых обрабатываются, категории (перечни) обрабатываемых персональных данных, способы, сроки их обработки и хранения, порядок уничтожения таких данных при достижении целей обработки или при наступлении иных законных оснований;
- положения, касающиеся защиты персональных данных, процедуры, направленные на выявление и предотвращение нарушений законодательства РФ в области персональных данных, а также на устранение последствий таких нарушений.
1.3. В целях соблюдения настоящей Политики Общество:
- осуществляет обработку персональных данных своих работников и соискателей, поступающих на работу, а также иных лиц, не являющихся работниками Общества, связанных с Обществом договорными обязательствами, которые обусловлены выполнением Обществом основных видов деятельности, предусмотренных Уставом;
- применяет единые процедуры обработки всех персональных данных, находящихся в его распоряжении, и обеспечивает одинаковый уровень их защиты;
- предоставляет находящиеся в его распоряжении персональные данные третьим лицам только в установленных законами Российской Федерации случаях;
- освобождается от обязанности предоставлять субъекту персональных данных сведения в случаях, установленных законодательством Российской Федерации.
1.4. Политика вступает в силу с момента ее утверждения приказом генерального директора и действует до ее отмены или до введения новой Политики.
1.5. Внесение изменений в Политику производится по приказу генерального директора общества. Изменения вступают в силу с момента подписания соответствующего приказа.
2. Законодательные и иные нормативные правовые акты Российской Федерации, в соответствии с которыми определяется политика обработки персональных данных
2.1. В соответствии с действующим законодательством Российской Федерации Организация является оператором персональных данных. Политика обработки персональных данных в Обществе определяется в соответствии со следующими нормативными правовыми актами:
- Трудовым кодексом Российской Федерации.
- Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
- Указом Президента Российской Федерации от 06.03.1997 № 188 «Об утверждении Перечня сведений конфиденциального характера».
- Постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
- Постановлением Правительства Российской Федерации от 06.07.2008 № 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных».
- Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»; приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
- Приказом Роскомнадзора от 05.09.2013 № 996 «Об утверждении требований и методов по обезличиванию персональных данных».
- Иными нормативными правовыми актами Российской Федерации и нормативными документами уполномоченных органов государственной власти.
3. Основные термины и определения
3.1. Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
3.2. Персональные данные, разрешенные субъектом персональных данных для распространения – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном действующим законодательством Российской Федерации.
3.3. Информация – сведения (сообщения, данные) независимо от формы их представления.
3.4. Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
3.5. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемые с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
3.6. Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
3.7. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
3.8. Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
3.9. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных).
3.10. Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
3.11. Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
3.12. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
4. Условия обработки персональных данных
4.1. Обработка персональных данных производится в связи:
4.1.1. С согласия субъекта персональных данных;
4.1.2. С осуществлением прав и законных интересов Общества;
4.1.3. С исполнением договора, заключенного между субъектом персональных данных и Обществом;
4.1.4. Обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
4.1.5. Обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
4.1.6. Обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
4.1.7. Обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года N 210-ФЗ “Об организации предоставления государственных и муниципальных услуг”, включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;
4.1.8. С обработкой персональных данных необходимых для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
4.1.9. Обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
4.1.10. Обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
4.1.11. Обработка персональных данных необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации, либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных;
4.1.12. Обработка персональных данных осуществляется в статистических или иных исследовательских целях, при условии обязательного обезличивания персональных данных. Исключение составляет обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации;
4.1.13. Обработка персональных данных, полученных в результате обезличивания персональных данных, осуществляется в целях повышения эффективности государственного или муниципального управления, а также в иных целях;
4.1.14. Осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом;
4.1.15. Обработка персональных данных объектов государственной охраны и членов их семей осуществляется с учетом особенностей, предусмотренных федеральным законом;
4.1.16. С приемом на работу в Общество.
4.2. Согласно действующему законодательству, в отдельных случаях не требуется получения письменного согласия субъекта на обработку его персональных данных.
4.3. В следующих случаях (за исключением специально обговоренных в ФЗ «О персональных данных» случаев) требуется письменное согласие субъекта на обработку его ПДн:
4.3.1. Включение ПДн субъекта в общедоступные источники ПДн;
4.3.2. Обработка специальных категорий ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, сведений о судимости.
4.3.3. Обработка биометрических ПДн (сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных);
4.3.4. Принятие на основании исключительно автоматизированной обработки ПДн решений, порождающих юридические последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы.
4.4. При отсутствии необходимости получения согласия субъекта на обработку ПДн в письменной форме, установленной ФЗ «О персональных данных», согласие субъекта может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт получения согласия форме, в том числе в электронном виде (путем проставления галочки в соответствующем окне).
4.5. Обработка персональных данных может осуществляться также с согласия субъекта на обработку его персональных данных. Согласие может быть отозвано на основании письменного заявления субъекта персональных данных.
4.6. Согласие в письменной форме субъекта на обработку его персональных данных должно включать в себя, в частности:
4.6.1. Фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе.
4.6.2. Наименование и адрес оператора, получающего согласие субъекта персональных данных.
4.6.3. Цель обработки персональных данных.
4.6.4. Перечень персональных данных, на обработку которых дается согласие субъекта персональных данных.
4.6.5. Наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Общества, если обработка будет поручена такому лицу.
4.6.6. Перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых Обществом способов обработки персональных данных.
4.6.7. Срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва.
4.6.8. Подпись субъекта персональных данных.
4.7. Распространение ПДн осуществляется на основании согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения. Данное согласие оформляется отдельно от иных согласий субъекта персональных данных.
4.8. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено Обществу:
4.8.1. Непосредственно;
4.8.2. С использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.
4.9. Согласие в письменной форме на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных и должно содержать следующую информацию:
4.9.1. Фамилия, имя, отчество (при наличии) субъекта персональных данных.
4.9.2. Контактная информация (номер телефона, адрес электронной почты или почтовый адрес субъекта персональных данных).
4.9.3. Сведения об Обществе – наименование, адрес, указанный в Едином государственном реестре юридических лиц, идентификационный номер налогоплательщика, основной государственный регистрационный номер (если он известен субъекту персональных данных).
4.9.4. Сведения об информационных ресурсах Общества (адрес, состоящий из наименования протокола (http или https), сервера (www), домена, имени каталога на сервере и имя файла веб-страницы), посредством которых будут осуществляться предоставление доступа неограниченному кругу лиц и иные действия с персональными данными субъекта персональных данных.
4.9.5. Цель (цели) обработки персональных данных.
4.9.6. Категории и перечень персональных данных, на обработку которых дается согласие субъекта персональных данных.
4.9.7. Категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов (заполняется по желанию субъекта персональных данных).
4.9.8. Условия, при которых полученные персональные данные могут передаваться оператором, осуществляющим обработку персональных данных, только по его внутренней сети, обеспечивающей доступ к информации лишь для строго определенных работников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных персональных данных (заполняется по желанию субъекта персональных данных).
4.9.9. Срок действия согласия.
4.10. Общество обязано в срок не позднее трех рабочих дней с момента получения соответствующего согласия субъекта персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения.
4.11. В случае, если Общество осуществляет обработку персональных данных субъекта, которые он раскрыл неопределенному кругу лиц, и субъект не дал Обществу согласие на обработку персональных данных, то на Общество ложится обязанность доказывания законности последующего распространения или иной обработки таких персональных данных.
4.12. Установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не применяются для случаев обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации.
4.13. Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных.
4.14. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни допускается только в случаях, предусмотренных в 152-ФЗ.
4.15. Обработка биометрических персональных данных, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных допускается только в случаях, предусмотренных в 152-ФЗ.
4.16. Персональные данные могут быть получены Обществом от лица, не являющегося субъектом персональных данных, при условии соблюдения требований законодательства.
4.17. Доступ к обрабатываемым в Обществе персональным данным разрешается только работникам Общества, в должностные обязанности которых входит обработка персональных данных.
4.18. Общество вправе поручить обработку персональных данных третьим лицам — обработчикам — на основании заключаемых с этими лицами договоров. К таким лицам, в частности, относятся поставщики услуг, которые помогают Обществу в его деятельности.
4.19. В случае, если Общество поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Общество. Лицо, осуществляющее обработку персональных данных по поручению Общества, несет ответственность перед Обществом.
4.20. Обработчики обязуются соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом № 152-ФЗ «О персональных данных» (включая ст. 18.1 и ч. 5 ст. 18), иными законами и подзаконными актами. Для каждого обработчика в договоре будут определены:
4.20.1. Перечень обрабатываемых персональных данных;
4.20.2. Цели их обработки;
4.20.3. Перечень действий (операций), которые будут совершаться с персональными данными обработчиком;
4.20.4. Обязанности обработчика по соблюдению конфиденциальности и обеспечению безопасности персональных данных при их обработке, а также перечень принимаемых обработчиком мер по обеспечению защиты обрабатываемых им персональных данных, включая требование об уведомлении Общества об инцидентах с персональными данными;
4.20.5. Обязанность по запросу Общества в течение срока действия поручения на обработку персональных данных предоставлять Обществу документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения Общества требований, установленных Федеральным законом № 152-ФЗ.
4.21. Лицо, осуществляющее обработку персональных данных по поручению Общества, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные законодательством.
4.22. При необходимости Общество обязано предоставить доказательство наличия у него законных оснований или факта получения согласия субъекта персональных данных на обработку персональных данных.
5. Категории субъектов персональных данных
5.1. К субъектам, персональные данные которых обрабатываются в Обществе в соответствии с Политикой, относятся:
5.1.1. Работники Общества, члены семьи работника;
5.1.2. Кандидаты желающие получить работу в Обществе;
5.1.3. Бывшие работники Общества;
5.1.4. Иные лица, персональные данные которых Общество обязано обрабатывать в соответствии с трудовым законодательством и иными актами, содержащими нормы трудового права;
5.1.5. Клиенты;
5.1.6. Студенты;
5.1.7. Посетители сайта;
5.1.8. Контрагенты-физические лица, заключившие с Обществом договор гражданско-правового характера;
5.1.9. Стороны, выгодоприобретатели или поручители по договорам;
5.1.10. Представители контрагентов.
6. Принципы и цели обработки персональных данных
6.1. Общество, являясь оператором персональных данных, осуществляет обработку персональных данных работников Общества и других субъектов персональных данных, не состоящих с Обществом в трудовых отношениях.
6.2. Обработка персональных данных в Обществе осуществляется с учетом необходимости обеспечения защиты прав и свобод работников Общества и других субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну, на основе следующих принципов:
6.2.1. На принципе законности – обработка персональных данных должна осуществляться на законной основе;
6.2.2. На принципе конкретности – обработка персональных данных должна ограничиваться достижением конкретных, заранее оговоренных целей;
6.2.3. На принципе точности – при обработке персональных данных должна быть обеспечена их точность и актуальность;
6.2.4. На принципе конфиденциальности – к обработке персональных данных допускаются только специально назначенные лица и осуществляются меры по недопущению несанкционированной передачи и (или) распространения персональных данных;
6.2.5. На принципе персональной ответственности – специально назначенные должностные лица несут ответственность за соблюдение принципов обработки и выполнение установленных процедур;
6.2.6. На принципе достаточности – содержание и объем используемых персональных данных должны соответствовать целям их обработки;
6.2.7. На принципе разграничения доступа – содержание баз персональных данных и доступ к ним должностных лиц должны соответствовать целям обработки и обязанностям должностных лиц (не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместных между собой).
6.3. Персональные данные обрабатываются в Обществе в целях:
6.3.1. Обеспечения соблюдения Конституции Российской Федерации,
6.3.2. Законодательных и иных нормативных правовых актов Российской Федерации, локальных нормативных актов Общества;
6.3.3. Осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Общество, в том числе по предоставлению персональных данных в органы государственной власти, в Пенсионный фонд Российской Федерации, в Фонд социального страхования Российской Федерации, в Федеральный фонд обязательного медицинского страхования, а также в иные государственные органы;
6.3.4. Регулирования трудовых отношений с работниками Общества (содействие в трудоустройстве, обучение и продвижение по службе, обеспечение личной безопасности, контроль количества и качества выполняемой работы, обеспечение сохранности имущества);
6.3.5. Исполнения обязательств в рамках договоров, заключенных между Обществом и третьими лицами, в том числе;
6.3.6. Заключение, исполнение и прекращение гражданско-правовых договоров;
6.3.7. Предоставления работникам Общества и членам их семей дополнительных гарантий и компенсаций, в том числе негосударственного пенсионного обеспечения, медицинского обслуживания и других видов социального обеспечения;
6.3.8. Защиты жизни, здоровья или иных жизненно важных интересов субъектов персональных данных;
6.3.9. Подготовки, заключения, исполнения и прекращения договоров с контрагентами;
6.3.10. Обеспечения пропускного и внутриобъектового режимов на объектах Общества;
6.3.11. Обеспечение деятельности общества;
6.3.12. Формирования справочных материалов для внутреннего информационного обеспечения деятельности Общества;
6.3.13. Исполнения судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
6.3.14. Осуществления прав и законных интересов Общества в рамках осуществления видов деятельности, предусмотренных Уставом и иными локальными нормативными актами Общества, или третьих лиц либо достижения общественно значимых целей;
6.3.15. В иных законных целях.
6.4. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом или договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению, либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
6.5. Обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
7. Перечень обрабатываемых персональных данных
7.1. Уполномоченные должностные лица Общества получают все персональные данные субъекта персональных данных непосредственно от самого субъекта персональных данных. Если персональные данные субъекта персональных данных возможно получить только у третьего лица, то субъект персональных данных должен быть уведомлен об этом заранее и от него должно быть получено его письменное согласие. Уполномоченные должностные лица Общества должны сообщить субъекту персональных данных о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.
7.2. В соответствии с целью, указанной в п. 5.3. настоящей Политики, в Обществе обрабатываются следующие персональные данные:
7.2.1. Фамилия, имя, отчество (при наличии);
7.2.2. Пол;
7.2.3. Дата (число, месяц, год) и место рождения;
7.2.4. Фотографическое изображение;
7.2.5. Данные голоса человека;
7.2.6. Видеоизображение;
7.2.7. Сведения о гражданстве;
7.2.8. Вид, серия, номер документа, удостоверяющего личность, наименование органа, выдавшего его, дата выдачи;
7.2.9. Страховой номер индивидуального лицевого счета (СНИЛС);
7.2.10. Идентификационный номер налогоплательщика (ИНН);
7.2.11. Адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического проживания;
7.2.12. Номер контактного телефона, адрес электронной почты и (или) сведения о других способах связи;
7.2.13. Реквизиты свидетельств о государственной регистрации актов гражданского состояния и содержащиеся в них сведения;
7.2.14. Сведения о семейном положении, составе семьи (степень родства, фамилии, имена, отчества (при наличии), даты (число, месяц, год) и места рождения);
7.2.15. Сведения об образовании и (или) квалификации или наличии специальных знаний (в том числе наименование образовательной и (или) иной организации, год окончания, уровень образования, квалификация, реквизиты документа об образовании, обучении);
7.2.16. Информация о владении иностранными языками;
7.2.17. Сведения об отношении к воинской обязанности, о воинском учете и реквизиты документов воинского учета (серия, номер, дата выдачи документа, наименование органа, выдавшего его);
7.2.18. Сведения о трудовой деятельности, а также информация о предыдущих местах работы, периодах и стаже работы;
7.2.19. Сведения, содержащиеся в документах, дающих право на пребывание и трудовую деятельность на территории РФ (для иностранных граждан, пребывающих в РФ);
7.2.20. Сведения, содержащиеся в разрешении на временное проживание в РФ (для иностранных граждан, временно проживающих в РФ), виде на жительство (для иностранных граждан, постоянно проживающих в РФ);
7.2.21. Сведения о доходах, обязательствах по исполнительным документам;
7.2.22. Номера расчетного счета, банковской карты;
7.2.23. Иные персональные данные, содержащиеся в документах, представление которых предусмотрено законодательством, если обработка этих данных соответствует цели обработки;
7.2.24. Иные персональные данные, которые работник пожелал сообщить о себе и обработка которых соответствует цели обработки.
7.3. По мере необходимости уполномоченное должностное лицо Общества истребует у субъекта персональных данных дополнительные сведения. Субъект персональных данных представляет требуемые сведения и в случае необходимости предъявляет документы, подтверждающие достоверность этих сведений.
7.4. Использование персональных данных возможно только в соответствии с целями, определившими их получение.
7.5. Не допускается передача персональных данных по телефону, факсимильной связи и электронной почте (без средств шифрования).
7.6. Общество не осуществляет обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, за исключением случаев, предусмотренных законодательством РФ.
8. Перечень действий с персональными данными и способы их обработки
8.1. Общество осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.
8.2. В Обществе используются два способа обработки персональных данных:
8.2.1. Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
8.2.2. Ручная обработка персональных данных – обработка персональных данных без использования средств вычислительной техники.
9. Сроки обработки и хранения персональных данных
9.1. Обработка персональных данных в Обществе прекращается в следующих случаях:
- при выявлении факта неправомерной обработки персональных данных. Срок прекращения обработки - в течение 3 (Трех) рабочих дней с даты выявления такого факта;
- при достижении целей их обработки (за некоторыми исключениями);
- по истечении срока действия или при отзыве субъектом персональных данных согласия на обработку его персональных данных (за некоторыми исключениями), если в соответствии с Законом о персональных данных их обработка допускается только с согласия;
- при обращении субъекта персональных данных к Обществу с требованием о прекращении обработки персональных данных (за исключением случаев, предусмотренных ч. 5.1 ст. 21 Закона о персональных данных). Срок прекращения обработки – не более 10 (Десяти) рабочих дней с даты получения требования (с возможностью продления не более чем на 5 (Пять) рабочих дней, если направлено уведомление о причинах продления).
9.2. Персональные данные хранятся в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки. Исключение - случаи, когда срок хранения персональных данных установлен федеральным законом, договором, стороной которого (выгодоприобретателем или поручителем, по которому) является субъект персональных данных.
9.3. Трудовые книжки работников, вкладыши в них, журналы учета, бланки строгой отчетности хранятся в сейфах отдела кадров.
9.4. Другие документы на бумажных носителях, содержащие персональные данные работников, хранятся в местах, защищенных от несанкционированного доступа.
9.5. Персональные данные на бумажных носителях хранятся в Обществе в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ (Федеральный закон от 22.10.2004 г. № 125-ФЗ «Об архивном деле в Российской Федерации»).
9.6. Доступ к электронным носителям, содержащим персональные данные работников, обеспечивается двухступенчатой системой паролей: на уровне загрузки операционной системы Оператора и на уровне баз данных.
9.7. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.
9.8. Копировать и делать выписки из документов, содержащих персональные данные работников, разрешается уполномоченным должностным лицам Общества исключительно в служебных целях.
10. Порядок блокирования и уничтожения персональных данных
10.1. Общество блокирует персональные данные в порядке и на условиях, предусмотренных законодательством в области персональных данных.
10.2. При достижении целей обработки персональных данных или в случае утраты необходимости в достижении этих целей персональные данные уничтожаются либо обезличиваются. Исключение может предусматривать федеральный закон.
10.3. Незаконно полученные персональные данные или те, которые не являются необходимыми для цели обработки, уничтожаются в течение 7 (Семи) рабочих дней со дня представления субъектом персональных данных (его представителем) подтверждающих сведений.
10.4. Персональные данные, обработка которых прекращена из-за ее неправомерности и правомерность обработки которых невозможно обеспечить, уничтожаются в течение 10 (Десяти) рабочих дней с даты выявления неправомерной обработки.
10.5. Персональные данные уничтожаются в течение 30 (Тридцати) календарных дней с даты достижения цели обработки, если иное не предусмотрено договором, стороной которого (выгодоприобретателем или поручителем по которому) является субъект персональных данных, иным соглашением между ним и Обществом либо если Общество не вправе обрабатывать персональные данные без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами.
10.5.1. При достижении максимальных сроков хранения документов, содержащих персональные данные, персональные данные уничтожаются в течение 30 дней.
10.6. Персональные данные уничтожаются (если их сохранение не требуется для целей обработки персональных данных) в течение 30 (Тридцати) дней с даты поступления отзыва субъектом персональных данных согласия на их обработку. Иное может предусматривать договор, стороной которого (выгодоприобретателем или поручителем, по которому) является субъект персональных данных, иное соглашение между ним и Обществом. Кроме того, персональные данные уничтожаются в указанный срок, если Общество не вправе обрабатывать их без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами.
10.7. Отбор материальных носителей (документы, жесткие диски, флеш-накопители и т.п.) и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению, осуществляют подразделения Общества, обрабатывающие персональные данные.
10.8. Уничтожение персональных данных осуществляет комиссия, созданная приказом генерального директора.
10.8.1. Комиссия составляет акт с указанием документов, иных материальных носителей и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению.
10.8.2. Персональные данные на бумажных носителях уничтожаются с использованием шредера. Персональные данные на электронных носителях уничтожаются путем механического нарушения целостности носителя, не позволяющего считать или восстановить персональные данные, а также путем удаления данных с электронных носителей методами и средствами гарантированного удаления остаточной информации.
10.8.3. Непосредственно после уничтожения персональных данных оформляется акт об их уничтожении. Форма акта утверждается приказом генерального директора.
11. Угрозы безопасности персональных данных
11.1. Под угрозами безопасности персональных данных при их обработке Обществом понимается совокупность условий и факторов, создающих риск нанесения ущерба субъекту персональных данных в результате несанкционированного, в том числе случайного, уничтожения изменения, блокирования, копирования, распространения и предоставления его персональных данных.
11.2. Основными угрозами безопасности персональных данных в целях настоящей Политики признаются:
- несанкционированное использование персональных данных должностными лицами Общества, которые получили доступ к персональным данным для исполнения своих должностных обязанностей;
- несанкционированный доступ к персональным данным с использованием штатного или специально разработанного программного обеспечения должностных лиц Общества и иных лиц, которые не допущены к персональным данным;
- утечка персональных данных по техническим каналам.
12. Меры, принимаемые для обеспечения выполнения обязанностей оператора при обработке персональных данных
12.1. С целью поддержания деловой репутации и обеспечения выполнения требований федерального законодательства, Общество считает важнейшими задачами обеспечение легитимности обработки персональных данных в бизнес-процессах Общества и обеспечение надлежащего уровня безопасности обрабатываемых в Обществе персональных данных.
12.2. Руководство Общества осознает важность и необходимость обеспечения безопасности персональных данных и поощряет постоянное совершенствование системы защиты персональных данных, обрабатываемых в рамках выполнения основной деятельности Общества.
12.3. Общество предполагает достичь снижения вероятности реализации угроз безопасности персональных данных за счет проведения сбалансированной организационной и технической политики.
12.4. Организационная политика обеспечения безопасности персональных данных в Обществе основывается:
- на установлении персональной ответственности должностных лиц Общества за соблюдение установленных правил и процедур обработки персональных данных;
- на доведении до должностных лиц Общества установленных правил и процедур обработки персональных данных;
- на разграничении доступа должностных лиц Общества к персональным данным;
- на регламентации деятельности должностных лиц Общества при обработке персональных данных;
- на учете материальных носителей персональных данных;
- на периодическом повышении квалификации должностных лиц Общества, осуществляющих обработку персональных данных;
- на обеспечении физической защиты помещений, в которых обрабатываются или хранятся материальные носители персональных данных, и на ограничении доступа в эти помещения;
- на оценку эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
- на назначении лица, ответственного за организацию работ и координацию мероприятий по обработке персональных данных;
- на организации проверки наличия материальных носителей персональных данных и выполнения установленных правил обработки персональных данных; на своевременном уничтожении материальных носителей персональных данных, надобность в которых миновала, за исключением архивных материалов;
- на периодическом контроле достаточности принимаемых организационных мер для обеспечения безопасности персональных данных в Обществе.
12.5. Техническая политика обеспечения безопасности персональных данных в Обществе основывается:
- на определении угроз безопасности персональных данных и определении необходимых мер защиты при их обработке в информационной системе персональных данных;
- на учете машинных носителей информации;
- на применении технических мер по обеспечению безопасности персональных данных, установленных законодательством Российской Федерации, и оценке их эффективности;
- на обнаружение фактов несанкционированного доступа к персональным данным и принятием мер;
- на контроль доступа в помещения, в которых осуществляется обработка персональных данных;
- на применении средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, в информационной системе персональных данных и в других средствах автоматизации;
- на установлении правил доступа к персональным данным и их обработки в информационной системе персональных данных;
- на использовании только лицензионного программного обеспечения в информационной системе персональных данных и в других средствах автоматизации;
- на назначении должностного лица, ответственного за проведение технической политики обеспечения безопасности персональных данных в Обществе;
- на использовании процедур регистрации и учета всех действий, совершаемых в информационной системе персональных данных;
- на использовании процедур восстановления персональных данных, измененных или уничтоженных в информационной системе персональных данных;
- на своевременном уничтожении пришедших в негодность машинных носителей информации;
- на своевременном уничтожении (обезличивании) персональных данных, цели обработки которых достигнуты;
- на периодическом контроле достаточности принимаемых технических мер для обеспечения безопасности персональных данных в Обществе.
13. Контроль за соблюдением законодательства российской федерации и локальных нормативных актов в области персональных данных, в том числе требований к защите персональных данных
13.1. Контроль соблюдения Обществом законодательства Российской Федерации и локальных нормативных актов Общества в области персональных данных, в том числе требований к защите персональных данных, осуществляется с целью проверки соответствия обработки персональных данных в Обществе законодательству Российской Федерации и локальным нормативным актам Общества в области персональных данных, в том числе требованиям к защите персональных данных, а также принятых мер, направленных на предотвращение и выявление нарушений законодательства Российской Федерации в области персональных данных, выявления возможных каналов утечки и несанкционированного доступа к персональным данным, устранения последствий таких нарушений.
13.2. Внутренний контроль соблюдения Обществом законодательства Российской Федерации и локальных нормативных актов Общества в области персональных данных, в том числе требований к защите персональных данных, осуществляется лицом, ответственным за организацию обработки персональных данных в Обществе.
13.3. Внутренний контроль соответствия обработки персональных данных Федеральному закону «О персональных данных» и принятым в соответствии с ним локальным нормативным актам, требованиям к защите персональных данных, настоящей Политики, локальным нормативным актам Общества осуществляет работник с возложенными на него обязанностями.
13.4. Персональная ответственность за соблюдение требований законодательства Российской Федерации и локальных нормативных актов Общества в области персональных данных, а также за обеспечение конфиденциальности и безопасности персональных данных возлагается на руководителей отделов, занимающихся обработкой персональных данных.
14. Права субъектов персональных данных
14.1. Субъект персональных данных вправе требовать от Общества уточнения своих персональных данных, их блокирования или уничтожения в случаях, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
14.2. Субъект персональных данных имеет право потребовать прекращения передачи (распространения, предоставления, доступа) персональных данных, разрешенных субъектом персональных данных для распространения ранее.
14.3. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
14.3.1. Подтверждение факта обработки персональных данных Обществом;
14.3.2. Правовые основания и цели обработки персональных данных;
14.3.3. Цели и применяемые в Обществе способы обработки персональных данных;
14.3.4. Наименование и место нахождения Общества, сведения о лицах (за исключением работников Общества), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Обществом или на основании ФЗ «О персональных данных»;
14.3.5. Обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен ФЗ «О персональных данных»;
14.3.6. Сроки обработки персональных данных, в том числе сроки их хранения;
14.3.7. Порядок осуществления субъектом персональных данных прав, предусмотренных ФЗ «О персональных данных»;
14.3.8. Информацию об осуществленной или о предполагаемой трансграничной передаче данных;
14.3.9. Наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Общества, если обработка поручена или будет поручена такому лицу;
14.3.10. Иные сведения, предусмотренные ФЗ «О персональных данных» или другими федеральными законами.
15. Обязанности Общества по отношению к субъектам персональных данных
15.1. В соответствии с требованиями ФЗ «О персональных данных» Общество обязано:
15.1.1. Предоставлять субъекту ПДн по его запросу информацию, касающуюся обработки его ПДн, либо на законных основаниях предоставить отказ;
15.1.2. По требованию субъекта ПДн уточнять обрабатываемые ПДн, блокировать или удалять, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки. А также обеспечить блокирование, удаление, в случае если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора;
15.1.3. Уведомлять субъекта ПДн об обработке ПДн в том случае, если ПДн были получены не от субъекта ПДн (за исключением случаев, когда субъект ПДн уже уведомлен об осуществлении обработки его персональных данных соответствующим оператором);
15.1.4. В случае достижения цели обработки персональных данных, незамедлительно прекратить обработку персональных данных и уничтожить либо обезличить соответствующие персональные данные в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено федеральными законами. Либо обеспечить уничтожение, обезличивание, в случае если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора. Уведомить об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган;
15.1.5. В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных, прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между Оператором и субъектом персональных данных. Либо обеспечить прекращение обработки ПДн и их уничтожение, в случае если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора. Об уничтожении персональных данных Общество обязано уведомить субъекта персональных данных;
15.1.6. В случае поступления требования субъекта о прекращении обработки персональных данных в целях продвижения товаров, работ, услуг на рынке немедленно прекратить обработку персональных данных. Либо обеспечить прекращение обработки ПДн, в случае если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора;
15.1.7. В случае поступления требования субъекта персональных данных о прекращении передачи (распространения, предоставления, доступа) персональных данных, разрешенных субъектом персональных данных для распространения ранее, Общество обязано в течение трех рабочих дней с момента получения требования субъекта персональных данных прекратить передачу (распространение, предоставление, доступ) этих персональных данных;
15.1.8. Согласие может быть отозвано путем направления посетителем Сайта соответствующего письменного заявления с указанием конкретных данных и целей, для которых они были необходимы Оператору на адрес электронной почты (E-mail)
info@ton-auto.ru или по адресу: 432030, Ульяновская Область, Ульяновск Город, Нариманова Проспект, дом 128;
15.1.9. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, отдельно указанных в ФЗ «О персональных данных».
16. Ответственность за нарушение норм, регулирующих обработку персональных данных
16.1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, несут дисциплинарную, административную, гражданско-правовую и уголовную ответственность, предусмотренную действующим законодательством Российской Федерации.
16.2. Если права и законные интересы субъекта персональных данных были нарушены в связи с разглашением информации, содержащей его персональные данные, или иным неправомерным использованием такой информации, он вправе обратиться в установленном порядке за судебной защитой своих прав, в том числе с исками о возмещении убытков, компенсации морального вреда, защите чести, достоинства и деловой репутации. Требование о возмещении убытков не может быть удовлетворено в случае предъявления его лицом, не принимавшим мер по соблюдению конфиденциальности информации или нарушившим установленные законодательством Российской Федерации требования о защите информации, если принятие этих мер и соблюдение таких требований являлись обязанностями данного лица.