Утверждено
приказом от № 010/23 от 18.09.2023 г
ООО «Завтра и сейчас»
1. Общие положения
1.1. Настоящая Политика по обработке персональных данных (далее – Политика) является внутренним нормативным документом ООО «Завтра и сейчас», определяющим общие положения в области правомерности обработки и обеспечения безопасности обрабатываемых персональных данных.
1.2. Настоящая Политика является публичным документом и разработана в соответствии с требованиями:
1.3. Настоящее положение разработано в целях:
Реализации требований законодательства РФ в области обработки и обеспечения безопасности персональных данных
Регламентации порядка осуществления операций с персональными данными граждан
Является общедоступным документом, декларирующим основы деятельности компании при обработке и обеспечении безопасности персональных данных
1.4. Настоящее положение вступает в силу в момент его утверждения приказом директора ООО «Завтра и сейчас» и действует бессрочно до замены новым локальным правовым актом аналогичного назначения.
1.5. Корректировка настоящего положения осуществляется отдельными приказами директора ООО.
1.6. Ограничение несанкционированного доступа к персональным данным обеспечивается ООО «Завтра и сейчас» и снимается в момент их обезличивания, а также по истечении 75 лет их хранения, если иное не установлено законом или решением руководства предприятия.
Настоящая Политика является обязательной для исполнения всеми работниками Компании.
2. Термины и определения
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
Защита персональных данных – комплекс мероприятий технического, организационного и организационно-технического характера, направленных на защиту сведений, относящихся к определенному или определяемому на основании такой информации субъекту персональных данных;
Информационная система персональных данных (далее – ИСПДн) – информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств;
Информация – сведения (сообщения, данные) независимо от формы их представления;
Клиент - юридические лица, индивидуальные предприниматели и граждане, заключившие гражданско-правовые договоры с Компанией;
Компания – ООО «Завтра и сейчас»;
Конфиденциальность персональных данных – обязательное для соблюдения назначенного ответственного лица, получившего доступ к персональным данным, требование не допускать их распространения без согласия субъекта или иного законного основания;
Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
Обработка персональных данных – действия (операции) с персональными данными, в том числе с использованием средств автоматизации, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
Оператор – ООО «Завтра и сейчас», организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
Ответственный за обработку персональных данных – работник Компании, назначаемый Приказом директора, осуществляющий обеспечение безопасности, защиты и соблюдения требований действующего законодательства при обротке персональных данных;
Персональные данные (далее – ПДн) – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных);
Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
Работники (работники Компании) – штатные работники Компании с полной или частичной занятостью, независимо от их должности в Компании;
Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
Субъекты персональных данных – физическое лицо, к которому относятся персональные данные;
Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
3. Принципы обработки персональных данных
3.1. Обработка персональных данных должна осуществляться на законной и справедливой основе.
3.2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей.
3.3. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
3.4. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
3.5. Допускается обработка исключительно тех персональных данных, которые отвечают целям их обработки.
3.6. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки.
3.7. Не допускается обработка персональных данных, излишних по отношению к заявленным целям обработки.
3.8. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Неполные или неточные данные должны быть удалены или уточнены.
3.9. Хранение персональных данных должно осуществляться в форме, позволяющей определить Субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных.
3.10. По достижении целей обработки или в случае утраты необходимости в достижении этих целей, персональные данные должны быть уничтожены или обезличены, если иное не предусмотрено федеральным законом.
4. Операции с персональными данными
4.1. Настоящее положение устанавливает, что ООО «Завтра и сейчас» осуществляет следующие операции с персональными данными работников:
- получение;
- обработка;
- передача;
- блокирование;
- хранение;
- ликвидация.
4.2. Под получением персональных данных понимается последовательность действий, связанных с установлением достоверности соответствующих данных, а также размещением их в информационных системах ООО «Завтра и сейчас».
4.3. Под обработкой персональных данных понимается прочтение, корректировка или дополнение соответствующих данных, совершаемые уполномоченным лицом ООО «Завтра и сейчас».
4.4. Под передачей персональных данных понимается операция:
- по адресному размещению соответствующих данных на носителях и серверах, доступ к которым имеет ООО «Завтра и сейчас» либо третьи лица;
- по размещению персональных данных в источниках внутрикорпоративного документооборота;
- по опубликованию в интересах предприятия персональных данных физлиц в СМИ или на серверах интернета в соответствии с нормами законодательства.
4.5. Под блокированием персональных данных понимается временный запрет на осуществление каких-либо операций с персональными данными, которые находятся в информационных системах предприятия, в случаях, предусмотренных положениями локальных правовых актов ООО «Завтра и сейчас» и законодательства РФ.
4.6. Под хранением персональных данных понимается совокупность операций, направленных на обеспечение целостности соответствующих данных посредством их размещения в информационных системах ООО «Завтра и сейчас».
4.7. Под ликвидацией персональных данных понимается операция по изъятию соответствующих данных из информационных систем ООО «Завтра и сейчас», а также обеспечению невозможности их восстановления.
5. Порядок осуществления операций с персональными данными
5.1. Получение персональных данных (документов, на которых они зафиксированы) осуществляется непосредственно от заинтересованных физических лиц, контрагентов ООО «Завтра и сейчас». В случае если предоставление соответствующих данных возможно только от третьих лиц, то физлицо должно дать письменное согласие на это.
5.2. Предприятие не имеет права требовать и получать персональные данные физлица, отражающие личные аспекты его жизни, религиозные, политические, философские взгляды.
5.3. Обработка персональных данных физлица может осуществляться только с его согласия за исключением тех случаев, что предусмотрены подп. 2–11 п. 1 ст. 6 закона «О персональных данных» от 27.07.2006 № 152-ФЗ.
5.4. Передача персональных данных физлица осуществляется с учетом специфики конкретной информационной системы.
5.4.1. Если используется цифровая ИС (предназначенная для автоматизированной обработки персональных данных), то передача данных осуществляется по защищенным каналам связи, а также при задействовании средств криптозащиты.
5.5. Блокирование персональных данных на предприятии осуществляется с учетом специфики конкретной ИС.
5.5.1. Если используется цифровая ИС, то блокирование данных осуществляется посредством закрытия доступа к файлам при задействовании средств криптозащиты.
5.6. Хранение персональных данных осуществляется с учетом специфики конкретной ИС.
5.6.1. Если используется цифровая ИС, то хранение данных осуществляется на ПК ООО «Завтра и сейчас», а также на облачных серверах ООО «Система Геткурс», арендуемых предприятием.
5.7. Ликвидация персональных данных осуществляется с учетом специфики конкретной ИС.
5.7.1. Если используется цифровая ИС, то ликвидация данных осуществляется посредством их удаления с ПК ООО «Завтра и сейчас».
6. Организация доступа к персональным данным
6.1. Доступ к персональным данным физлиц ООО «Завтра и сейчас», не требующий подтверждения и не подлежащий ограничению, имеют:
6.2. Доступ к персональным данным физлиц ООО «Завтра и сейчас» для иных лиц может быть разрешен только отдельным распоряжением директора.
7. Обязанности сотрудников, имеющих доступ к персональным данным
7.1. Сотрудники ООО «Завтра и сейчас» и другие лица, имеющие доступ к персональным данным, обязаны:
8. Права работников в части осуществления операций с персональными данными
8.1. Работник ООО «Завтра и сейчас», контрагенты, физические лица, передавшие предприятию свои персональные данные, имеет право:
8.2. Работники ООО «Завтра и сейчас» и другие лица, имеющие доступ к персональным данным сотрудников предприятия, имеют право:
9. Ответственность сотрудников за нарушения правил осуществления операций с персональными данными
9.1. Сотрудники ООО «Завтра и сейчас» при осуществлении операций с персональными данными несут административную, гражданско-правовую, уголовную ответственность за нарушения правил осуществления операций с персональными данными, установленных настоящим положением, а также нормами федерального, регионального и муниципального законодательства РФ.
9.2. Правовые последствия нарушений правил осуществления операций с персональными данными определяются исходя из локальных норм ООО «Завтра и сейчас», а также положений законодательства РФ.
10. Категории субъектов персональных данных
Субъекты персональных данных подразделяется на следующие категории лиц:
10.1. Клиенты.
10.2. Работники, имеющие договорные отношения с Компанией.
10.3. Родственники работников, имеющих договорные отношения с Компанией.
10.4. Соискатели на вакантные должности.
10.5. Работники контрагентов по гражданско-правовым договорам, заключенным с Компанией.
11. Цель обработки персональных данных
Обработка персональных данных осуществляется с целью взаимодействия в рамках заключенных договоров, выполнения требований законодательных актов, нормативных документов.
12. Права Субъектов персональных данных
12.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
12.2. Субъект персональных данных вправе требовать от Компании уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
12.3. Если Субъект персональных данных считает, что Компания осуществляет обработку его персональных данных с нарушением требований Федерального закона «О персональных данных» или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Компании в орган по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций - Роскомнадзор) или в судебном порядке.
12.4. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
12.5. Иные права, определенные главой 3 Федерального закона «О персональных данных».
13. Конфиденциальность персональных данных
13.1. Информация, относящаяся к персональным данным, ставшая известной Компании, является конфиденциальной информацией и охраняется законом.
13.2. Работники Компании и иные лица, получившие доступ к обрабатываемым персональным данным, подписали обязательство о неразглашении конфиденциальной информации, а также предупреждены о возможной дисциплинарной, административной, гражданско-правовой и уголовной ответственности в случае нарушения норм и требований действующего законодательства Российской Федерации в области обработки персональных данных.
14. Меры по обеспечению безопасности обрабатываемых персональных данных
14.1. Для обеспечения безопасности обрабатываемых персональных данных Компания принимает необходимые правовые, организационные, технические меры защиты.
14.2. В Компании создана Система защиты персональных данных, которая базируется на принципах:
14.3. В целях осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям в Компании организовано проведение периодических проверок условий обработки персональных данных.
15. Местонахождение Баз данных информации, содержащих персональные данные граждан Российской Федерации
Базы данных информации, содержащих персональные данные граждан Российской Федерации, размещаются на территории Российской Федерации.
16. Регулирование обработки персональных данных.
Обработка персональных данных в Компании осуществляется в соответствии с Порядком обращения с информацией ограниченного доступа, локальными нормативными актами по обработке информации ограниченного доступа, в том числе персональных данных.
17. Заключительные положения
17.1. Настоящая Политика, а также все изменения к ней утверждаются Директором Компании.
17.2. Вопросы толкования настоящей Политики необходимо адресовать Ответственному за обработку персональных данных в Компании.
17.3. Действующая редакция Политики хранится по адресу места нахождения исполнительного органа ООО «Завтра и сейчас».