Политика конфиденциальности

1. Общие положения
1.1. Настоящая Политика по обработке персональных данных (далее – Политика) является внутренним нормативным документом ООО «Завтра и сейчас», определяющим общие положения в области правомерности обработки и обеспечения безопасности обрабатываемых персональных данных.

1.2. Настоящая Политика является публичным документом и разработана в соответствии с требованиями:

Конституции Российской Федерации;
Трудового кодекса Российской Федерации;
Федерального закона РФ от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
Федерального закона РФ от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
иных нормативных документов в соответствии с действующими нормами законодательства в области персональных данных.

1.3. Настоящее положение разработано в целях:
Реализации требований законодательства РФ в области обработки и обеспечения безопасности персональных данных
Регламентации порядка осуществления операций с персональными данными граждан
Является общедоступным документом, декларирующим основы деятельности компании при обработке и обеспечении безопасности персональных данных

1.4. Настоящее положение вступает в силу в момент его утверждения приказом директора ООО «Завтра и сейчас» и действует бессрочно до замены новым локальным правовым актом аналогичного назначения.

1.5. Корректировка настоящего положения осуществляется отдельными приказами директора ООО.

1.6. Ограничение несанкционированного доступа к персональным данным обеспечивается ООО «Завтра и сейчас» и снимается в момент их обезличивания, а также по истечении 75 лет их хранения, если иное не установлено законом или решением руководства предприятия.
Настоящая Политика является обязательной для исполнения всеми работниками Компании.

2. Термины и определения

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

Защита персональных данных – комплекс мероприятий технического, организационного и организационно-технического характера, направленных на защиту сведений, относящихся к определенному или определяемому на основании такой информации субъекту персональных данных;

Информационная система персональных данных (далее – ИСПДн) – информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств;

Информация – сведения (сообщения, данные) независимо от формы их представления;

Клиент - юридические лица, индивидуальные предприниматели и граждане, заключившие гражданско-правовые договоры с Компанией;

Компания – ООО «Завтра и сейчас»;

Конфиденциальность персональных данных – обязательное для соблюдения назначенного ответственного лица, получившего доступ к персональным данным, требование не допускать их распространения без согласия субъекта или иного законного основания;

Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

Обработка персональных данных – действия (операции) с персональными данными, в том числе с использованием средств автоматизации, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

Оператор – ООО «Завтра и сейчас», организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

Ответственный за обработку персональных данных – работник Компании, назначаемый Приказом директора, осуществляющий обеспечение безопасности, защиты и соблюдения требований действующего законодательства при обротке персональных данных;

Персональные данные (далее – ПДн) – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных);

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

Работники (работники Компании) – штатные работники Компании с полной или частичной занятостью, независимо от их должности в Компании;

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

Субъекты персональных данных – физическое лицо, к которому относятся персональные данные;

Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

3. Принципы обработки персональных данных

3.1. Обработка персональных данных должна осуществляться на законной и справедливой основе.

3.2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей.

3.3. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

3.4. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

3.5. Допускается обработка исключительно тех персональных данных, которые отвечают целям их обработки.

3.6. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки.

3.7. Не допускается обработка персональных данных, излишних по отношению к заявленным целям обработки.

3.8. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Неполные или неточные данные должны быть удалены или уточнены.

3.9. Хранение персональных данных должно осуществляться в форме, позволяющей определить Субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных.

3.10. По достижении целей обработки или в случае утраты необходимости в достижении этих целей, персональные данные должны быть уничтожены или обезличены, если иное не предусмотрено федеральным законом.

4. Операции с персональными данными

4.1. Настоящее положение устанавливает, что ООО «Завтра и сейчас» осуществляет следующие операции с персональными данными работников:

- получение;
- обработка;
- передача;
- блокирование;
- хранение;
- ликвидация.

4.2. Под получением персональных данных понимается последовательность действий, связанных с установлением достоверности соответствующих данных, а также размещением их в информационных системах ООО «Завтра и сейчас».

4.3. Под обработкой персональных данных понимается прочтение, корректировка или дополнение соответствующих данных, совершаемые уполномоченным лицом ООО «Завтра и сейчас».

4.4. Под передачей персональных данных понимается операция:

- по адресному размещению соответствующих данных на носителях и серверах, доступ к которым имеет ООО «Завтра и сейчас» либо третьи лица;
- по размещению персональных данных в источниках внутрикорпоративного документооборота;
- по опубликованию в интересах предприятия персональных данных физлиц в СМИ или на серверах интернета в соответствии с нормами законодательства.

4.5. Под блокированием персональных данных понимается временный запрет на осуществление каких-либо операций с персональными данными, которые находятся в информационных системах предприятия, в случаях, предусмотренных положениями локальных правовых актов ООО «Завтра и сейчас» и законодательства РФ.

4.6. Под хранением персональных данных понимается совокупность операций, направленных на обеспечение целостности соответствующих данных посредством их размещения в информационных системах ООО «Завтра и сейчас».

4.7. Под ликвидацией персональных данных понимается операция по изъятию соответствующих данных из информационных систем ООО «Завтра и сейчас», а также обеспечению невозможности их восстановления.

5. Порядок осуществления операций с персональными данными

5.1. Получение персональных данных (документов, на которых они зафиксированы) осуществляется непосредственно от заинтересованных физических лиц, контрагентов ООО «Завтра и сейчас». В случае если предоставление соответствующих данных возможно только от третьих лиц, то физлицо должно дать письменное согласие на это.

5.2. Предприятие не имеет права требовать и получать персональные данные физлица, отражающие личные аспекты его жизни, религиозные, политические, философские взгляды.

5.3. Обработка персональных данных физлица может осуществляться только с его согласия за исключением тех случаев, что предусмотрены подп. 2–11 п. 1 ст. 6 закона «О персональных данных» от 27.07.2006 № 152-ФЗ.

5.4. Передача персональных данных физлица осуществляется с учетом специфики конкретной информационной системы.

5.4.1. Если используется цифровая ИС (предназначенная для автоматизированной обработки персональных данных), то передача данных осуществляется по защищенным каналам связи, а также при задействовании средств криптозащиты.

5.5. Блокирование персональных данных на предприятии осуществляется с учетом специфики конкретной ИС.

5.5.1. Если используется цифровая ИС, то блокирование данных осуществляется посредством закрытия доступа к файлам при задействовании средств криптозащиты.

5.6. Хранение персональных данных осуществляется с учетом специфики конкретной ИС.

5.6.1. Если используется цифровая ИС, то хранение данных осуществляется на ПК ООО «Завтра и сейчас», а также на облачных серверах ООО «Система Геткурс», арендуемых предприятием.

5.7. Ликвидация персональных данных осуществляется с учетом специфики конкретной ИС.

5.7.1. Если используется цифровая ИС, то ликвидация данных осуществляется посредством их удаления с ПК ООО «Завтра и сейчас».

6. Организация доступа к персональным данным

6.1. Доступ к персональным данным физлиц ООО «Завтра и сейчас», не требующий подтверждения и не подлежащий ограничению, имеют:
директор предприятия
6.2. Доступ к персональным данным физлиц ООО «Завтра и сейчас» для иных лиц может быть разрешен только отдельным распоряжением директора.

7. Обязанности сотрудников, имеющих доступ к персональным данным

7.1. Сотрудники ООО «Завтра и сейчас» и другие лица, имеющие доступ к персональным данным, обязаны:
осуществлять операции с персональными данными при соблюдении норм, установленных настоящим положением, а также федеральных, региональных и муниципальных НПА;
информировать своего непосредственного руководителя и директора предприятия о нештатных ситуациях, связанных с операциями с персональными данными;
обеспечивать конфиденциальность операций с персональными данными;
обеспечивать сохранность и неизменность персональных данных в случае, если выполняемая задача не предполагает их корректировки или дополнения.

8. Права работников в части осуществления операций с персональными данными

8.1. Работник ООО «Завтра и сейчас», контрагенты, физические лица, передавшие предприятию свои персональные данные, имеет право:
на получение доступа к соответствующим данным в любой момент в целях осуществления необходимых операций с ними;
на бесплатное получение копий файлов или бумажных носителей, содержащих персональные данные;
требовать от предприятия дополнительной обработки, блокирования или ликвидации персональных данных, если операции с ними противоречат интересам работника, осуществляются незаконно, а также в случае, если персональные данные недостоверны;
получать от предприятия информацию о лицах, имеющих доступ к персональным данным, а также о статистике обращений к персональным данным с их стороны;
получать от ООО «Завтра и сейчас» информацию о дополнительной обработке, блокировании или ликвидации персональных данных, осуществленных по инициативе предприятия.

8.2. Работники ООО «Завтра и сейчас» и другие лица, имеющие доступ к персональным данным сотрудников предприятия, имеют право:
на приобретение полномочий, необходимых в целях осуществления операций с персональными данными;
на получение консультационной поддержки со стороны руководства и других компетентных сотрудников в части осуществления операций с персональными данными;
на отдачу распоряжений и направление предписаний сотрудникам, передающим персональными данные предприятию, связанных с необходимостью предоставления дополнительной или уточняющей информации в целях обеспечения корректного осуществления операций с персональными данными.

9. Ответственность сотрудников за нарушения правил осуществления операций с персональными данными

9.1. Сотрудники ООО «Завтра и сейчас» при осуществлении операций с персональными данными несут административную, гражданско-правовую, уголовную ответственность за нарушения правил осуществления операций с персональными данными, установленных настоящим положением, а также нормами федерального, регионального и муниципального законодательства РФ.

9.2. Правовые последствия нарушений правил осуществления операций с персональными данными определяются исходя из локальных норм ООО «Завтра и сейчас», а также положений законодательства РФ.

10. Категории субъектов персональных данных

Субъекты персональных данных подразделяется на следующие категории лиц:
10.1. Клиенты.

10.2. Работники, имеющие договорные отношения с Компанией.

10.3. Родственники работников, имеющих договорные отношения с Компанией.

10.4. Соискатели на вакантные должности.

10.5. Работники контрагентов по гражданско-правовым договорам, заключенным с Компанией.

11. Цель обработки персональных данных

Обработка персональных данных осуществляется с целью взаимодействия в рамках заключенных договоров, выполнения требований законодательных актов, нормативных документов.

12. Права Субъектов персональных данных

12.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
подтверждение факта обработки персональных данных в Компании;
правовые основания и цели обработки персональных данных;
применяемые в Компании способы обработки персональных данных;
наименование и место нахождения Компании, сведения о лицах (за исключением работников), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора Компанией или на основании федерального закона;
обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
сроки обработки персональных данных, в том числе сроки их хранения;
порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом «О персональных данных»;
информацию об осуществленной или о предполагаемой трансграничной передаче данных;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Компании, если обработка поручена или будет поручена такому лицу;
иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.
12.2. Субъект персональных данных вправе требовать от Компании уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

12.3. Если Субъект персональных данных считает, что Компания осуществляет обработку его персональных данных с нарушением требований Федерального закона «О персональных данных» или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Компании в орган по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций - Роскомнадзор) или в судебном порядке.

12.4. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

12.5. Иные права, определенные главой 3 Федерального закона «О персональных данных».

13. Конфиденциальность персональных данных

13.1. Информация, относящаяся к персональным данным, ставшая известной Компании, является конфиденциальной информацией и охраняется законом.

13.2. Работники Компании и иные лица, получившие доступ к обрабатываемым персональным данным, подписали обязательство о неразглашении конфиденциальной информации, а также предупреждены о возможной дисциплинарной, административной, гражданско-правовой и уголовной ответственности в случае нарушения норм и требований действующего законодательства Российской Федерации в области обработки персональных данных.

14. Меры по обеспечению безопасности обрабатываемых персональных данных

14.1. Для обеспечения безопасности обрабатываемых персональных данных Компания принимает необходимые правовые, организационные, технические меры защиты.

14.2. В Компании создана Система защиты персональных данных, которая базируется на принципах:
централизованность – система защиты данных должна централизованно управляться;
своевременность – меры обеспечения безопасности персональных данных, применяемые в рамках системы защиты, должны быть своевременными;
целенаправленность – меры обеспечения безопасности персональных данных, применяемые в рамках системы защиты, должны иметь четкие цели, на достижение которых они направлены;
комплексность – система защиты должна включать комплекс мер, направленных на обеспечение безопасности персональных данных, дополняющих и поддерживающих друг друга;
превентивность – меры обеспечения безопасности персональных данных, применяемые в рамках системы защиты, должны носить предупреждающий характер;
надежность – система защиты персональных данных должна обеспечивать достаточные гарантии Компании в том, что обрабатываемые персональных данных защищены надлежащим образом.
14.3. В целях осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям в Компании организовано проведение периодических проверок условий обработки персональных данных.

15. Местонахождение Баз данных информации, содержащих персональные данные граждан Российской Федерации

Базы данных информации, содержащих персональные данные граждан Российской Федерации, размещаются на территории Российской Федерации.

16. Регулирование обработки персональных данных.
Обработка персональных данных в Компании осуществляется в соответствии с Порядком обращения с информацией ограниченного доступа, локальными нормативными актами по обработке информации ограниченного доступа, в том числе персональных данных.

17. Заключительные положения

17.1. Настоящая Политика, а также все изменения к ней утверждаются Директором Компании.

17.2. Вопросы толкования настоящей Политики необходимо адресовать Ответственному за обработку персональных данных в Компании.

17.3. Действующая редакция Политики хранится по адресу места нахождения исполнительного органа ООО «Завтра и сейчас».

ПОЛИТИКА по обработке персональных данных ООО "Завтра и сейчас"

ПОЛИТИКА
по обработке персональных данных
ООО "Завтра и сейчас"