Политика в отношении обработки персональных данных в ООО «Интерпродресурс»х

Содержание

Общие положения
Термины и определения
Принципы обработки персональных данных
Категории обрабатываемых персональных данных и цели их обработки
Основания обработки персональных данных Оператором
Общий порядок обработки персональных данных
Обеспечение безопасности персональных данных
Прекращение обработки персональных данных
Права и обязанности субъектов ПДн и Оператора
Контактная информация
Заключительные положения

1. Общие положения

1.1. Настоящий документ определяет политику ООО «Интерпродресус» (далее Оператор) в отношении обработки персональных данных и обеспечения их безопасности и является открытым.

1.2. Одним из условий реализации целей деятельности Оператора является обеспечение необходимого и достаточного уровня информационной безопасности, в том числе в отношении персональных данных и процессов, в рамках которых они обрабатываются.

1.3. ПДн относятся к конфиденциальной информации Оператора и на них распространяются все требования по ИБ, применяемые Оператором для защиты конфиденциальной информации. Обеспечение правомерной обработки персональных данных и безопасности обрабатываемых персональных данных является одной из приоритетных задач Оператора.

1.4. Политика разработана во исполнение требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», а также иных нормативных правовых актов Российской Федерации в области персональных данных и действует в отношении всех персональных данных, обрабатываемых Оператором.

1.5. Политика содержит описание принципов, условий и общего порядка обработки и защиты персональных данных, а также основных прав и обязанностей субъектов персональных данных и Оператора. Политика разработана с целью обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных.

1.6. Политика является локальным нормативным актом Оператора в отношении обработки персональных данных. Политика является обязательной для выполнения всеми работниками Оператора.

2. Термины и определения

В настоящей Политике применяются следующие термины и определения:

Оператор – ООО «Интерпродресурс»
Информационная безопасность, ИБ – состояние защищенности в условиях угроз в информационной сфере.
Информационная система персональных данных, ИСПДн – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Персональные данные, ПДн – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Политика – настоящий документ.
Субъект персональных данных, субъект ПДн – физическое лицо, которому принадлежат персональные данные.
ФЗ №152 – Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».

3. Принципы обработки персональных данных

3.1. Оператор считает важнейшей задачей обеспечение законности и справедливости обработки ПДн, соблюдение их конфиденциальности и безопасности процессов их обработки.

3.2. В основе обработки ПДн Оператором лежат следующие принципы:

осуществление обработки персональных данных на законной и справедливой основе;
ограничение обработки ПДн достижением конкретных, заранее определенных и законных целей;
недопустимость обработки ПДн, которая может быть несовместима с целями сбора ПДн;
соответствие содержания и объема обрабатываемых ПДн заявленным целям их обработки, отсутствие избыточности обрабатываемых ПДн по отношению к целям их обработки;
недопустимость объединения баз данных, содержащих ПДн, обработка которых осуществляется в несовместимых между собой целях;
обеспечение точности ПДн, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки ПДн;
хранение ПДн в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения персональных данных не установлен законодательством Российской Федерации, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн.

4. Категории обрабатываемых персональных данных и цели их обработки

4.1. Состав обрабатываемых Оператором ПДн формируется в соответствии с ФЗ №152, нормативными правовыми актами Российской Федерации, а также Уставом Оператора, договорами и бизнес-процессами Оператора.

4.2. Оператор осуществляет обработку ПДн в конкретных, заранее определенных и законных целях и на законных основаниях.

4.3. Полный перечень целей с указанием обрабатываемых персональных данных, категорий субъектов, персональные данные которых обрабатываются, способы, сроки обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований определен в «Перечне персональных данных, обрабатываемых в ООО «Интерпродресурс»

4.4. Оператор не осуществляет обработку специальных категорий ПДн, в том числе ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений и интимной жизни, а также биометрических ПДн.

5. Основания обработки персональных данных Оператором

5.1. Обработка ПДн Оператором осуществляется в следующих случаях:

обработка ПДн осуществляется с согласия субъекта ПДн на обработку его ПДн;
обработка ПДн необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей;
обработка ПДн необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем;
обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПДн, если получение согласия субъекта ПДн невозможно;
обработка ПДн необходима для осуществления прав и законных интересов Оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПДн;
осуществляется обработка ПДн, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

6. Общий порядок обработки персональных данных

6.1. Оператор осуществляет обработку ПДн как с использованием средств автоматизации, так и без использования таких средств, в том числе с использованием внутренней корпоративной сети и сети Интернет.

6.2. Источником информации обо всех ПДн является непосредственно субъект ПДн. Если иное не установлено законодательством Российской Федерации, Оператор вправе получать ПДн субъекта ПДн от третьих лиц, но субъект ПДн должен быть уведомлен об этом.

6.3. При сборе ПДн запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн субъектов ПДн, включая граждан Российской Федерации, осуществляются с использованием баз данных, расположенных на территории Российской Федерации.

6.4. Оператор может осуществлять передачу ПДн субъектов ПДн третьим лицам, включая трансграничную передачу ПДн на территории иностранных государств, в том числе, не обеспечивающих адекватную защиту прав субъектов ПДн, при условии соблюдения требований, предусмотренных законодательством Российской Федерации.

6.5. В случае если лицо, обратившееся к Оператору с запросом на предоставление ПДн, не уполномочено на получение информации, относящейся к ПДн, Оператор обязан отказать лицу в выдаче такой информации с соответствующим уведомлением указанного лица об отказе.

6.6. Оператор может поручить обработку ПДн третьему лицу с согласия соответствующего субъекта ПДн, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (поручения на обработку ПДн). Лицо, осуществляющее обработку персональных данных по поручению, обязуется соблюдать принципы и правила обработки ПДн, предусмотренные законодательством Российской Федерации, конфиденциальность ПДн, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных законодательством Российской Федерации.

6.7. При обработке ПДн Оператором соблюдаются условия, обеспечивающие сохранность и конфиденциальность ПДн.

6.8. Оператор осуществляет деятельность по своевременному выявлению и внесению изменений в обрабатываемые ПДн с целью обеспечения их точности, достоверности и актуальности, в том числе по отношению к целям обработки ПДн, а также их удаления в случаях, если они признаются устаревшими, недостоверными или излишними, либо если достигнуты цели их обработки.

6.9. Изменения в ПДн вносятся уполномоченным работником Оператора только на основании предоставленных надлежащим образом оформленных оригиналов документов или их заверенных копий (если применимо). В случае предоставления/изменения субъектом своих ПДн при заполнении форм на сайте Оператора ответственность за достоверность данных несет непосредственно субъект ПДн.

6.10. В случае выявления неправомерной обработки ПДн или неточных ПДн субъектом ПДн и при обращении субъекта ПДн или его представителя, либо по их запросу или по запросу уполномоченного органа по защите прав субъектов ПДн Оператор обеспечивает их блокирование с момента такого обращения или получения указанного запроса на период проверки, если блокирование ПДн не нарушает права и законные интересы субъекта ПДн или третьих лиц.

6.11. В случае подтверждения факта неточности ПДн на основании сведений, предоставленных субъектом ПДн или его представителем либо уполномоченным органом по защите прав субъектов ПДн, или иных необходимых документов, Оператор обеспечивает их уточнение в установленный ФЗ №152 срок со дня предоставления таких сведений и снимает их блокирование.

6.12. В случае, если факт неточности ПДн не подтверждается на основании сведений, предоставленных субъектом ПДн или его представителем либо уполномоченным органом по защите прав субъектов ПДн, или иных необходимых документов, Оператор снимает их блокирование.

6.13. Хранение ПДн в форме, позволяющей идентифицировать субъекта ПДн, осуществляется не дольше, чем того требует достижение целей их обработки, если иное не установлено законодательством Российской Федерации или договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн.

6.14. Сроки обработки и хранения ПДн определяются в соответствии с требованиями действующего законодательства Российской Федерации, в том числе Приказом Росархива от 20.12.2019 N 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения», внутренними документами Оператора, условиями договоров, заключенных с субъектами ПДн, и иными требованиями законодательства Российской Федерации и нормативными документами Банка России.

7. Обеспечение безопасности персональных данных

7.1. Оператором принят комплекс правовых, организационных и технических мер по обеспечению безопасности ПДн, направленных на предотвращение несанкционированного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий с ними, в том числе со стороны третьих лиц, в частности:

назначение лица, ответственного за организацию обработки ПДн Оператором;
предоставление неограниченного доступа к настоящей Политике, а также издание локальных нормативных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
учет обрабатываемых Оператором ПДн, категорий субъектов, ПДн которых обрабатываются;
учет информационных систем Оператора, в которых обрабатываются ПДн;
назначение Комиссии по уничтожению персональных данных;
формализация и контроль выполнения порядка обработки ПДн Оператором;
формализация и контроль выполнения требований по уничтожению ПДн и их носителей;
учет должностей работников Оператора, доступ которых к персональным данным, обрабатываемым как с использованием, так и без использования средств автоматизации, необходим для выполнения служебных (трудовых) обязанностей;
обеспечение ознакомления работников Оператора, непосредственно осуществляющих обработку ПДн, с положениями законодательства Российской Федерации о ПДн, в том числе требованиями к защите ПДн, настоящей Политикой и иными локальными актами Оператора по вопросам обработки и защиты ПДн, в соответствии с законом и внутренними документами Оператора;
контроль и разграничение доступа работников Оператора и иных лиц к обрабатываемым Оператором ПДн;
учет машинных носителей персональных данных;
восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
включение положений по обеспечению безопасности ПДн в договоры с третьими лицами, которым передаются ПДн, в том числе требования по соблюдению конфиденциальности переданных ПДн;
организация режима обеспечения безопасности помещений, в которых размещены ИСПДн, препятствующий возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
осуществление регулярного внутреннего контроля/аудита соответствия обработки и обеспечения безопасности ПДн действующему законодательству Российской Федерации в области обработки и обеспечения безопасности ПДн;
проведение оценки вреда, который может быть причинен субъектам ПДн в случае нарушения ФЗ №152, соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных ФЗ №152;
определение угроз безопасности ПДн при их обработке в ИСПДн, а также регулярное проведение анализа условий и факторов, создающих угрозы безопасности ПДн;
применение организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности ПДн;
в случае необходимости внедрение прошедших процедуру оценки соответствия программные и технические средства защиты информации в электронном виде;
обеспечение обнаружения фактов и расследования случаев несанкционированного доступа или разглашения ПДн с привлечением виновных лиц к ответственности, принятием иных мер;
установление правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечение регистрации и учета всех действий, совершаемых с ПДн в ИСПДн;
контроль за принимаемыми (принятыми) мерами по обеспечению безопасности ПДн и уровнем защищенности ПДн при их обработке в ИСПДн.

8. Прекращение обработки персональных данных

8.1. Обработка ПДн прекращается, а собранные ПДн уничтожаются или обеспечивается прекращение обработки ПДн и их уничтожение (если обработка осуществляется другим лицом, действующим по поручению Оператора) в следующих случаях и в сроки, установленные ФЗ № 152, если иное не установлено законодательством Российской Федерации:

по истечению установленного срока обработки ПДн, в том числе срока хранения ПДн, установленного федеральным законом или договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн;
по достижении целей обработки ПДн или при утрате необходимости в их достижении;
при отзыве субъектом ПДн согласия на обработку своих ПДн, если такое согласие требуется в соответствии с законодательством Российской Федерации, и такой отзыв влечет за собой уничтожение ПДн;
по требованию субъекта ПДн или Уполномоченного органа по защите прав субъектов ПДн – если персональные данные являются неполными, устаревшими, неточными, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
в случае выявления неправомерной обработки ПДн Оператором или лицом, действующим по его поручению, если обеспечить правомерность обработки ПДн невозможно;
при обращении субъекта ПДн с требованием о прекращении обработки ПДн (за исключением случаев, предусмотренных п. 2 – 11 ч. 1 ст. 6 ФЗ № 152);
в иных случаях, предусмотренных законодательством РФ.

8.2. В случае отсутствия возможности уничтожения ПДн в течение сроков, установленных ФЗ № 152, Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование и затем обеспечивает уничтожение ПДн в срок не более чем шесть месяцев, если иной порядок не установлен законодательством Российской Федерации.

8.3. Уничтожение ПДн производится способом, исключающим дальнейшую обработку этих ПДн.

9. Права и обязанности субъектов ПДн и Оператора

9.1. Субъект ПДн имеет право:

принимать решение о предоставлении своих ПДн и давать согласие на их обработку свободно, своей волей и в своём интересе;
требовать уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
получать информацию, касающуюся обработки своих ПДн, на основании запроса и в порядке, установленном ФЗ № 152 (право субъекта ПДн на доступ к его ПДн может быть ограничено в соответствии с федеральными законами Российской Федерации);
на отзыв согласия на обработку своих ПДн, если наличие такого согласия требуется в соответствии с законодательством Российской Федерации;
обращаться с требованием о прекращении обработки ПДн;
обжаловать в уполномоченный орган по защите прав субъектов ПДн или в судебном порядке неправомерные действия или бездействия при обработке его ПДн;
на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке;
осуществлять иные права, предусмотренные законодательством Российской Федерации.

9.2. Субъект ПДн обязан:

предоставлять достоверные ПДн и подтверждать их достоверность путем предъявления оригиналов документов или их надлежащим образом заверенных копий (если применимо);
своевременно информировать Оператора об изменении своих ПДн;
осуществлять свои права в соответствии с законом, иными нормативными правовыми актами и локальными нормативными актами Оператора в области обработки и защиты ПДн;
исполнять иные обязанности, предусмотренные законом, иными нормативными правовыми актами и локальными нормативными актами Оператора в области обработки и защиты ПДн.

9.3. Оператор имеет право:

устанавливать правила обработки ПДн Оператором, вносить изменения и дополнения в локальные нормативные акты, самостоятельно в рамках требований законодательства разрабатывать и применять формы документов, необходимых для исполнения обязанностей Оператора;
отстаивать свои интересы в суде;
предоставлять ПДн субъектов государственным и иным уполномоченным органам, если это предусмотрено действующим законодательством Российской Федерации (налоговые, правоохранительные органы, Банк России и др.);
отказывать в предоставлении ПДн в случаях, предусмотренных законодательством Российской Федерации, в том числе законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;
обрабатывать ПДн субъекта без его согласия, в случаях, предусмотренных законодательством Российской Федерации;
осуществлять иные права, предусмотренные законодательством Российской Федерации.

9.4. Оператор обязан:

осуществлять обработку и защиту ПДн в соответствии с требованиями нормативных правовых актов Российской Федерации в области обработки и обеспечения безопасности ПДн;
уведомлять субъекта об обработке его ПДн в случае получения ПДн от третьих лиц, если иное не установлено законодательством Российской Федерации;
предоставлять субъекту ПДн информацию, касающуюся обработки его ПДн, по запросу субъекта, за исключением случаев, предусмотренных законодательством Российской Федерации;
проверять достоверность предоставляемых субъектом ПДн или его представителем данных путем их сверки с информацией, содержащейся в оригиналах документов или их надлежащим образом заверенных копиях (если применимо), предъявляемых субъектом ПДн или его представителем;
разъяснять субъекту ПДн юридические последствия отказа в предоставлении его ПДн, если предоставление ПДн является обязательным в соответствии с законодательством Российской Федерации;
организовать прием и обработку обращений и запросов субъектов ПДн или их представителей;
организовать прием и обработку запросов уполномоченных органов;
обеспечивать обработку ПДн исключительно в целях, для которых был осуществлен сбор ПДн;
получать от субъекта ПДн согласие на обработку его ПДн, в том числе в письменной форме, в случаях, установленных законодательством, и разъяснять субъекту ПДн юридические последствия отказа дать согласие на их обработку;
защищать ПДн от их неправомерного использования или утраты;
изменять, обновлять и уточнять ПДн субъектов ПДн в случаях, предусмотренных законодательством;
уведомлять уполномоченный орган по защите прав субъектов ПДн об установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн в сроки, установленные законодательством Российской Федерации;
обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование уполномоченного органа в области обеспечения безопасности о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПДн в порядке, определенном уполномоченным органом в области обеспечения безопасности;
исполнять иные обязанности, предусмотренные законодательством Российской Федерации и локальными нормативными актами Компании в области обработки и защиты ПДн.

10. Контактная информация

10.1. Вопросы, касающихся обработки ПДн Оператором, субъекты ПДн могут направить по адресу электронной почты: info@delta-plaza.com

11. Заключительные положения

11.1. Настоящая Политика утверждается приказом Генерального директора Оператора и публикуется на сайте Оператора в открытом доступе.

11.2. Ответственность за контроль соблюдения настоящей Политики возлагается на лицо, назначенное Ответственным за организацию обработки ПДн Оператором.

11.3. Политика пересматривается и актуализируется при изменении законодательства Российской Федерации в области обработки и обеспечения безопасности ПДн, а также при изменении процессов обработки ПДн Оператором, но не реже, чем раз в 3 (три) года.

11.4. Любые изменения и/или дополнения в настоящую Политику вступают в силу с даты утверждения Генеральным директором Оператора новой версии документа.

11.5. Вопросы, которые не урегулированы настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.