Политика обработки ПДН "Санадор АЙТИ"

1. ПОНЯТИЯ И ОПРЕДЕЛЕНИЯ

1.1. Закон о персональных данных – Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».

1.2. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

1.3. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

1.4. Оператор – Общество с ограниченной ответственностью «САНАДОР АЙТИ», далее также именуемое «Общество».

1.5. Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

1.6. Политика – настоящая Политика обработки персональных данных, являющаяся по смыслу пункта 2 части 1 статьи 18.1 Закона о персональных данных документом, определяющим политику Оператора в отношении обработки персональных данных.

1.7. Роскомнадзор – Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций, являющаяся уполномоченным органом по защите прав субъектов персональных данных.

2. ОБЩИЕ ПОЛОЖЕНИЯ

2.1. Политика разработана в соответствии с Законом о персональных данных в целях обеспечения защиты прав и свобод субъекта персональных данных при обработке его персональных данных Обществом.

2.2. Действие Политики распространяется в отношении всех персональных данных, которые обрабатывает Общество, в том числе полученных после утверждения Политики.

2.3. При обработке персональных данных Общество придерживается следующих принципов:

• обработка персональных данных осуществляется на законной и справедливой основе;
• обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только персональные данные, которые отвечают целям их обработки;
• содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
• при обработке персональных данных должны быть обеспечены их точность, достаточность, а в необходимых случаях и актуальность по отношению к целям их обработки. Общество обязуется принимать необходимые меры по удалению или уточнению неполных или неточных персональных данных, а также обеспечивать принятие таких мер лицами, обрабатывающими персональные данные на основании поручения Общества;
• хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем того требуют цели обработки персональных данных, если срок их хранения не установлен федеральным законом, согласием на обработку, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

3. УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Общество обрабатывает персональных данных на основании:

• нормативных правовых актов, регулирующие отношения, связанные с деятельностью Оператора, включая, но не ограничиваясь, Трудовой кодекс Российской Федерации, Гражданский кодекс Российской Федерации, Федеральный закон от 08.02.1998 № 14-ФЗ «Об обществах с ограниченной ответственностью», Федеральный закон от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• учредительных документов и локальных нормативных актов Общества;
• договоров, заключаемых между Обществом и субъектами персональных данных, включая трудовые договоры;
• договоров, заключаемых между Обществом и его контрагентами (иными операторами персональных данных), включая договоры поручения на обработку персональных данных;
• согласий на обработку персональных данных.

3.2. При обработке персональных данных Общество обязуется обеспечивать наличие достаточных правовых оснований, предусмотренных Законом о персональных данных, а именно статьями 6, 10, 10.1, 11 Закона о персональных данных.

4. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Способы обработки персональных данных. Обработка персональных данных может осуществляться Обществом как на бумажных носителях, так и с использованием средств автоматизации (с помощью средств вычислительной техники) путем (включая, но не ограничиваясь):

• получения оригиналов документов, копирования и сканирования оригиналов документов;
• получения информации, содержащей персональные данные, в электронном виде;
• формирования персональных данных в ходе кадровой работы Общества;
• внесения персональных данных в информационные системы персональных данных.

4.2. Перечень действий (операций) с персональных данных, которые могут совершаться Обществом: сбор, получение, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), удаление, уничтожение.

4.3. Обработка персональных данных, разрешенных субъектами персональных данных для распространения, осуществляется исключительно при условии получения отдельного согласия в порядке, установленном Законом о персональных данных.

4.4. Информация о целях обработки персональных данных, а также категориях и перечне обрабатываемых персональных данных, категориях субъектов, персональных данных которых обрабатываются, способах и сроках их обработки и хранения, порядке уничтожения содержится в Приложении к Политике.

4.5. Возможна обработка персональных данных в иных целях, которые носят несистематический и разовый характер, если у Общества имеются основания для такой обработки, предусмотренные Законом о персональных данных или иными нормативными правовыми актами.

4.6. Общество вправе поручать обработку персональных данных другому лицу на основании заключаемого с этим лицом договора или передавать персональные данные другим лицам. В указанных случаях Общество обязуется осуществлять такие действия с соблюдением требований, установленных Законом о персональных данных.

4.7. Условия прекращения обработки персональных данных. Общество прекращает обработку персональных данных в следующих случаях:

• достижение целей обработки персональных данных;
• истечение срока действия или отзыв субъектом персональных данных согласия на их обработку, если:
  • сохранение персональных данных более не требуется для целей их обработки;
  • иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
  • Общество не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами;
  • иное не предусмотрено иным соглашением между оператором и субъектом персональных данных;
• получения требования о прекращении обработки персональных данных в порядке, предусмотренном частью 5.1 статьи 21 Закона о персональных данных, если Общество не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных;
• получение требования о прекращении передачи (распространения, предоставления, доступа) персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном частью 12 статьи 10.1 Закона о персональных данных;
• подтверждение факта неправомерности обработки персональных данных.

4.8. В случае поступления обращения субъекта персональных данных о прекращении обработки персональных данных такое прекращение производится в порядке, установленном Законом о персональных данных.

4.9. Порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных оснований прекращения их обработки:

• на бумажном носителе: уничтожаются путем измельчения в шредере;
• в электронном виде:
  • уничтожение персональных данных средствами встроенных функций информационных систем персональных данных, либо
  • персональные данные стираются с информационных носителей или физически уничтожаются сами информационные носители, на которых хранятся персональные данные.

4.10. Уничтожение персональных данных производится с соблюдением Требований к подтверждению уничтожения персональных данных, утвержденными приказом Роскомнадзора от 28.10.2022 № 179.

4.11. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

4.12. Трансграничная передача персональных данных Обществом не осуществляется. В случае осуществления трансграничной передачи персональных данных она может осуществляться исключительно в порядке, определенном Законом о персональных данных, и информация об этом будет отражена в Реестре операторов, осуществляющих обработку персональных данных.

4.13. В порядке и случаях, предусмотренных законодательством и локальными нормативными актами Общества документы, содержащие персональные данные, могут быть переданы в архив. В указанном случае организация хранения, комплектования, учета и использования содержащих персональных данных документов осуществляется в соответствии с законодательством об архивном деле.

5. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. В соответствии с Законом о персональных данных субъект персональных данных имеет право:

5.1.1. На доступ к персональным данным. Субъект персональных данных имеет право на получение сведений, касающихся обработки его персональных данных Обществом.

5.1.2. На защиту своих прав и интересов. В случае если субъект персональных данных считает, что Общество нарушает его права, он вправе обжаловать действия или бездействие Общества. В том числе субъект персональных данных имеет право на обжалование решений, принятых на основании исключительно автоматизированной обработки персональных данных.

5.1.3. На управление своими персональными данными. Субъект персональных данных вправе требовать от Общества уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели их обработки, а также принимать предусмотренные законом меры по защите своих прав.

5.2. Порядок реализации прав субъектов персональных данных. Субъект персональных данных вправе обратиться в Общество с запросом, касающимся обработки его персональных данных. Указанный запрос должен быть составлен в соответствии с требованиями, установленными Законом о персональных данных. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации. Общество рассматривает запрос субъекта персональных данных в срок, установленный законодательством. Общество вправе не рассматривать анонимные запросы, запросы без подписи и запросы, не позволяющие однозначно идентифицировать субъекта персональных данных.

5.3. Субъект вправе отозвать согласие на обработку персональных данных. После получения такого отзыва Общество прекратит обработку персональных данных или обеспечит прекращение их обработки лицом, действующим по поручению Общества, в срок, установленный законодательством. При этом Общество вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или другими федеральными законами.

5.4. Контакты для направления запросов, обращений, требований, отзывов согласий на обработку персональных данных и иных документов, связанных с обработкой персональных данных: snd@sanador.ru, если иной адрес эл. почты не указан в согласии на обработку персональных данных

6. ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА

6.1. Оператор вправе:

• принимать локальные нормативные акты в развитие Политики;
• в любой момент изменить редакцию Политики и/или Приложения к ней;
• поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом;
• передать персональные данные другому лицу (оператору персональных данных) с согласия субъекта персональных данных или в иных случаях, предусмотренных федеральным законом.

6.2. Обязанности Оператора:

• организовывать обработку персональных данных в Обществе в соответствии с требованиями Закона о персональных данных;
• обеспечивать защиту персональных данных, обрабатываемых в Обществе, от их неправомерного использования или утраты;
• соблюдать конфиденциальность персональных данных;
• своевременно и в соответствии с требованиями законодательства Российской Федерации реагировать на обращения и запросы субъектов персональных данных и их законных представителей;
• сообщать в Роскомнадзор по запросу этого органа необходимую информацию в срок, установленный законодательством;
• устранять нарушения законодательства, допущенные при обработке персональных данных;
• уточнять, блокировать и уничтожать персональные данные в случаях, предусмотренных Законом о персональных данных;
• выполнять иные требования, установленные Законом о персональных данных и другими нормативными правовыми актами, регулирующими вопросы обработки персональных данных.

6.3. При обработке персональных данных Оператор принимает необходимые правовые, организационные и технические меры или обеспечивают их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также иных неправомерных действий в отношении персональных данных.

7. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Общество стремится обеспечить безопасность обрабатываемых персональных данных, для чего принимает необходимые правовые, организационные и технические меры.

7.2. В Обществе реализуются следующие требования законодательства в области персональных данных:

• назначено лицо, ответственное за организацию обработки персональных данных;
• приняты локальные нормативные акты, определяющие политику Общества в отношении обработки персональных данных, включая настоящую Политику;
• осуществляется внутренний контроль (аудит) соответствия обработки персональных данных требованиям Закона о персональных данных;
• осуществлена оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения Законом о персональных данных;
• работники Общества, непосредственно осуществляющие обработку персональных данных, ознакомлены с положениями законодательства Российской Федерации в области персональных данных, в том числе требованиями к защите персональных данных, а также локальными нормативными актами Общества в отношении обработки персональных данных;
• работники Общества, осуществляющие обработку персональных данных без использования средств автоматизации, проинформированы о факте обработки ими персональных данных, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также локальными нормативными актами Общества;
• работниками Общества, непосредственно осуществляющими обработку персональных данных, даны обязательства о неразглашении персональных данных, к которым им предоставлен доступ на период исполнения должностных обязанностей;
• Обществом опубликована настоящая Политика на своем сайте или иным образом обеспечивается неограниченный доступ к настоящей Политике.

7.3. Обществом приняты следующие меры по обеспечению безопасности персональных данных при их обработке, необходимые для выполнения требований к защите персональных данных в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»:

• определены требования к защите персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
• определены угрозы безопасности персональных данных при их обработке в информационных системах персональных данных;
• применяются организационные и технические меры по обеспечению безопасности персональных данных в информационных системах персональных данных, необходимые для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных, в частности:
  • организован режим безопасности помещений, в которых размещены информационных системах персональных данных, препятствующий возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
  • обеспечивается сохранность носителей персональных данных и ведется их учет;
  • утвержден перечень лиц, которым доступ к персональным данным, обрабатываемым в информационных системах персональных данных, необходим для выполнения должностных обязанностей;
  • используются средства защиты информации, прошедшие процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации;
  • назначено лицо, ответственное за защиту персональных данных, в обязанности которого входит, в том числе, обеспечение безопасности персональных данных в информационных системах персональных данных.
• проводится оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода информационных систем персональных данных в эксплуатацию;
• в отношении каждой категории персональных данных определены места хранения персональных данных (материальных носителей) и перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ;
• установлены права доступа к персональным данным, обрабатываемым в информационных системах персональных данных, а также обеспечиваются регистрация и учет всех действий, совершаемых с персональными данными;
• определен порядок обнаружения фактов несанкционированного доступа к персональным данным и принятия мер, в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
• определен порядок восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• осуществляется постоянный контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных;
• при фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы.

8. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

8.1. Политика утверждается приказом генерального директора Общества.

8.2. Политика является обязательной для исполнения всеми работниками Общества, имеющими доступ к персональным данным.

8.3. После ее утверждения Политика подлежит опубликованию на сайте Общества или Общество обеспечивает неограниченный доступ к ней иным образом.

8.3. Общество вправе в любой момент изменить редакцию Политики с последующим опубликованием новой редакции на сайте Общества или обеспечением неограниченного доступа к ней иным образом.