Соглашение на обработку персональных данных
1. Общие положения
1.1. Политика обработки персональных данных (далее — Политика) определяет основные принципы обработки и обеспечения безопасности персональных данных в ООО
«КОНСУЛЬТАНТ» (далее — Общество) и подлежит актуализации в случае изменения законодательства Российской Федерации в области персональных данных (далее — ПДн), а также в случае изменения процессов обработки ПДн и применяемых мер защиты ПДн в Обществе.
1.2. Политика разработана в соответствии с требованиями действующего законодательства Российской Федерации в области ПДн, в том числе Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее — ФЗ «О персональных данных»).
1.3. Действие Политики распространяется на все процессы обработки ПДн в Обществе.
2. Термины и определения
В Политике используются следующие основные термины и определения:
2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
2.2. Персональные данные, разрешенные субъектом персональных данных для распространения — ПДн, доступ неограниченного круга лиц к которым предоставлен субъектом ПДн путем дачи согласия на обработку ПДн, разрешенных субъектом ПДн для распространения в порядке, предусмотренном ФЗ «О персональных данных».
2.3. Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
2.4. Обработка ПДн — любое действие (операция) или совокупность действий (операций) с ПДн, совершаемых с использованием средств автоматизации или без использования таких средств. К таким действиям (операциям) относятся: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.
2.5. Автоматизированная обработка ПДн — обработка персональных данных с помощью средств вычислительной техники.
2.6. Неавтоматизированная обработка ПДн - обработка ПДн без использования средств автоматизации, а также обработка ПДн, содержащихся в информационной системе ПДн либо извлеченных из такой системы, если такие действия с ПДн, как использование, уточнение, распространение, уничтожение ПДн в отношении каждого из субъектов ПДн, осуществляются при непосредственном участии человека.
2.7. Распространение ПДн - действия, направленные на раскрытие ПДн неопределенному кругу лиц.
2.8. Предоставление ПДн - действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц.
2.9. Блокирование ПДн - временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн).
2.10. Уничтожение ПДн — действия, в результате которых становится невозможным восстановить содержание ПДн в информационной системе ПДн и (или) в результате которых уничтожаются материальные носители ПДн.
2.11. Обезличивание ПДн — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту ПДн.
2.12. Безопасность ПДн состояние защищенности информации (данных), при котором обеспечиваются ее (их) конфиденциальность, доступность и целостность.
2.13. Информационная система персональных данных (ИСПДн) - совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств.
2.14. Трансграничная передача ПДн - передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
3. Принципы обработки ПДн
3.1. Обработка ПДн осуществляется Обществом на законной и справедливой основе и ограничивается достижением конкретных, заранее определенных и законных целей.
3.2. Не допускается обработка ПДн, несовместимая с целями сбора ПДн и объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой.
3.3. Содержание и объем обрабатываемых Обществом ПДн соответствуют заявленным целям обработки.
3.4. При обработке ПДн обеспечивается точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн.
3.5. В Обществе принимаются необходимые меры по удалению или уточнению неполных, или неточных ПДн.
3.6. Хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен ФЗ, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПДн.
3.7. Обрабатываемые ПДн подлежат уничтожению или обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
3.8. Обработка ПДн осуществляется в соответствии с целями, заранее определенными и заявленными при сборе ПДн.
3.9. В Обществе допускается обработка ПДн, разрешенных субъектом ПДн для распространения в соответствии со статьей 10.1 ФЗ «О персональных данных».
3.10. Общество осуществляет передачу ПДн субъектов ПДн третьим лицам в соответствии с требованиями законодательства Российской Федерации в области ПДн.
3.11. В случаях, когда Общество поручает обработку ПДн другому лицу,
3.12. В Обществе осуществляется как автоматизированная обработка ПДн, так и неавтоматизированная обработка ПДн.
3.13. Сроки обработки (в т.ч. хранения) ПДн, обрабатываемых Обществом, определяются исходя из целей обработки ПДн и в соответствии с требованиями федеральных законов.
4. Цели сбора ПДн
4.1.Оператор обрабатывает ПДн исключительно в следующих целях:
- исполнения требований ТК РФ;
- соблюдения законов и иных нормативных правовых актов;
- обеспечения сохранности имущества;
- обеспечения безопасных условий труда;
- ведения делопроизводства;
- расчета и выплаты пособия по временной нетрудоспособности;
- определения возможности выполнения трудовой функции;
- организации внутреннего телефонного справочника;
- оформления корпоративных сим-карт;
- размещения в общедоступных источниках ПДн (стенд, web-сайты);
- осуществления социальных выплат и других видов социальной помощи;
- предоставления компенсаций, пособий, дополнительных выходных дней;
- вручения подарков несовершеннолетним детям работников на праздники;
- содействия в трудоустройстве и выборе подходящей должности;
- поиска и подбора работников;
- осуществления связи с субъектом ПДн;
- выполнения договорных обязательств;
- организации участия клиента в мероприятиях Общества;
- регистрации на web-сайте;
- регистрации на мероприятия Общества;
- консультирования по продуктам и услугам Общества;
- подписки на новости Общества;
- осуществления видов деятельности, предусмотренных Уставом Общества.
5. Правовые основания обработки ПДн
5.1.Оператор обрабатывает ПДн в соответствии со следующими НПА:
- ст.ст. 86-90 Трудового кодекса РФ;
- ст. 65 Трудового кодекса РФ;
- Налоговый кодекс РФ;
- Федеральный закон от 15 декабря 2001 №167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
- ст. 13 Федерального закона от 29 декабря 2006г. №255-ФЗ «Об обязательном социальном страховании на случай временной нетрудоспособности и в связи с материнством»;
- ст. 8 Федерального закона от 31 мая 1996г. №61-ФЗ «Об обороне»;
- Федеральный закон от 06 декабря 2011г. №402-ФЗ «О бухгалтерском учете».
- Согласие на обработку ПДн.
- Постановление Госкомстата РФ от 5 января 2004г. №1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты»;
- Договор с субъектом ПДн.
- Договор между Обществом и сторонней организацией.
- Договор между Обществом и клиентом (индивидуальным предпринимателем).
6. Права субъектов ПДн
6.1. Субъект ПДн имеет право на получение информации, касающейся обработки его ПДн, в том числе содержащей:
а) подтверждение факта обработки ПДн;
б) правовые основания и цели обработки ПДн; в) цели и применяемые способы обработки ПДн;
г) наименование и место нахождения, сведения о лицах, которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Обществом или на основании федерального закона;
д) обрабатываемые ПДн, относящиеся к соответствующему субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
е) сроки обработки ПДн, в том числе сроки их хранения;
ж) порядок осуществления субъектом ПДн прав, предусмотренных ФЗ «О персональных данных»; з) информацию об осуществленной или о предполагаемой трансграничной передаче данных;
и) информацию о способах исполнения Обществом обязанностей, установленных статьей 18.1 ФЗ
«О персональных данных»;
к) иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.
6.2. Субъект ПДн вправе требовать от Общества уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
6.3. Субъект ПДн имеет право на отзыв согласия на обработку ПДн, данного Обществу.
6.4. Доступ субъекта ПДн к своим ПДн может быть ограничен в соответствии с федеральными законами, в том числе если доступ субъекта ПДн к его ПДн нарушает права и законные интересы третьих лиц.
7. Обязанности оператора
7.1. Общество обязано предоставить субъекту ПДн по его просьбе информацию, предусмотренную частью 7 статьи 14 ФЗ «О персональных данных». Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами.
7.2. Если предоставление ПДн субъектом ПДн является обязательным в соответствии с федеральным законом, Общество обязано разъяснить субъекту ПДн юридические последствия отказа предоставить его ПДн.
7.3. Общество уведомляет субъекта ПДн об обработке ПДн в том случае, если ПДн были получены не от субъекта ПДн, за исключением случаев:
- субъект ПДн уведомлен об осуществлении обработки его ПДн Обществом;
- ПДн получены на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПДн;
- обработка ПДн, разрешенных субъектом ПДн для распространения, осуществляется в соответствии с Федеральным законом «О персональных данных»;
- обработка ПДн осуществляется для статистических или иных исследовательских целей, для осуществления профессиональной деятельности журналиста либо научной, литературной или иной творческой деятельности, если при этом не нарушаются права и законные интересы субъекта ПДн;
- предоставление субъекту ПДн сведений, предусмотренных частью З статьи 18 ФЗ «О персональных данных», нарушает права и законные интересы третьих лиц.
7.4. При сборе ПДн Общество обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключение случаев, указанных в пунктах 2, З, 4, 8 части 1 статьи 6 Федерального закона «О персональных данных».
7.5. Общество исполняет иные обязанности, предусмотренные законодательством РФ.
8. Меры обеспечения безопасности ПДн
8.1. Общество при обработке ПДн принимает правовые, организационные и технические меры или обеспечивает их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн в соответствии с требованиями законодательства Российской Федерации.
8.2. В Обществе принимаются следующие меры безопасности:
- назначение должностных лиц, ответственных за организацию обработки и обеспечении безопасности ПДн;
- ограничение и регламентация состава работников Оператора, имеющих доступ к ПДн;
- ознакомление работников Оператора с требованиями федерального законодательства и локальных нормативных актов по обработке и защите ПДн;
- обеспечение учёта и хранения материальных носителей ПДн и их обращения, исключающего хищение, подмену, несанкционированное копирование и уничтожение;
- определение угроз безопасности ПДн при их обработке в информационных системах персональных данных (далее – ИСПДн), формирование на их основе моделей угроз;
- разработка на основе модели угроз системы защиты ПДн для соответствующего уровня защищенности ПДн при их обработке в ИСПДн;
- проверка готовности и эффективности использования средств защиты информации;
- реализация разрешительной системы доступа пользователей ИСПДн к информационным ресурсам, программно-аппаратным средствам обработки и защиты информации;
- регистрация и учёт действий пользователей ИСПДн;
- парольная защита доступа пользователей к ИСПДн;
- применение в необходимых случаях средств криптографической защиты информации для обеспечения безопасности ПДн при передаче по открытым каналам связи и хранении на съемных машинных носителях ПДн;
- осуществление антивирусного контроля, предотвращение внедрения в корпоративную сеть вредоносных программ (программ-вирусов) и программных закладок;
- применение в необходимых случаях средств межсетевого экранирования;
- применение в необходимых случаях средств обнаружения вторжений в корпоративную сеть, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности ПДн;
- обучение работников Оператора, использующих средства защиты информации, применяемые в ИСПДн, правилам работы с ними;
- учёт применяемых средств защиты информации, эксплуатационной и технической документации к ним;
- использование в необходимых случаях средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;
- проведение мониторинга действий пользователей ИСПДн, проведение разбирательств по фактам нарушения требований безопасности ПДн;
- размещение технических средств обработки ПДн, в пределах охраняемой территории;
- поддержание технических средств охраны, сигнализации помещений в состоянии постоянной готовности.
8.3. Приняты правовые, организационные и технические меры по обеспечению безопасности ПДн при их обработке, предусмотренные соответствующими нормативными правовыми актами, для выполнения установленных Правительством Российской Федерации требований к защите ПДн при их обработке, исполнение которых обеспечивает установленные уровни защищенности ПДн.
8.4. При обработке ПДн, осуществляемой без использования средств автоматизации, выполняются требования, установленные постановлением Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
9. Порядок обработки обращений и запросов субъектов ПДн или их представителей
9.1. Обращения и запросы могут быть направлены субъектом ПДн или его представителем в адрес Общества:
а) посредством почтовой связи в письменной форме на бумажном носителе за собственноручной подписью по адресу: 173000, Великий Новгород, Федоровский ручей 2/13 ;
б) в форме электронного документа, подписанного электронной подписью в соответствии с законодательством Российской Федерации об электронной подписи на адрес электронной почты ric154vn@yandex.ru
9.2. Обращение (запрос) должно содержать:
а) номер и серия основного документа, удостоверяющего личность субъекта ПДн, сведения о дате выдачи указанного документа и выдавшем его органе;
б) сведения, подтверждающие участие субъекта ПДн в отношениях с Обществом, либо сведения иным способом, подтверждающие факт обработки ПДн субъекта ПДн Обществом;
в) номер и серия основного документа, удостоверяющего личность представителя субъекта ПДн, сведения о дате выдачи указанного документа и выдавшем его органе, копия доверенности или иного документа, подтверждающие полномочия представителя субъекта ПДн (в случае если обращается представитель субъекта ПДн);
г) подпись субъекта ПДн или его представителя.
9.3. Права субъектов ПДн определяются статьями 14-17 Федерального закона «О персональных данных».
9.4. Общество в сроки и порядке, установленные Федеральным законом «О персональных данных», а также локальными нормативными актами Общества, обеспечивает рассмотрение обращений и запросов субъектов ПДн, внесение соответствующих изменений или прекращение обработки, блокирование, обезличивание, уничтожение ПДн субъекта ПДн, если иное не установлено федеральным законом.
9.5. Ответы на обращения или запросы субъектов ПДн или их представителей отправляются в соответствии с Федеральным законом «О персональных данных» в той форме, в которой направлены соответствующие обращения либо запросы, если иное не указано в самом обращении или запросе.
10. Отзыв согласия субъекта ПДн на обработку ПДн
10.1. Согласие на обработку ПДн может быть отозвано субъектом ПДн.
10.2. Отзыв согласия на обработку ПДн может быть направлен в адрес Общества субъектом ПДн или его представителем одним из следующих способов:
а) посредством почтовой связи в письменной форме на бумажном носителе за собственноручной подписью 173000, Великий Новгород, Федоровский ручей 2/13;
в) на адрес электронной почты Общества ric154vn@yandex.ru в форме электронного документа, подписанного электронной подписью в соответствии с законодательством Российской Федерации; г) иным способом, указанным в согласии на обработку ПДн, данном субъектом ПДн Обществу в письменной форме.
10.3. Отзыв согласия на обработку ПДн должен содержать:
а) номер и серия основного документа, удостоверяющего личность субъекта ПДн, сведения о дате выдачи указанного документа и выдавшем его органе;
б) в случае направления отзыва согласия представителем субъекта ПДн номер и серия основного документа, удостоверяющего личность представителя субъекта ПДн, сведения о дате выдачи указанного документа и выдавшем его органе, копия доверенности или иного документа, подтверждающие полномочия представителя субъекта ПДн;
в) подпись субъекта ПДн или его представителя.
10.4. Права субъектов ПДн определяются ст. 14-17 ФЗ «О персональных данных».
10.5. В случае отзыва субъектом персональных данных согласия на обработку ПДн Общество:
- прекращает их обработку или обеспечивает прекращение такой обработки (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества);
- вправе продолжить обработку ПДн без согласия субъекта ПДн при наличии оснований, указанных в пунктах 2-11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 1 1 Федерального закона «О персональных данных».
10.6. В случае, если сохранение ПДн более не требуется для целей обработки ПДн, Общество обязано уничтожить ПДн или обеспечить их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению оператора) в течении срока, указанного в частях З, 4,
5 статьи 21 Федерального закона «О персональных данных», если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, иным соглашением между оператором и субъектом ПДн либо если Общество не вправе осуществлять обработку ПДн без согласия субъекта ПДн по основаниям, предусмотренным ФЗ «О персональных данных» или другими федеральными законами.
10.7. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в пункте 10.6 Политики, Общество осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.