Политика обработки персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая политика конфиденциальности при обработке персональных данных (далее – Политика) разработана в соответствии с требованиями Федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных» (далее - Закон о персональных данных), а также иными нормативными актами в области обработки и защиты персональных данных, и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных субъектов персональных данных, которые получает Общество с ограниченной ответственностью «ВИРДЖИНИЯ» (ОГРН 1089847239085, ИНН 7810519855), юридический адрес: 196211, город Санкт-Петербург, пр-кт Юрия Гагарина, д. 20 к. 1 литера А, помещ. 2-н офис 15, раб. м. 4, фактический адрес: 196650, Санкт-Петербург, г. Колпино, ул. Финляндская, д. 16, корпус 1, офис 319, адрес электронной почты: info@virginiaspb.ru (далее – Оператор).

Все вопросы, связанные с обработкой и защитой персональных данных, не урегулированные настоящей Политикой, разрешаются в соответствии с действующим законодательством Российской Федерации в области персональных данных.

1.2. Действие настоящего Политики не распространяется на отношения, возникающие при:

1) организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных фондов в соответствии с законодательством об архивном деле в Российской Федерации;

2) обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.

1.3. Обработка персональных данных осуществляется с соблюдением принципов и правил, предусмотренных Законом о персональных данных и настоящей Политики.

Обработка организована Оператором на принципах:

законности целей и способов обработки персональных данных, добросовестности и справедливости в деятельности Оператора;
ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
обработки только персональных данных, которые отвечают целям их обработки. Недопустима обработка персональных данных, несовместимая с целями сбора персональных данных;
соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, не совместимых между собой;
обеспечения точности персональных данных, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки персональных данных. Оператор принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных;
хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

1.4. Способы обработки персональных данных:

с использованием средств автоматизации;
без использования средств автоматизации.

1.5. В соответствии с поставленными целями и задачами Оператор до начала обработки персональных данных назначает ответственного за организацию обработки персональных данных.

1.6. Настоящая Политика и изменения к ней утверждаются Оператором.

1.7. Работники Оператора, непосредственно осуществляющие обработку персональных данных, должны быть ознакомлены под подпись до начала работы с Политикой и законодательством Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, документами, определяющими политику Оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, с данной Политикой и изменениями к нему.

1.8. При обработке персональных данных Оператор применяет правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии со ст. 18.1 и 19 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных».

1.9. Контроль за соблюдением работниками Оператора требований законодательства Российской Федерации и Политики локальных актов Оператора заключается в проверке выполнения требований нормативных документов по защите информации, а также в оценке обоснованности и эффективности принятых мер.

1.10. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего Оператору сайта в информационно-телекоммуникационной сети Интернет, с использованием которых осуществляется сбор персональных данных, настоящая Политика и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к настоящему Политике с использованием средств соответствующей информационно-телекоммуникационной сети.

1.11. Оператор обязан представить документы и локальные акты, указанные в ч. 1 ст. 18.1 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», и (или) иным образом подтвердить принятие мер, указанных в ч. 1 ст. 18.1 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», по запросу уполномоченного органа по защите прав субъектов персональных данных в течение 10 (десяти) рабочих дней.

1.12. Условия обработки персональных данных Оператором:

1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;

2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;

3) обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;

4) обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;

5) обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных;

6) обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;

7) обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением целей, указанных в ст. 15 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», при условии обязательного обезличивания персональных данных;

8) осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

1.13. Оператор на основании договора может поручить обработку персональных данных третьему лицу. Существенным условием такого договора является наличие права у данного лица на обработку персональных данных, обязанность соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных», соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных».

1.14. Взаимодействие с федеральными органами исполнительной власти по вопросам обработки и защиты персональных данных субъектов, персональные данные которых обрабатываются Оператором, осуществляется в рамках законодательства Российской Федерации.

1.15. Правовыми основаниями обработки персональных данных являются следующие правовые акты, во исполнение которых и в соответствии с которыми Оператор обрабатывает персональные данные:

Конституция Российской Федерации;

Трудовой кодекс Российской Федерации;

Гражданский кодекс Российской Федерации;

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;

Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

Постановление Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;

иные правовые акты в области персональных данных.

2. ПОНЯТИЯ, ИСПОЛЬЗУЕМЫЕ В ПОЛИТИКИИ

2.1. Оператор – Общество с ограниченной ответственностью «ВИРДЖИНИЯ», вступивший в договорные отношения с работником, клиентом или контрагентом или оказывающее услуги физическому или юридическому лицу, индивидуальному предпринимателю.

2.2. Клиент – физическое лицо, представитель - физическое лицо юридического лица или индивидуального предпринимателя, вступившее в договорные отношения по оказанию услуг с Оператором.

2.3. Контрагент – физическое лицо, представитель – физическое лицо юридического лица и индивидуального предпринимателя, вступившее с Оператором в договорные отношения.

2.4. Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

2.5. Персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом «О персональных данных».

2.6. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.7. Пользователь – физическое лицо, к которому относятся соответствующие персональные данные, просматривающее содержание веб-сайта и/или использующее функционал веб-сайта Оператора, в том числе успешно прошедшее процедуру заполнения полей ввода данных в форме(ах) на веб-сайте.

2.8. Субъект персональных данных – Работник, Клиент, Контрагент, иное физическое лицо, персональные данные которого обрабатываются Оператором.

2.9. Защита персональных данных Работника, Клиента, Контрагента – деятельность Оператора по обеспечению с помощью локального регулирования порядка обработки персональных данных и организационно-технических мер конфиденциальности информации.

2.10. Конфиденциальность персональных данных – обязательное для соблюдения лицом, получившим доступ к персональным данным, требование не допускать из распространения без согласия субъекта персональных данных или наличия иного законного основания.

2.11. Ответственный работник - работник Оператора, на которого возложены обязанности по обеспечению информационной безопасности и режима Оператора, в том числе обязанности по организации обработки персональных данных.

2.12. Подразделение по работе с персоналом – отдел по работе с персоналом Оператора либо работник Оператора, на которого возложены обязанности по работе с персоналом.

2.13. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

3. ПОРЯДОК ОБЕСПЕЧЕНИЯ ОПЕРАТОРОМ ПРАВ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Субъекты персональных данных или их представители обладают правами, предусмотренными Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных» и другими нормативно-правовыми актами, регламентирующими обработку персональных данных.

Субъекты персональных данных или их законные представители имеют право:

получать полную информацию о своих персональных данных и обработке этих данных (в том числе автоматизированной);
осуществлять свободный бесплатный доступ к своим персональным данным, включая право получать копии любой записи, содержащей персональные данные субъекта, за исключением случаев, предусмотренных федеральным законодательством РФ;
требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработка которых ведется с нарушением законодательства РФ;
при отказе Оператора или уполномоченного им лица исключить или исправить персональные данные субъекта – заявить в письменной форме о своем несогласии, представив соответствующее обоснование;
требовать от Оператора или уполномоченного им лица уведомления всех лиц, которым ранее были сообщены неверные или неполные персональные данные субъекта, обо всех произведенных в них изменениях или исключениях из них;
обжаловать в суде любые неправомерные действия или бездействие Оператора или уполномоченного им лица, осуществляемые при обработке и защите персональных данных субъекта.

3.2. Оператор обеспечивает права субъектов персональных данных в порядке, установленном гл. 3 и 4 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных».

3.3. Полномочия представителя на представление интересов каждого субъекта персональных данных подтверждаются доверенностью, оформленной в порядке ст. ст. 185 и 185.1 Гражданского кодекса Российской Федерации, ч. 2 ст. 53 Гражданского процессуального кодекса Российской Федерации или удостоверенной нотариально согласно ст. 59 Основ законодательства Российской Федерации о нотариате (утв. Верховным Советом Российской Федерации 11.02.1993 №4462-1).

3.4. Сведения, указанные в ч. 7 ст. 14 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», предоставляются субъекту персональных данных в доступной форме без персональных данных, относящихся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных, в электронном виде. По требованию субъекта персональных данных они могут быть продублированы на бумаге.

3.5. Сведения, указанные в ч. 7 ст. 14 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», предоставляются субъекту персональных данных или его представителю в течение 10 (десяти) рабочих дней с момента обращения либо получения Оператором запроса субъекта персональных данных или его представителя.

Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации. Оператор предоставляет сведения, указанные в ч. 7 ст. 14 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.

3.6. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами.

3.7. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только при условии предварительного согласия субъекта персональных данных.

3.8. Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных, указанную в ч. 1 ст. 15 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных».

3.9. Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами Российской Федерации, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.

3.10. Оператор обязан устно, а по письменному требованию субъекта персональных данных или его представителя - письменно, разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов.

3.10.1. Текст устного разъяснения Оператор составляет в письменном виде до начала автоматизированной обработки персональных данных и хранит не менее 3 (трех) лет.

3.10.2. В случае автоматизированной обработки персональных данных различными способами разъяснение готовится отдельно для каждого способа.

3.11. Оператор обязан рассмотреть возражение, указанное в ч. 3 ст. 16 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», в течение 30 (тридцати) дней со дня его получения и уведомить субъекта персональных данных о результатах рассмотрения такого возражения.

3.12. Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных, по месту своего расположения в рабочее время.

3.13. Оператор в течение 3 (трех) дней с момента исправления или уничтожения персональных данных по требованию субъекта персональных данных или его представителя обязан уведомить его о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.

3.14. Обязанности Оператора:

за свой счет обеспечить защиту персональных данных от неправомерного их использования или утраты в порядке, установленном законодательством РФ;
предоставлять субъекту персональных данных по его запросу информацию, касающуюся обработки его персональных данных, либо на законных основаниях предоставить отказ;
обеспечить субъекту свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей его персональные данные, за исключением случаев, предусмотренных законодательством РФ;
по требованию субъекта персональных данных уточнять обрабатываемые персональные данные, блокировать или удалять, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
вести журнал учета обращений субъектов персональных данных, в котором должны фиксироваться запросы субъектов персональных данных на получение персональных данных, а также факты предоставления персональных данных по этим запросам;
уведомлять субъекта персональных данных об обработке персональных данных в том случае, если персональные данные были получены не от субъекта персональных данных;
в случае достижения цели обработки персональных данных незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий тридцати рабочих дней с даты достижения цели обработки персональных данных, если иное не предусмотрено федеральным законодательством РФ;
в случае направления запроса субъектом о прекращении обработки его персональных данных прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий десяти рабочих дней с даты поступления указанного запроса. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления 4 запрашиваемой информации. Оператор вправе продолжить обработку персональных данных в случаях, предусмотренных пунктами 2 - 11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона №152-ФЗ «О персональных данных»;
предоставлять персональные данные субъекта только уполномоченным лицам и только в той части, которая необходима им для выполнения их трудовых обязанностей в соответствии с настоящей Политикой и законодательством Российской Федерации.

4. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Все персональные данные Оператор получает непосредственно от субъекта персональных данных, от его представителя либо от лица, поручившего Оператору обработку персональных данных, за исключением случаев, предусмотренных законодательством РФ.

4.2. Обработка персональных данных осуществляется с согласия субъекта персональных данных, за исключением случаев, предусмотренных законодательством РФ. Согласие может быть выражено в различных формах, позволяющих подтвердить факт его получения, в том числе в конклюдентных действиях, в письменном виде в форме отдельного документа, либо в составе какого-либо документа, подписываемого субъектом. Согласие может быть дано представителем субъекта, при предоставлении им доказательств своих полномочий.

4.3. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случаях, предусмотренных законодательством РФ, обработка персональных данных может быть продолжена даже после отзыва субъектом согласия на обработку.

4.4. При принятии решений, затрагивающих интересы субъекта, Оператор никогда не основывается на персональных данных субъекта, полученных исключительно в результате их автоматизированной обработки или электронного получения.

4.5. Персональные данные не используются в целях причинения имущественного и/или морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации.

4.6. Доступ к персональным данным имеют работники Оператора, которым персональные данные необходимы в связи с исполнением ими должностных обязанностей.

4.7. Передача персональных данных работника Оператора третьим лицам осуществляется только с письменного согласия субъекта, за исключением случаев, предусмотренных законодательством РФ.

4.8. Оператор вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.

4.9. Оператор вправе создавать общедоступные источники персональных данных, в которые могут включаться персональные данные субъекта персональных данных с его письменного согласия.

4.10. Передача персональных данных субъекта в коммерческих целях без его письменного согласия не осуществляется.

4.11. В случае необходимости передачи Оператором персональных данных третьим лицам, она осуществляется только после подписания между Оператором и третьей стороной соглашения о неразглашении конфиденциальной информации, за исключением случаев, предусмотренных законодательством РФ.

4.12. Обработка персональных данных осуществляется как использованием средств вычислительной техники, так и без использования таковых средств.

4.13. Сроки обработки персональных данных Оператором в общем случае определяются в соответствии со сроками, установленными Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных»; сроком действия соответствующего договора; сроками, оговоренными в поручении на обработку персональных данных; сроками действия документов, установленными Федерального закона №125-ФЗ «Об архивном деле в Российской Федерации»; Приказа Росархива от 20.12.2019 №236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения», сроком исковой давности; сроком действия согласия, данного субъектом персональных данных на их обработку; а также иными требованиями законодательства Российской Федерации.

4.14. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, обособляются от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных (далее - материальные носители), в специальных разделах или на полях форм (бланков).

4.15. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных используется отдельный материальный носитель.

4.16. Лица, осуществляющие обработку персональных данных без использования средств автоматизации, должны быть проинформированы о факте обработки ими персональных данных, обработка которых осуществляется оператором без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки.

4.17. При использовании типовых форм документов, заполняемых субъектом персональных данных собственноручно, характер информации в которых предполагает или допускает включение в них персональных данных (далее - типовая форма), соблюдаются следующие условия:

типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, имя (наименование) и адрес оператора, фамилию имя, отчество и адрес субъекта персональных данных, источник получения персональных данных, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых оператором способов обработки персональных данных;
типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации - при необходимости получения письменного согласия на обработку персональных данных;
типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;
типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо несовместимы.

4.18. Персональные данные подлежат уничтожению по достижении целей обработки, в случае утраты необходимости в их достижении, по истечении срока хранения, при выявлении факта неправомерной обработки либо по требованию лица, поручившего обработку персональных данных в срок, не превышающий десяти рабочих дней с даты достижения цели обработки персональных данных, либо получения отзыва на их обработку. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Уничтожение осуществляется в присутствии комиссии. По итогам составляется акт об уничтожении.

4.19. Трансграничная передача Оператором не осуществляется.

5. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Все работники, имеющие доступ к персональным данным, обязаны подписать обязательство о неразглашении персональных данных.

5.2. Защита персональных данных от неправомерного их использования или утраты обеспечивается Оператором в порядке, установленном законодательством РФ.

5.3. Субъекты персональных данных до предоставления своих персональных данных должны иметь возможность ознакомиться с настоящей Политикой.

5.4. Защите подлежат:

информация о персональных данных субъекта;
документы, содержащие персональные данные субъекта;
персональные данные, содержащиеся на электронных носителях.

5.5. Оператор назначает Ответственного работника за организацию обработки персональных данных.

5.6. Оператор издает документы, определяющие политику Оператора в отношении обработки персональных данных, локальные акты по вопросам обработки персональных данных, а также локальные акты, устанавливающие процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации, устранение последствий таких нарушений.

5.7. Оператор принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных в соответствии со статьей 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», в том числе:

1) определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

2) применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

3) применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

3.1) применение для уничтожения персональных данных, прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, в составе которых реализована функция уничтожения информации;

4) оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

5) учет машинных носителей персональных данных;

6) обнаружение фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;

7) восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

8) установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;

9) контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

5.8. Оператор осуществляет внутренний контроль и (или) аудит соответствия обработки персональных данных Федеральному закону от 27.07.2006 №152-ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требование к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам Оператора.

5.9. Оператор осуществляет оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом

5.10. Оператор ознакамливает своих работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, документами, определяющими политику Оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников.

5.11. Ответственные лица соответствующих подразделений, хранящих персональные данные на бумажных носителях, обеспечивают их защиту от несанкционированного доступа и копирования согласно «Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденному Постановлением Правительства РФ от 15 сентября 2008 г. № 687.

5.12. Ответственные лица структурных подразделений, обрабатывающие персональные данные в информационных системах персональных данных и машинных носителях информации, обеспечивают защиту в соответствии с Постановлением Правительства РФ от 01 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и другими нормативными, нормативно-методическими, методическими документами.

5.13. По возможности персональные данные должны быть обезличены.

5.14. Анализ угроз. Обеспечение безопасности персональных данных, а также разработка и внедрение средств защиты персональных данных основывается на анализе угроз безопасности персональных данных.

Модель угроз отражает актуальное состояние защищенности информационных систем персональных данных и актуальные угрозы безопасности персональных данных. Разработка Частной модели угроз осуществляется на основании анализа существующих угроз безопасности и возможности их реализации в обследуемых информационных системах персональных данных.

5.15. Порядок уничтожения персональных данных. Ответственным за уничтожение персональных данных является уполномоченное лицо, назначаемое приказом генерального директора.Уполномоченное лицо является председателем комиссии Оператора по уничтожению персональных данных. Назначение комиссии по уничтожению персональных данных производится приказом генерального директора.

При наступлении любого из событий, повлекших, согласно законодательству РФ, необходимость уничтожения персональных данных, Уполномоченное лицо обязано:

уведомить членов комиссии о работах по уничтожению персональных данных;
определить (назначить) время, место работы комиссии (время и место уничтожения персональных данных);
установить перечень, тип, наименование, регистрационные номера и другие данные носителей, на которых находятся персональные данные подлежащие уничтожению (и/или материальные носители персональных данных);
определить технологию (прием, способ) уничтожения персональных данных (и/или материальных носителей персональных данных);
определить технические (материальные, программные и иные) средства, посредством которых будет произведено уничтожение персональных данных;
руководя работой членов комиссии, произвести уничтожение персональных данных (и/или материальных носителей персональных данных);
оформить соответствующий Акт об уничтожении персональных данных (и/или материальных носителей персональных данных) и представить Акт об уничтожении персональных данных (и/или материальных носителей персональных данных) на утверждение генеральному директору;
в случае необходимости уведомить об уничтожении персональных данных субъекта персональных данных и/или уполномоченный орган.

6. КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Цель обработки: Подготовка, заключение и исполнение гражданско-правового договора.

Категории субъектов персональных данных: контрагенты Оператора; представители контрагентов Оператора; клиенты Оператора, выгодоприобретатели по договорам с Оператором, их законные представители.

Персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; гражданство; адрес электронной почты; адрес регистрации; адрес доставки; идентификационный номер налогоплательщика; номер расчетного счета; номер лицевого счета; номер телефона; данные документа, удостоверяющего личность; профиль в социальной сети. Персональные данные, входящие в категорию «Специальные категории персональных данных»: обработка не производится. Персональные данные, входящие в категорию «Биометрические персональные данные»: обработка не производится.

Перечень: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); блокирование; удаление; уничтожение.

Сроки обработки и хранения: до достижения цели обработки либо до истечения срока действия согласия/отзыва, предоставленного субъектом персональных данных согласия на обработку его персональных данных, если иное не установлено законодательством.

6.2. Цель обработки: Ведение кадрового и бухгалтерского учета.

Категории субъектов персональных данных: Работники Оператора; соискатели на вакантные должности Оператора; уволенные работники Оператора.

Персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; сведения о доходах; пол; адрес электронной почты; адрес места жительства; адрес регистрации; идентификационный номер налогоплательщика; страховой номер индивидуального лицевого счета (СНИЛС); данные о гражданстве; данные документа, удостоверяющего личность; данные водительского удостоверения; данные документа, содержащиеся в свидетельстве о рождении; реквизиты банковской карты; номер расчетного счета; номер лицевого счета; профессия; должность; отношение к воинской обязанности, сведения о воинском учете; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); сведения об образовании. Персональные данные, входящие в категорию «Специальные категории персональных данных»: обработка не производится. Персональные данные, входящие в категорию «Биометрические персональные данные»: обработка не производится.

6.3. Цель обработки: Обеспечение соблюдения налогового законодательства Российской Федерации.

Категории субъектов персональных данных: Работники Оператора; клиенты Оператора.

Персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; сведения о доходах; адрес места жительства; адрес регистрации; идентификационный номер налогоплательщика; страховой номер индивидуального лицевого счета (СНИЛС); данные о гражданстве; данные документа, удостоверяющего личность; реквизиты банковской карты; номер расчетного счета; номер лицевого счета. Персональные данные, входящие в категорию «Специальные категории персональных данных»: обработка не производится. Персональные данные, входящие в категорию «Биометрические персональные данные»: обработка не производится.

6.4. Цель обработки: Обеспечение соблюдения трудового законодательства Российской Федерации.

Категории субъектов персональных данных: Работники Оператора; родственники работников Оператора.

Персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; пол; адрес места жительства; адрес регистрации; адрес электронной почты; номер телефона; страховой номер индивидуального лицевого счета (СНИЛС); идентификационный номер налогоплательщика; данные о гражданстве; данные документа, удостоверяющего личность; данные водительского удостоверения; данные документа, содержащиеся в свидетельстве о рождении; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); сведения об образовании; сведения о наличии квалификационного аттестат. Персональные данные, входящие в категорию «Специальные категории персональных данных»: обработка не производится. Персональные данные, входящие в категорию «Биометрические персональные данные»: обработка не производится.

6.5. Цель обработки: Подбор персонала (соискателей) на вакантные должности Оператора.

Категории субъектов персональных данных: Соискатели на вакантные должности Оператора.

Персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; пол; гражданство; адрес места жительства; адрес регистрации; номер телефона; адрес электронной почты; паспортные данные; страховой номер индивидуального лицевого счета (СНИЛС); идентификационный номер налогоплательщика; сведения об образовании; сведения о трудовой деятельности; сведения о воинском учете. Персональные данные, входящие в категорию «Специальные категории персональных данных»: обработка не производится. Персональные данные, входящие в категорию «Биометрические персональные данные»: обработка не производится.

6.6. Цель обработки: Продвижение Оператором товаров, работ, услуг на рынке.

Категории субъектов персональных данных: Клиенты Оператора; посетители сайта Оператора.

Персональные данные: фамилия, имя, отчество (при наличии); адрес электронной почты; номер телефона; сведения, собираемые посредством метрических программ; профиль в социальной сети. Персональные данные, входящие в категорию «Специальные категории персональных данных»: обработка не производится. Персональные данные, входящие в категорию «Биометрические персональные данные»: обработка не производится.

6.7. Цель обработки: Обработка обращений клиентов, посетителей сайта.

Категории субъектов персональных данных: Клиенты Оператора, посетители сайта Оператора.

Персональные данные: фамилия, имя, отчество (при наличии); адрес электронной почты; номер телефона; профиль в социальной сети; сведения, собираемые посредством метрических программ. Персональные данные, входящие в категорию «Специальные категории персональных данных»: обработка не производится. Персональные данные, входящие в категорию «Биометрические персональные данные»: обработка не производится.

6.8. Цель обработки: Обеспечение бесперебойной работы официального сайта и его функций, формирование клиентской статистики об использовании разделов сайта.

Категории субъектов персональных данных: Посетители сайта Оператора.

Персональные данные: сведения о веб-браузере; IP-адрес; данные о местоположении; технические характеристики ПО и оборудования; время доступа; файлы cookie.

7. ВЗАИМОДЕЙСТВИЕ С ДРУГИМИ ОПЕРАТОРАМИ ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ С ПРИМЕНЕНИЕМ СИСТЕМЫ ЭЛЕКТРОННОГО ВЗАИМОДЕЙСТВИЯ

7.1. На основании двух- и многосторонних соглашений Оператор осуществляет обработку персональных данных в рамках электронного информационного взаимодействия с применением системы электронного взаимодействия (далее - СЭВ).

7.2. По согласованным регламентам Оператор в рамках СЭВ на основании поступивших запросов направляет информацию, включающую персональные данные субъектов, обрабатываемые Оператором.

7.3. По перечню, утвержденному приказом Оператора, Ответственный работник в рамках СЭВ вправе направить запросы о предоставлении информации, включающей персональные данные субъектов.

7.4. Прекращение действия соглашения с другим оператором является основанием для уничтожения Оператором обработанных в рамках такого соглашения персональных данных.

8. ПЕРЕДАЧА ДАННЫХ ОПЕРАТОРОМ ТРЕТЬИМ ЛИЦАМ

8.1. Оператор использует метрическую программу Яндекс.Метрика, (Общество с ограниченной ответственностью «Яндекс» (Адрес: 119021, г. Москва, ул. Льва Толстого, д.16, ИНН 7736207543, ОГРН 1027700229193)) для сбора сведений об использовании сайта, в том числе IPадрес, информация из cookie, информация о браузере пользователя (или иной программе, с помощью которой осуществляется доступ к сайту), время доступа, адрес запрашиваемой страницы сайта, адрес ранее посещенной страницы сайта, в соответствии с Политикой конфиденциальности размещенной на по адресу: https://yandex.ru/legal/confidential

8.2. Сбор веб-аналитики, хостинг сайта, и хранение персональных данных осуществляется ООО «Бегет» (Адрес: 195112, город Санкт-Петербург, пл. Карла Фаберже, д. 8 литер б, офис 726а, ОГРН 1077847645590, ИНН 7801451618) в соответствии с Политикой конфиденциальности размещенной на по адресу: https://beget.com/ru/personal-data-apps

8.3. Поступление, обработка обращений, предоставление ответа на обращение, а также рассылка рекламных и маркетинговых сообщений, хранение контактов, оставивших заявку на вопрос, консультацию осуществляется посредством:

Сервиса «MAX», Общество с ограниченной ответственностью «МАХ» (ИНН 9714058267, ОГРН 1247700595230, адрес места нахождения: 125167, город Москва, вн.тер.г. муниципальный округ Хорошевский, проспект Ленинградский, д. 39, стр. 79), в соответствии с Политикой конфиденциальности размещенной на по адресу: https://legal.max.ru/pp
Сервиса «ВКонтакте», Общество с ограниченной ответственностью «ВК» (ИНН 7743001840, ОГРН 1027739850962, адрес места нахождения: 125167, город Москва, Ленинградский пр-кт, д.39 стр.79), в соответствии с Политикой конфиденциальности размещенной на по адресу: https://vk.com/privacy
Сервиса «mail.ru», Общество с ограниченной ответственностью «ВК» (ИНН 7743001840, ОГРН 1027739850962, адрес места нахождения: 125167, город Москва, Ленинградский пр-кт, д.39 стр.79), в соответствии с Политикой конфиденциальности размещенной на по адресу: https://help.mail.ru/legal/documents/personaldata/
программы для ЭВМ «1С-Битрикс24», Общество с ограниченной ответственностью «1С-Битрикс», (ИНН 7717586110, ОГРН 5077746476209, адрес места нахождения: 109544, город Москва, б-р Энтузиастов, д. 2 этаж 13, помещения 8-19), в соответствии с Политикой обработки персональных данных и информации, размещенной на по адресу: https://www.bitrix24.ru/about/privacy.php
программы для ЭВМ «1С», Акционерное общество «1С» (ИНН 7714017115, ОГРН 1027739405540, адрес места нахождения: 127473, город Москва, Селезневская ул, д. 34 стр. 4), в соответствии с Политикой обработки персональных данных и информации, размещенной на по адресу: www.1c.ru

8.4. Передача персональных данных субъекта в коммерческих целях без его письменного согласия не осуществляется.

8.5. В случае необходимости передачи Оператором персональных данных третьим лицам, она осуществляется только после подписания между Оператором и третьей стороной соглашения о неразглашении конфиденциальной информации, за исключением случаев, предусмотренных законодательством РФ.

9. КОНТРОЛЬ, ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ИЛИ НЕИСПОЛНЕНИЕ ПОЛИТИКИЯ

9.1. Лица, нарушающие или не исполняющие требования Политику, привлекаются к дисциплинарной, административной или уголовной ответственности в соответствии с действующим законодательством.

9.2. Руководители структурных подразделений Оператора несут персональную ответственность за исполнение обязанностей их подчиненными.

9.3. Контроль за исполнением настоящей Политики возложен на генерального директора.

10. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛИТИКИЯ

10.1. Настоящая Политика вступает в силу с момента ее утверждения.

10.2. Настоящая Политика доводится до сведения путем размещения на сайте Оператора в сети Интернет по адресу: https://virginiaspb.ru, а также на информационном стенде в офисе Оператора.