Соглашение на обработку персональных данных

1. Общие положения

Настоящая Политика в области обработки и защиты персональных данных (далее - Политика) является документом, определяющим основы деятельности компании ООО «СЭСТ-ЛЮВЭ» (далее – Компания, оператор) при обработке и защите персональных данных.

Политика разработана с учетом требований законодательства Российской Федерации в области защиты персональных данных.

Политика раскрывает правовые основания обработки персональных данных (далее - ПД), принципы и цели такой обработки, правила обработки, сведения о принимаемых мерах защиты ПД, информацию о правах субъектов ПД.

Политика является внутренним локально-нормативным актом Компании обязательна для исполнения всеми сотрудниками Компании.

Требования Политики распространяются на все процессы обработки персональных данных в Компании, независимо от формы предоставления персональных данных.

2. Основные понятия

Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

Персональные данные, разрешенные субъектом персональных данных (Субъект, Субъект ПД) для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом «О персональных данных» №152-ФЗ;

Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;

Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Специальные категории персональных данных – данные касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, судимости;

Биометрические персональные данные – сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных.

3. Права и обязанности Компании и Субъекта ПД.

3.1. Компания вправе:

• 3.1.1. обрабатывать персональные данные Субъекта в соответствии с заявленной целью;
• 3.1.2. требовать от Субъекта персональных данных предоставления достоверных персональных данных, необходимых для исполнения договора, идентификации Субъекта персональных данных, а также в иных случаях, предусмотренных законодательством РФ о персональных данных;
• 3.1.3. поручать обработку персональных данных другому лицу с согласия Субъекта персональных данных и в иных случаях, когда это допускается в соответствии с требованиями законодательства о персональных данных;
• 3.1.4. предоставлять персональные данные третьим лицам, с согласия Субъекта персональных данных и в случаях, когда это допускается в соответствии с требованиями законодательства о персональных данных;
• 3.1.5. отстаивать свои интересы в суде;
• 3.1.6. осуществлять иные права, предусмотренные законодательством РФ.

3.2. Субъект персональных данных вправе:

• 3.2.1. получать от Компании информацию, касающуюся обработки его персональных данных, в том числе содержащую:
• подтверждение факта обработки персональных данных Компанией;
• правовые основания обработки персональных данных;
• цели и применяемые Компанией способы обработки персональных данных;
• наименование и место нахождения Компании, сведения о лицах (за исключением работников Компании), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Компанией или на основании федерального закона;
• обрабатываемые персональные данные, относящиеся к соответствующему Субъекту персональных данных, источник их получения;
• сроки обработки персональных данных, в том числе сроки их хранения;
• порядок осуществления Субъектом персональных данных прав, предусмотренных ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных»;
• информацию об осуществленной или о предполагаемой трансграничной передаче данных;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Компании, если обработка поручена или будет поручена такому лицу;
• информацию о способах исполнения Компанией обязанностей, предусмотренных статьей 18.1. ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных»;
• иные сведения, предусмотренные ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных» или другими федеральными законами.
• 3.2.2. требовать от Компании уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• 3.2.3. принимать предусмотренные законом меры по защите своих прав;
• 3.2.4. отозвать свое согласие на обработку персональных данных.

3.3. Компания обязана:

• 3.3.1. предоставить Субъекту по его запросу информацию, предусмотренную п. 3.2.1 Политики;
• 3.3.2. разъяснить Субъекту юридические последствия отказа предоставить его персональные данные, если предоставление персональных данных является обязательным в соответствии с федеральным законом;
• 3.3.3. при сборе персональных данных обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных Субъектов - граждан Российской Федерации с использованием баз данных, находящихся на территории РФ;
• 3.3.4. исполнять иные обязанности, предусмотренные законодательством РФ

3.4. Субъект персональных данных обязан:

• 3.4.1. Поддерживать актуальность персональных данных, переданных Компании путем направления письменных уведомлений.

4. Цели обработки персональных данных.

Персональные данные обрабатываются в Компанией в целях:

4.1. Обеспечения соблюдения Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации, локальных нормативных актов Компании.

4.2. Осуществления прав и обязанностей, возложенных законодательством Российской Федерации на Компанию, в том числе по предоставлению персональных данных в Федеральную налоговую службу РФ, Социальный фонд России, а также в иные органы власти.

4.3. В целях, определенных в Приложении №1 к настоящей Политике.

5. Правовые основания обработки персональных данных.

5.1. Правовыми основаниями обработки персональных данных являются:

• 5.1.1. Федеральные законы и принятые на их основе нормативные правовые акты, в частности:
• Трудовой кодекс Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
• Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
• Федеральный закон от 29.12.2006 № 255-ФЗ «Об обязательном социальном страховании на случай временной нетрудоспособности и в связи с материнством»;
• Федеральный закон от 24.07.1998 № 125-ФЗ «Об обязательном социальном страховании от несчастных случаев на производстве и профессиональных заболеваний»;
• Федеральный закон от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»;
• Федеральный закон от 06.03.2006 N 35-ФЗ «О противодействии терроризму»;
• Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»;
• Постановление Правительства РФ от 27.11.2006 № 719 «Об утверждении Положения о воинском учете»;
• Иные нормативные правовые акты РФ, субъектов РФ и органов местного самоуправления.
• 5.1.2. Локальные нормативные акты Компании.
• 5.1.3. Согласие субъекта (представителя субъекта) персональных данных.

6. Категории субъектов, персональные данные которых обрабатываются

6.1. Компания обрабатывает персональные данные следующих категорий субъектов ПД:

• работники, бывшие работники Компании;
• родственники работников, бывших работников Компании;
• кандидаты на замещение вакантны должностей;
• контрагенты Компании – физические лица, индивидуальные предприниматели, представители юридических лиц;
• пользователи сайта (ов) Компании;
• ученики, стажеры;

7. Объем и категории обрабатываемых персональных данных

7.1. Перечень персональных данных, категории субъектов персональных данных, чьи персональные данные обрабатываются в Компании, а также объем обрабатываемых персональных данных, определяются в соответствии с законодательством Российской Федерации и локальными нормативными актами Компании, с учетом направления деятельности Компании.

7.2. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни в Компании не осуществляется. Обработка сведений о состоянии здоровья осуществляется исключительно в целях и объемах, необходимых для соблюдения требований законодательства.

7.3. Компания осуществляет обработку биометрических ПД Работников (фото-, видеоизображение лица) в целях размещения на информационной доске Компании.

7.4. Компания не принимает на основании исключительно автоматизированной обработки ПД решений, порождающих юридические последствия в отношении субъекта ПД или иным образом затрагивающих его права и законные интересы.

8. Порядок, сроки и условия обработки персональных данных

8.1. Компания осуществляет:

• неавтоматизированную обработку персональных данных;
• автоматизированную обработку персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
• смешанную обработку персональных данных.

8.2. Компания осуществляет сбор, запись, систематизацию, анализ, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, распространение, доступ), блокирование, удаление, уничтожение ПД.

8.3. Сбор, запись, систематизация, накопление, хранение и уточнение (обновление, изменение) персональных данных в Компании осуществляются посредством:

• получения оригиналов документов либо их копий;
• копирования оригиналов документов;
• внесения сведений в учетные формы на бумажных и электронных носителях;
• создания документов, содержащих персональные данные, на бумажных и электронных носителях;
• сбор персональных данных посредством заполнения форм пользователями сайта Компании в сети интернет;
• внесения персональных данных в информационные системы.

8.4. В случае возникновения необходимости получения ПД у третьей стороны, необходимо известить об этом субъекта персональных данных заранее, получить его письменное согласие и сообщить о целях, предполагаемых источниках и способах получения персональных данных.

8.5. Компания вправе передавать ПД и/или поручить обработку ПД третьим лицам с согласия субъекта персональных данных.

8.6. Компания вправе передавать ПД третьим лицам по основаниям, предусмотренным действующим законодательством.

8.7. Компания и иные лица, получившие доступ к ПД, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

8.8. Хранение персональных данных осуществляется в форме, позволяющей определить Субъекта, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен действующим законодательством РФ, договором, стороной которого или выгодоприобретателем, по которому является Субъект.

8.9. Персональные данные на бумажных носителях хранятся в Обществе в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ (Федеральный закон от 22.10.2004 N 125-ФЗ "Об архивном деле в Российской Федерации", Перечень типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения (утв. Приказом Росархива от 20.12.2019 N 236)).

8.10. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.

8.11. Компания прекращает обработку персональных данных при достижении целей обработки персональных данных, истечении срока действия согласия или отзыва согласия Субъекта на обработку его персональных данных, а также выявлении неправомерной обработки персональных данных.

8.12. Компания не осуществляет трансграничную передачу персональных данных.

8.13. Компания уточняет персональные данные Субъекта либо обеспечивает их уточнение в течение 7 рабочих дней со дня предоставления Субъектом или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными.

8.14. Компания прекращает или обеспечивает прекращение обработки персональных данных, в случае выявления неправомерной обработки персональных данных, в срок, не превышающий 3 рабочих дней с даты этого выявления. Компания уничтожает персональные данные Субъекта при наступлении следующих условий и в следующие сроки:

• 8.14.1. достижение целей обработки персональных данных или максимальных сроков хранения - в течение 30 (тридцати) дней;
• 8.14.2. утрата необходимости в достижении целей обработки персональных данных - в течение 30 (тридцати) дней;
• 8.14.3. предоставление Субъектом или его представителем подтверждения того, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки - в течение 7 (семи) дней;
• 8.14.4. невозможность обеспечения правомерности обработки персональных данных - в течение 10 (десяти) дней;
• 8.14.5. отзыв Субъектом согласия на обработку его персональных данных, если сохранение персональных данных более не требуется для целей обработки персональных данных - в течение 30 (тридцати) дней;
• 8.14.6. истечение сроков исковой давности для правоотношений, в рамках которых осуществляется либо осуществлялась обработка персональных данных.

8.15. Уничтожение персональных данных осуществляет комиссия, созданная приказом генерального директора.

8.16. Комиссия составляет список с указанием документов, иных материальных носителей и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению.

8.17. Персональные данные на бумажных носителях уничтожаются с использованием шредера. Персональные данные на электронных носителях уничтожаются путем механического нарушения целостности носителя, не позволяющего считать или восстановить персональные данные, а также путем удаления данных с электронных носителей методами и средствами гарантированного удаления остаточной информации.

8.18. Комиссия подтверждает уничтожение персональных данных, согласно Требованиям к подтверждению уничтожения персональных данных, утвержденным Приказом Роскомнадзора от 28.10.2022 N 179:

• актом об уничтожении персональных данных - если данные обрабатываются без использования средств автоматизации;
• актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе персональных данных - если данные обрабатываются с использованием средств автоматизации либо одновременно с использованием и без использования таких средств.

Акт может составляться на бумажном носителе или в электронной форме, подписанной электронными подписями.

8.19. Акт об уничтожении персональных данных и выгрузка из журнала подлежат хранению в течение 3 лет с момента уничтожения персональных данных.

9. Обеспечение выполнения обязанностей по обработке и защите персональных данных.

9.1. Компания самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено федеральными законами.

9.2. В Компании применяются следующие меры по обеспечению выполнения обязанностей, предусмотренных ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных» в области обработки персональных данных:

• назначается лицо, ответственное за организацию обработки персональных данных;
• назначается лицо, ответственное за обеспечение безопасности персональных данных в информационных системах;
• издаются локальные акты по вопросам обработки персональных данных, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений;
• осуществляется внутренний контроль и аудит соответствия обработки персональных данных законодательству РФ, требованиям к защите персональных данных, Политике Компании в отношении обработки персональных данных, внутренним нормативным документам Компании;
• проводится оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона № 152-ФЗ, соотношения указанного вреда и принимаемых Компанией мер, направленных на обеспечение выполнения обязанностей, по защите персональных данных;
• осуществляется ознакомление работников Компании, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ о персональных данных, в том числе с требованиями к защите персональных данных, настоящей Политикой, внутренними нормативными документами по вопросам обработки персональных данных, и (или) обучение указанных работников;
• работники Компании, допускаются к обработке ПД, при условии подписания Обязательства о неразглашении ПД;
• своевременно выявляются нарушения работниками подразделений требований к режиму конфиденциальности;
• разделены полномочия пользователей в информационных системах в зависимости от их должностных обязанностей;
• устанавливаются правила по предоставлению доступа к информационным системам персональных данных, проводится периодический пересмотр (ревизия) прав доступа работников в зависимости от занимаемой ими должности и должностных обязанностей.

9.3. С целью обеспечения безопасности персональных данных при их обработке Компания принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, в частности:

• 9.3.1. определяются угрозы безопасности персональных данных при их обработке в информационных системах персональных данных;
• 9.3.2. применяются организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимые для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
• 9.3.3. осуществляется оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• 9.3.4. осуществляется учет машинных носителей персональных данных;
• 9.3.5. проводятся мероприятия по обнаружению фактов несанкционированного доступа к персональным данным и принятию мер в случае обнаружения;
• 9.3.6. обеспечивается возможность восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• 9.3.7. устанавливаются правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечивается регистрация и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных;
• 9.3.8. осуществляется контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

9.4. Меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются в соответствии с внутренними нормативными документами Компании, регламентирующими вопросы обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных Компании.

9.5. Компания направляет информацию о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных, путем заполнения уведомления о факте неправомерной передачи (предоставления, распространения, доступа) персональных данных, содержащегося на официальном сайте Роскомнадзора в информационно-телекоммуникационной сети "Интернет", - в срок не позднее 24 часов с момента обнаружения компьютерного инцидента, повлекшего неправомерную передачу (предоставление, распространение, доступ) персональных данных, а также путем заполнения уведомления о результатах внутреннего расследования, содержащегося на официальном сайте Роскомнадзора в информационно-телекоммуникационной сети "Интернет", - в срок не позднее 72 часов с момента обнаружения компьютерного инцидента, повлекшего неправомерную передачу (предоставление, распространение, доступ) персональных данных.

Перечень нормативных актов, регулирующих правоотношения в сфере защиты персональных данных:

1. Конвенция о защите физических лиц при автоматизированной обработке персональных данных
2. Федеральный закон от 27.07.2006г. №152-ФЗ «О персональных данных»
3. «Трудовой кодекс Российской Федерации» от 30.12.2001г. №197-ФЗ
4. Приказ Роскомнадзора от 27.10.2022 N 178 "Об утверждении Требований к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона "О персональных данных"
5. Приказ Роскомнадзора от 28.10.2022 N 179 "Об утверждении Требований к подтверждению уничтожения персональных данных"
6. Приказ Роскомнадзора от 24.02.2021г. №18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения»
7. Постановление Правительства РФ от 01.11.2012г. №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»
8. Приказ ФСБ РФ от 13.02.2023г. №77 «Об утверждении порядка взаимодействия операторов с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных»
9. Постановление Правительства РФ от 15.09.2008г. №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»
10. Приказ Минцифры, Роскомнадзора РФ от 05.08.2022г. №128 «Об утверждении перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных»
11. Постановление Правительства РФ от 06.07.2008г. №512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких персональных данных вне информационных систем персональных данных»
12. Приказ Роскомнадзора РФ от 28.10.2022г. №180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных»
13. Приказ Роскомнадзора РФ от 14.11.2022г. №187 «Об утверждении порядка и условий взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных»

ПРИЛОЖЕНИЕ №1 к Политике ООО «СЭСТ-ЛЮВЭ» обработки персональных данных