1. Общие положения

1.1. Настоящая Политика «Обработки персональных данных» (далее – Политика) разработана на основании:

• Конституции Российской Федерации
• Трудового кодекса Российской Федерации
• Гражданского кодекса Российской Федерации
• Федерального закона от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации»
• Федерального закона от 27.07.2006 года № 152-ФЗ «О защите персональных данных»
• Постановления Правительства РФ от 01.11.2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»
• Постановления Правительства РФ от 15.09.2008 года №687 «Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»
• Постановления Правительства РФ от 17.10.2007 года №781 «Об утверждении положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»
• Иные федеральные законы и нормативно-правовые акты.

1.2. Целями настоящей Политики являются определение обработки и обеспечения безопасности персональных данных.

1.3. Настоящая Политика распространяется на все бизнес процессы и обязательна к выполнению всеми сотрудниками ООО «ТД ГраСС» (далее – Компания).

1.4. Детальное описание процессов обработки и обеспечения безопасности персональных данных описано во внутренних нормативных документах Компании.

2. Определения

2.1. Персональные данные - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных);

2.2. Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

2.3. Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

2.4. Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;

2.5. Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

2.6. Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

2.7. Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

2.8. Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание Персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных; обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

2.9. Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

2.10. Машинный носитель - магнитный диск, магнитная лента, лазерный диск и иные материальные носители, используемые для записи и хранения информации с помощью электронно-вычислительной техники.

3. Принципы обработки и обеспечения безопасности персональных данных

3.1. Принципы обработки персональных данных в Компании:

• 3.1.1. Обработка персональных данных должна осуществляться на законной и справедливой основе.
• 3.1.2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
• 3.1.3. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
• 3.1.4. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
• 3.1.5. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.
• 3.1.6. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

3.2. Компания как оператор, осуществляет обработку персональных данных физических лиц в рамках требований законодательства РФ в целях:

• 3.2.1. организации кадрового учета Компании, обеспечения соблюдения законов и иных нормативно-правовых актов, заключения и исполнения обязательств по трудовым и гражданско-правовым договорам; ведения кадрового делопроизводства, содействия работникам в трудоустройстве, обучении и продвижении по службе, пользования различного вида льготами, исполнения требований налогового законодательства в связи с исчислением и уплатой налога на доходы физических лиц, пенсионного законодательства, заполнения первичной статистической документации, в соответствии с Трудовым кодексом РФ, Налоговым кодексом РФ, федеральными законами, в частности: «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования».
• 3.2.2. многократного пропуска субъектов ПДн на территорию Компании.
• 3.2.3. заключения, исполнения и прекращения гражданско-правовых договоров с физическими, юридическим лицами, индивидуальными предпринимателями и иными лицами, в случаях, предусмотренных действующим законодательством.
• 3.2.4. предоставление физическим лицам разнообразных услуг, требующих осуществлять сбор и обработку персональных данных.

3.3. В Компании используется смешанная обработка персональных данных. Под смешанной обработкой понимается автоматизированная и неавтоматизированная обработка персональных данных.

3.4. В случае достижения целей обработки персональных данных, если другое не предусмотрено законодательством РФ, Компания прекращает обработку и производит уничтожение персональных данных. Уничтожение персональных данных, в электронном виде, и персональных данных, содержащихся на материальных носителях, производится ответственными за этот процесс лицами согласно внутренней документации Компании.

3.5. В Компании используются современные и безопасные технологические решения для автоматизированной обработки, передачи и хранения персональных данных, исключающих несанкционированный доступ и утечку.

4. Основные требования к обработке персональных данных

4.1. Обработка персональных данных в Компании должна осуществляться с согласия субъекта персональных данных кроме случаев, когда такое согласие не требуется или же по поручению, в тех случаях когда Компания не является оператором персональных данных субъектов.

4.2. В случаях предусмотренных законодательством обработка персональных данных осуществляется с согласия субъекта персональных данных, оформляемого в соответствии законодательством.

4.3. Рекомендации к порядку получения согласия субъекта персональных данных и виду согласия описаны во внутренней документации Компании.

4.4. Лица, допущенные к обработке персональных данных, должны подписать обязательство о неразглашении персональных данных.

4.5. Во избежание несанкционированного доступа к персональным данным рекомендуется:

• 4.5.1. При неавтоматизированной обработке руководствоваться требованиями предъявляемыми постановлением Правительства РФ № 687 «Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» от 15.09.2008 г.
• 4.5.2. При автоматизированной обработке руководствоваться требованиями предъявляемыми постановлением Правительства РФ № 781 «Об утверждении положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» от 17.10.2007 г. и приказом ФСТЭК России № 58 «Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных».

5. Мероприятия по обеспечению безопасности персональных данных

5.1. Мероприятия по обеспечению безопасности персональных данных реализуются:

• 5.1.1. определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• 5.1.2. применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных;
• 5.1.3. учет машинных носителей персональных данных;
• 5.1.4. обнаружение фактов несанкционированного доступа к персональным данным и принятием мер;
• 5.1.5. восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• 5.1.6. установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных.

6. Права субъектов персональных данных

6.1. Субъект персональных данных согласно имеет следующие права:

• 6.1.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его данных.
• 6.1.2. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
• 6.1.3. Сведения, предоставляются субъекту персональных данных на основании запроса. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

7. Обязанности сотрудников Компании

7.1. Работники Компании и иные лица, допущенные к обработке персональных данных, обязаны:

• 7.1.1. Ознакомиться с данной Политикой и внутренними документами, регламентирующими процесс обработки персональных данных, и выполнять требования этих документов.
• 7.1.2. Обрабатывать персональные данные только в рамках выполнения своих должностных обязанностей.
• 7.1.3. Не разглашать персональные данные, к которым был получен доступ в рамках исполнения своих трудовых обязанностей.
• 7.1.4. Информировать о фактах разглашения (уничтожения, искажения) персональных данных ответственных сотрудников.

8. Ответственность за несоблюдение Политики

8.1. Лица, допустившие несоблюдение настоящей Политики, повлекшее за собой разглашение, утрату или нарушение целостности персональных данных несут ответственность в соответствии с действующим законодательством.

9. Заключительные положения

9.1. Изменения в настоящую Политику могут быть внесены Генеральным директором Компании по предложению ответственных лиц.

9.2. Настоящая Политика обязательна для соблюдения всеми сотрудниками Компании.

9.3. Режим конфиденциальности персональных данных снимается в случаях их обезличивания.

1. Термины и определения

1.1. Персональные данные — любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес регистрации по месту жительства, адрес электронной почты, телефонный номер, профессия, доходы, другая информация.

1.2. Обработка персональных данных — действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование.

1.3. Конфиденциальность персональных данных — обязательное для соблюдения назначенного ответственного лица, получившего доступ к персональным данным, требование не допускать их распространения без согласия субъекта или иного законного основания.

1.4. Распространение персональных данных — действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом.

1.5. Использование персональных данных — действия (операции) с персональными данными, совершаемые в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъектов персональных данных либо иным образом затрагивающих их права и свободы или права и свободы других лиц.

1.6. Блокирование персональных данных — временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи.

1.7. Уничтожение персональных данных — действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных.

1.8. Обезличивание персональных данных — действия, в результате которых невозможно без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.

1.9. Общедоступные персональные данные — персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.

1.10. Информация — сведения (сообщения, данные) независимо от формы их представления.

1.11. Клиент (субъект персональных данных) - физическое лицо, с которым у Оператора заключено соглашение, урегулированное частью второй Гражданского Кодекса РФ.

1.12. Оператор - В рамках настоящего Положения Оператором признается Общество с ограниченной ответственностью «ТД ГраСС» (далее - «Оператор» или «Организация»).

2. Общие положения.

2.1. Настоящее Положение об обработке персональных данных (далее — Положение) разработано в соответствии с Конституцией Российской Федерации, Гражданским кодексом Российской Федерации, Федеральным законом «Об информации, информационных технологиях и о защите информации», Федеральным законом 152-ФЗ «О персональных данных», иными федеральными законами.

2.2. Цель разработки Положения — определение порядка обработки и защиты персональных данных всех Клиентов Организации, данные которых подлежат обработке, на основании полномочий Оператора.

2.3. Настоящее Положение вступает в силу с момента его утверждения Генеральным директором Организации и действует бессрочно, до замены его новым Положением.

3. Состав персональных данных.

3.1. В состав персональных данных Клиентов, в том числе входят:

• 3.1.1. Фамилия, имя, отчество.
• 3.1.2. Дата рождения.
• 3.1.3. Место рождения.
• 3.1.4. Паспортные данные
• 3.1.5. Адрес электронной почты.
• 3.1.6. Номер телефона (домашний, рабочий, мобильный).

3.2. В Организации могут создаваться (создаются, собираются) и хранятся следующие документы и сведения, в том числе в электронном виде, содержащие данные о Клиентах:

• 3.2.1. Договоры и приложения к ним.
• 3.2.2. Копии документов, удостоверяющих личность, а также иных документов, предоставляемых Клиентом, и содержащих персональные данные.
• 3.2.3. Данные по оплатам заказов (товаров/услуг), содержащие платежные и иные реквизиты Клиента.
• 3.2.4. Почтовые сообщения и иная документация, содержащая в себе сведения о персональных данных.

4. Цель обработки персональных данных.

4.1. Цель обработки персональных данных - осуществление комплекса действий направленных на достижение цели, в том числе:

• 4.1.1. Заключение сделки, стороной которой является Клиент.

4.2. Условием прекращения обработки персональных данных является прекращение деятельности Организации, а также соответствующее требование Клиента.

5. Сбор, обработка и защита персональных данных.

5.1. Порядок получения (сбора) персональных данных:

• 5.1.1. Все персональные данные Клиента получаются у него лично.
• 5.1.2. Согласие Клиента на использование его персональных данных хранится в Организации в бумажном и/или электронном виде (применимо только в случае распространения или предоставления третьим лицам).
• 5.1.3. Оператор обрабатывает персональные данные Клиентов не дольше, чем того требуют цели обработки персональных данных, если иное не предусмотрено требованиями законодательства РФ.
• 5.1.4. Оператор не имеет права получать и обрабатывать персональные данные Клиента о его расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни.

5.2. Порядок обработки персональных данных:

• 5.2.1. Субъект персональных данных предоставляет Организации достоверные сведения о себе.
• 5.2.2. Обработка персональных данных Клиента может осуществляться исключительно в целях установленных Положением и соблюдения законов и иных нормативных правовых актов РФ.
• 5.2.3. При определении объема и содержания, обрабатываемых персональных данных Организация руководствоваться Конституцией Российской Федерации, законом о персональных данных, и иными федеральными законами.

5.3. Защита персональных данных:

• 5.3.1. Под защитой персональных данных Клиента понимается комплекс мер (организационно-распорядительных, технических, юридических), направленных на предотвращение неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных субъектов, а также от иных неправомерных действий.
• 5.3.2. Защита персональных данных Клиента осуществляется за счёт Организации в порядке, установленном федеральным законом РФ.
• 5.3.3. Организация при защите персональных данных Клиентов принимает все необходимые организационно-распорядительные, юридические и технические меры, в том числе:
  • Антивирусная защита.
  • Анализ защищённости.
  • Обнаружение и предотвращение вторжений.
  • Управления доступом.
  • Обеспечение целостности.
  • Организация нормативно-методических локальных актов, регулирующих защиту персональных данных.
• 5.3.4. Доступ к персональным данным Клиента имеют лица, которым персональные данные необходимы в связи с исполнением ими трудовых обязанностей.
• 5.3.5. Лица, связанные с получением, обработкой и защитой персональных данных Клиентов, обязаны подписать Соглашение о неразглашении персональных данных Клиентов.
• 5.3.6. Процедура оформления доступа к персональным данным Клиента включает в себя:
  • Ознакомление лица с настоящим Положением.
  • Подписание обязательства о соблюдении конфиденциальности персональных данных Клиентов и соблюдении правил их обработки.
• 5.3.7. Лицо, имеющее доступ к персональным данным Клиентов обеспечивает хранение информации, содержащей персональные данные Клиента, исключающее доступ к ним третьих лиц. При этом оно несет персональную ответственность, установленную действующим законодательством в случае разглашения или создания условий, способствующих несанкционированному доступу к информации.
• 5.3.8. Защита персональных данных Клиентов, хранящихся в электронных базах данных Организации, от несанкционированного доступа, искажения и уничтожения информации, а также от иных неправомерных действий, обеспечивается Системным администратором.

6. Права Клиентов

6.1. Клиент имеет право:

• на получение персональных данных, относящихся к нему, и информации, касающейся их обработки;
• на уточнение, блокирование или уничтожение его персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• на отзыв данного им согласия на обработку персональных данных;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке;
• на обжалование действий или бездействия Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

6.2. Для реализации своих прав и законных интересов субъекты персональных данных имеют право обратиться к Оператору либо направить запрос лично или с помощью представителя. Запрос должен содержать сведения, указанные в ч. 3 ст. 14 ФЗ «О персональных данных».

7. Сроки хранения персональных данных:

7.1. Сроки хранения гражданско-правовых договоров, содержащих персональные данные Клиентов, а также сопутствующих их заключению, исполнению документов - 5 лет с момента окончания действия договоров.

7.2. В течение срока хранения персональные данные не могут быть обезличены или уничтожены.

7.3. По истечении срока хранения персональные данные могут быть обезличены в информационных системах и уничтожены на бумажном носителе в порядке установленном действующем законодательством РФ.

8. Права оператора персональных данных

Организация вправе:

8.1. Отстаивать свои интересы в суде.

8.2. Предоставлять персональные данные Клиентов третьим лицам, если это предусмотрено действующим законодательством (налоговые, правоохранительные органы и др.).

8.3. Отказать в предоставлении персональных данных в случаях, предусмотренных законом.

8.4. Использовать персональные данные Клиента без его согласия, в случаях предусмотренных законодательством РФ.

Предоставляя свои персональные данные Клиент даёт согласие на обработку, хранение и использование своих персональных данных на основании ФЗ № 152-ФЗ «О персональных данных» от 27.07.2006 г. в следующих целях заключения и исполнения сделки (договора).

Под персональными данными подразумевается любая информация личного характера, позволяющая установить личность Клиента такая как:

• Фамилия, Имя, Отчество;
• Данные документа, удостоверяющего Вашу личность;
• Номер контактного телефона и адрес электронной почты для связи с Вами;
• Информацию о месте постоянной (временной) регистрации;
• Дата рождения;
• сведения об имуществе (при заключении сделок, направленных на обеспечение обязательств).

Персональные данные Клиента хранятся на электронных носителях и обрабатываются с использованием автоматизированных систем, за исключением случаев, когда неавтоматизированная обработка персональных данных необходима в связи с исполнением требований законодательства.

Компания обязуется не передавать полученные персональные данные третьим лицам, за исключением следующих случаев:

• По запросам уполномоченных органов государственной власти РФ только по основаниям и в порядке, установленным законодательством РФ
• Стратегическим партнерам, которые работают с Компанией для предоставления продуктов и услуг, или тем из них, которые помогают Компании реализовывать продукты и услуги потребителям. Мы предоставляем третьим лицам минимальный объем персональных данных, необходимый только для оказания требуемой услуги или проведения необходимой транзакции (как правило, он ограничивается только фамилией именем и отчеством).

Сроки хранения гражданско-правовых договоров, содержащих персональные данные Клиентов, а также сопутствующих их заключению, исполнению документов - 5 лет с момента окончания действия договоров.