V. Порядок и условия обработки персональных данных

 

1. Перечень действий, совершаемых Оператором с персональными данными субъектов.

1.1. Получение персональных данных.

Все персональные данные могут быть получены от самого субъекта персональных данных. Если персональные данные субъекта можно получить только у третьей стороны, то субъект должен быть уведомлен об этом или от него должно быть получено соответствующее согласие.

1.2. Обработка персональных данных.

Обработка персональных данных осуществляется Оператором в случаях:

- когда получено согласие субъекта персональных данных;

- когда обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;

- когда осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе;

Обработка персональных данных может осуществляться Оператором путем сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), обезличивания, блокирования, удаления, уничтожения. Обработка персональных данных Оператором является смешанной, полученная в ходе обработки персональных данных информация может передаваться по внутренней сети Оператора и по сети Интернет (строго в соответствии с целями обработки персональных данных, указанными в настоящей Политике).

1.3. Передача персональных данных третьим лицам.

Оператор не предоставляет и не раскрывает сведения, содержащие персональные данные субъектов персональных данных третьей стороне без письменного согласия субъекта персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью, а также в случаях, установленных федеральными законами.

По мотивированному запросу, исключительно для выполнения возложенных законодательством функций и полномочий персональные данные субъекта персональных данных без его согласия могут быть переданы:

  - в судебные органы в связи с осуществлением правосудия;

  - в органы государственной безопасности;

  - в органы прокуратуры;

  - в органы полиции;

  - в следственные органы;

- в иные органы и организации в случаях, установленных нормативными правовыми актами, обязательными для исполнения.

      

2. Конфиденциальность персональных данных.

Информация, относящаяся к персональным данным, ставшая известной в связи с реализацией трудовых отношений, в связи с оказанием услуг клиентам Общества и в связи с сотрудничеством с контрагентами Общества, является конфиденциальной информацией и охраняется законом.

Работники Общества и иные лица, получившие доступ к обрабатываемым персональным данным, предупреждаются о возможной дисциплинарной, административной, гражданско–правовой или уголовной ответственности в случае нарушения норм и требований действующего законодательства, регулирующего правила обработки и защиты персональных данных.

Работники Общества, по вине которых произошло нарушение конфиденциальности персональных данных, несут ответственность, предусмотренную действующим законодательством Российской Федерации, внутренними документами Общества и условиями трудового договора.

Работники, осуществляющие обработку персональных данных и ответственные за обеспечение её безопасности, должны иметь квалификацию, достаточную для поддержания требуемого режима безопасности персональных данных. Для достижения указанных целей в Обществе вводится система обеспечения требуемого уровня квалификации — для всех лиц, обрабатывающих персональные данные, проводятся инструктажи по обеспечению безопасности персональных данных.

Обязанность по реализации системы обеспечения требуемого уровня квалификации возлагается на лицо, ответственное за организацию обработки и обеспечение безопасности персональных данных.

Ответственное лицо организует инструктаж и обучение работников; ведет персональный учёт работников, прошедших инструктаж и обучение.

 

3. Меры по обеспечению защиты персональных данных

Общество не вправе обрабатывать персональные данные субъекта персональных данных без его письменного согласия, за исключением случаев, установленных законодательством РФ.

Письменное согласие может быть составлено в виде отдельного документа или быть внедрено в структуру иного документа, подписываемого субъектом персональных данных (договора).

Оператор предпринимает необходимые организационные и технические меры по защите персональных данных. Принимаемые меры основаны на требованиях ст. 18.1, ст. 19 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», иных нормативных актов в сфере персональных данных, в том числе:

- назначено лицо, ответственное за организацию обработки и обеспечение безопасности персональных данных;

- контроль исполнения требований настоящей Политики осуществляется ответственным за организацию обработки и обеспечение безопасности персональных данных Общества;

- ответственность должностных лиц Общества, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных, определяется в соответствии с законодательством Российской Федерации и внутренними документами Общества;

- разработано и введено в действие Положение о защите персональных данных работников, клиентов и контрагентов Общества;

- лица, ведущие обработку персональных данных, проинструктированы и ознакомлены с нормативными правовыми актами, регламентирующими порядок работы и защиты персональных данных;

- разграничены права доступа к обрабатываемым персональным данным;

- обеспечено раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях;

- в целях осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям проводятся периодические проверки условий обработки персональных данных;

- при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», Общество обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации;

- помимо вышеуказанных мер осуществляются меры технического характера, направленные на предотвращение несанкционированного доступа к системам, в которых хранятся персональные данные; резервирование и восстановление персональных данных, работоспособность технических средств и программного обеспечения, средств защиты информации в информационных системах персональных данных модифицированных или уничтоженных вследствие несанкционированного доступа к ним; и др. необходимые меры безопасности.

 

4. Сроки обработки и хранения персональных данных.

Персональные данные передаются на хранение как на бумажных носителях, так и в электронном виде. Персональные данные, зафиксированные на бумажных носителях, хранятся в запираемых металлических шкафах. В Обществе не допускается хранение и размещение документов, содержащих персональные данные, в открытых электронных каталогах (файлообменниках).

Сроки или условия прекращения обработки персональных данных:

- прекращение деятельности Оператора (ликвидация, реорганизация);

- 75 лет (относительно персональных данных работников Общества);

- в течение срока хранения документов согласно установленным срокам хранения для определенных категорий документов, если иное не предусмотрено федеральным законодательством;

- отзыв согласия субъектом персональных данных, если иное не предусмотрено законодательством.

 

5. Уточнение, блокирование, уничтожение персональных данных.

5.1. Блокирование и уточнение персональных данных.

В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных Оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки.

В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных Оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.

В случае выявления неправомерной обработки персональных данных, осуществляемой оператором, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

 

6. Уничтожение персональных данных.

Уничтожение документов (носителей), содержащих персональные данные производится путем сожжения, дробления (измельчения), химического разложения, превращения в бесформенную массу или порошок. Для уничтожения бумажных документов допускается применение шредера.

Персональные данные на электронных носителях уничтожаются путем стирания или форматирования носителя.

Уничтожение производится комиссией. Факт уничтожения персональных данных подтверждается актом об уничтожении носителей, подписанным членами комиссии. Ответственным за организацию уничтожения персональных данных является лицо, ответственное за организацию обработки и обеспечение безопасности персональных данных.