Политика в отношении обработки персональных данных
УТВЕРЖДЕНО
(приказ директора ООО Центр косметологии «МОСТ»
№ 8-ОД от 16.06.2025 г.)
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Политика в отношении обработки персональных данных в ООО Центр косметологии
«МОСТ» (далее – Политика) является основополагающим документом, определяющим общие принципы, цели, способы, объем и порядок обработки персональных данных физических лиц в ООО Центр косметологии «МОСТ» (далее – Общество, Оператор), а также меры по обеспечению безопасности при их обработке.
1.2. Политика разработана в целях реализации требований законодательства в области обработки и защиты персональных данных и направлена на обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных в Обществе, в том числе защиты прав на неприкосновенность частной жизни, личной и семейной тайн.
1.3. Положения Политики распространяются на отношения по обработке и защите персональных данных, полученных Обществом как до, так и после утверждения Политики, за исключением случаев, когда по причинам правового, организационного и иного характера положения Политики не могут быть распространены на отношения по обработке и защите персональных данных, полученных до ее утверждения.
1.4. Если в отношениях с Обществом участвуют наследники (правопреемники) и (или) представители субъектов персональных данных, то Общество становится оператором персональных данных лиц, представляющих указанных субъектов. Положения Политики и другие внутренние локальные документы Общества в области обработки персональных данных распространяются на случаи обработки и защиты персональных данных наследников (правопреемников) и (или) представителей субъектов персональных данных, даже если эти лица во внутренних локальных документах прямо не упоминаются, но фактически участвуют в правоотношениях с Обществом.
1.5. Политика разработана в соответствии с п. 2 ч. 1 ст. 18.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»).
1.6. Политика содержит сведения, подлежащие раскрытию в соответствии с ч. 1 ст. 14 ФЗ «О персональных данных», и является общедоступным документом. Общедоступность Политики обеспечивается путем ее размещения на официальных сайтах Общества в информационно- телекоммуникационной сети «Интернет» по адресу: https://themostclub.ru, https://academy.themostclub.ru/ (далее – сайт Оператора), а также путем ее размещения на информационном стенде Общества, расположенного в помещении по адресу: 664022, г. Иркутск, ул. Седова, 65а/2, этаж 2 (номера на поэтажном плане 1-16).
1.7. В Политике используются следующие основные понятия:
• блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• оператор – ООО Центр косметологии «МОСТ», самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
1.8. Политика вступает в силу с момента ее утверждения и действует бессрочно до замены ее новой политикой.
1.9. Внесение изменений (дополнений) в Политику, включая приложения к ней, производится Оператором в одностороннем порядке.
1.10. Все изменения (дополнения), вносимые Оператором в Политику, вступают в силу и становятся обязательными с даты подписания приказа об утверждении изменения (дополнения) к Политики или об утверждении новой версии Политики и последующего размещения актуальной версии на сайте Оператора в течение 1 (одного) рабочего дня.
1.11. Политика распространяется на все действия Оператора, в рамках которых осуществляется обработка персональных данных, как с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, так и без использования таких средств.
1.12. Положения Политики распространяются на всех сотрудников Оператора (включая работников по трудовым договорам и сотрудников, оказывающих услуги (выполняющих работы) по гражданско-правовым договорам) и все структурные подразделения Оператора, включая обособленные подразделения. Требования Политики также учитываются и предъявляются в отношении иных лиц при необходимости их участия в процессе обработки персональных данных Оператором, а также в случаях передачи им в установленном порядке персональных данных на основании соглашений, договоров, поручений на обработку.
1.13. Ответственным за организацию обработки персональных данных назначается приказом директора Общества.
2. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1. Обработка персональных данных осуществляется Оператором на законной и справедливой основе.
2.2. Обработка персональных данных Оператором ограничивается достижением конкретных, заранее определенных и законных целей. Оператором не обрабатываются персональные данные, несовместимые с целями сбора персональных данных.
2.3. Оператор не объединяет базы данных, содержащие персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
2.4. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
2.5. Содержание и объем обрабатываемых персональных данных соответствуют заявленным Оператором целям обработки и не являются избыточными по отношению к заявленным целям их обработки.
2.6. При обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных.
2.7. Хранение персональных данных Оператором осуществляется в форме, позволяющей определить субъект персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных.
2.8. Обрабатываемые персональные данные по достижении целей обработки или в случае утраты необходимости в достижении этих целей подлежат уничтожению либо обезличиванию, если иное не предусмотрено федеральным законом.
3. СВЕДЕНИЯ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1. Оператор обрабатывает персональные данные автоматизированным и неавтоматизированным способами, с использованием средств вычислительной техники и без использования таких средств. Оператор обрабатывает персональные данные в т.ч. с использованием метрической программы Яндекс.Метрика,
3.2. Обработка персональных данных осуществляется путем сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, обезличивания, блокирования, удаления, уничтожения персональных данных, в том числе с помощью средств вычислительной техники.
3.2.1. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных осуществляются Оператором посредством:
— получения оригиналов документов либо их копий;
— копирования оригиналов документов;
— внесения сведений в учетные формы на бумажных и электронных носителях;
— создания документов, содержащих персональные данные, на бумажных и электронных носителях;
— внесения персональных данных в информационные системы персональных данных.
3.2.2. Оператором используются следующие информационные системы:
— корпоративная электронная почта;
— внутренняя локальная сеть;
— информационный портал.
3.3. Передача (распространение, предоставление, доступ) персональных данных субъектов персональных данных осуществляется в случаях и в порядке, предусмотренных законодательством в области персональных данных и Политикой.
3.3.1. Оператор может передавать персональные данных и/или поручить их обработку третьим лицам – Партнерам, если для исполнения обязательств перед субъектом персональных данных используется один из сервисов, которые предоставляются Партнерами.
С перечнем Партнеров Оператора, передача персональных данных которым может осуществляется исключительно при условии согласия субъекта, возможно ознакомиться по ссылкам:
С информацией о том, какое лицо предоставляет тот или иной сервис, субъект персональных данных может ознакомиться в условиях использования соответствующего сервиса.
Оператор вправе передать персональные данные и/или поручить их обработку третьим лицам
– Партнерам при условии, что:
Субъект персональных данных выразил свое согласие на такие действия;
Передача необходима в рамках использования субъектом персональных данных определенного сервиса либо для оказания ему услуги.
Оператор не контролирует и не несет ответственность за сайты и сервисы третьих лиц, не являющихся Партнерами Оператора, на которые субъект может перейти по ссылкам, доступным на сайтах Партнеров, в том числе в результатах поиска. На таких сайтах у субъекта может собираться или запрашиваться иная персональная информация для целей, отличающихся от целей Оператора и его Партнеров., а также могут совершаться иные действия.
4. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. Оператор обрабатывает персональные данные в соответствии со следующими нормативными и правовыми актами:
• Конституция Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• ФЗ «О персональных данных»;
• Федеральный закон от 21.11.2011 №323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
• устав Общества.
5. СУБЪЕКТЫ, КАТЕГОРИИ, ЦЕЛИ И ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ
ДАННЫХ
5.1. Субъекты, цели и основания обработки персональных данных указаны в таблице.
№ п/п | Субъекты персональных данных | Цели обработки персональных данных | Основания обработки персональных данных |
1 | Работники, сотрудники, оказывающие услуги (выполняющие работы) по гражданско-правовым договорам | Ведение кадрового учета, соблюдение трудового законодательства, осуществление административно- хозяйственной деятельности | Трудовой кодекс Российской Федерации, согласие субъекта на обработку персональных данных |
2 | Родственники работников | Соблюдение трудового законодательства | Трудовой кодекс Российской Федерации |
3 | Cоискатели | Привлечение и отбор кандидатов на вакантные должности, принятие решения о приеме либо отказе в приеме на работу | Согласие субъекта на обработку персональных данных |
4 | Заказчики, Пациенты (в т.ч. потенциальные Заказчики/Пациенты) | Заключение договоров, последующая коммуникация, консультирование, информирование и предоставление услуг, выполнение договорных обязательств, улучшение качества предоставляемых услуг, формирование маркетинговых предложений | Согласие субъекта на обработку его персональных данных |
5 | Контрагенты | Выполнение договорных обязательств, консультирование, формирование маркетинговых предложений | п. 5 ч. 1 ст. 6 Федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных» |
5.2. Персональные данные субъектов поступают Оператору для выполнения заранее определенных целей или требований законодательства различными способами, в том числе:
5.2.1. Напрямую от субъектов персональных данных, их близких родственников, их представителей, посредников, связанных лиц, поручителей или через третьих лиц.
5.2.2. Путем сбора и накопления новых персональных данных в ходе взаимодействия с субъектом (история продуктов, обращений), в ходе использования субъектами персональных данных сайта Оператора и мобильных приложений Оператора (данные о местоположении, IP- адресах, действиях на сайте и в приложениях, HTTP-заголовки, файлы cookie, веб- маяки/пиксельные теги, данные об идентификаторе браузера, информация об аппаратном и программном обеспечении, данные сети wi-fi) или при получении вышеперечисленных персональных данных от третьих лиц на законных основаниях.
5.2.3. Из общедоступных источников.
5.3. В рамках предоставления услуг, взаимодействия с Заказчиками, Пациентами, контрагентами, а также трудоустройства работников Оператор может обрабатывать следующие категории персональных данных физических лиц при условии соблюдения установленных законодательством требований к их обработке:
5.3.1. Основная информация о субъекте персональных данных (такие как ФИО, пол, дата и место рождения, семейное положение, адрес места жительства, контактные данные (телефон, адрес электронной почты), паспортные данные (или данные иного документа, удостоверяющего личность), идентификационный номер налогоплательщика (ИНН) и т.д.);
5.3.2. Социальное положение (такие как работа, образование, состав семьи и т.д.);
5.3.3. Медицинские данные (такие как данные полиса ОМС (или ДМС), страховой номер индивидуального лицевого счета (СНИЛС), сведения о состоянии здоровья, заболеваниях, случаях обращения за платной медицинской помощью; сведения о диагностических мероприятиях, назначенном и проведённом лечении, данных рекомендациях, и т.д.);
5.3.4. Информация, собранная и накопленная Оператором в процессе предоставления услуг субъекту персональных данных, в том числе сведения об истории использования услуг, продуктов и сервисов Оператора;
5.3.5. Фотографические и/или видео изображения;
5.3.6. Информация полученная в ходе действий, совершаемых на сайте и/или в мобильных приложениях Оператора, а также сведения об используемых устройствах (включая данные о местоположении, IP-адресах, действиях на сайте и в приложениях, HTTP-заголовки, файлы cookie, веб-маяки/пиксельные теги, данные об идентификаторе браузера, информация об аппаратном и программном обеспечении, данные сети wi-fi, данные платежных карт, иная платежная информация, предоставленная субъектом или Полученная Оператором от иных лиц, участвующих в проведении платежной операции с использованием сервисов/сайтов Оператора и т.п.)
5.3.7. Специальные категории1 персональных данных (такие как расовая, национальная принадлежности, политические взгляды, религиозные или философские убеждения, и т.д.), а также биометрические данные.
6. ОПИСАНИЕ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Обработка персональных данных работников Оператора, сотрудников, оказывающие услуги (выполняющие работы) по гражданско-правовым договорам (далее – работники).
6.1.1. Оператор обрабатывает персональные данные работников в рамках правоотношений, урегулированных Трудовым Кодексом Российской Федерации от 30 декабря 2001 г. № 197-ФЗ (далее – ТК РФ), в том числе главой 14 ТК РФ, касающейся защиты персональных данных работников.
6.1.2. Оператор не принимает решения, затрагивающие интересы работников, основываясь на их персональных данных, полученных исключительно в результате автоматизированной обработки.
6.1.3. Оператор знакомит работников под роспись с документами, устанавливающими порядок обработки персональных данных работников, а также об их правах и обязанностях в этой области.
6.1.4. Оператор разрешает доступ к персональным данным работников только тем лицам, которым он необходим для выполнения их служебных обязанностей. Доступ к персональным
1 Специальные категории персональных данных могут обрабатываться Оператором только при наличии письменного согласия субъекта на обработку таких персональных данных
данным имеют лица, определенные Перечнем работников, допущенных к обработке персональных данных, утверждаемым приказом директора Общества.
6.1.5. Оператор получает все персональные данные работников у них самих или иными способами, определенными в п. 5.2. Политики.
6.1.6. Оператор сообщает работнику о целях, источниках, способах получения, а также о характере подлежащих получению данных и последствиях отказа работника дать письменное согласие на их получение.
6.1.7. Оператор обрабатывает персональные данные работников в течение срока действия трудового договора. Оператор обрабатывает персональные данные уволенных работников в течение срока, установленного п. 5 ч. 3 ст. 24 Налогового кодекса Российской Федерации (часть первая) от 31 июля 1998 г. № 146-ФЗ, ч. 1 ст. 29 Федерального закона «О бухгалтерском учёте» от 6 декабря 2011 г. № 402-ФЗ и иными нормативными правовыми актами.
6.1.8. Оператор может обрабатывать специальные категории персональных данных работников (сведений о состоянии здоровья, относящихся к вопросу о возможности выполнения ими трудовых функций) в том числе на основании п. 2.3 ч. 2 ст. 10 ФЗ «О персональных данных».
6.1.9. Оператор не получает данные о членстве работников в общественных объединениях или их профсоюзной деятельности, за исключением случаев, предусмотренных ТК РФ или иными федеральными законами.
6.1.10. Оператор не сообщает третьей стороне персональные данные работника без его письменного согласия кроме случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ, ФЗ «О персональных данных» или иными федеральными законами.
6.1.11. Персональные данные работников хранятся в помещениях, расположенных по адресу: 664022, г. Иркутск, ул. Седова, д. 65а/2, этаж 2 (номера на поэтажном плане № 1-16), и обрабатываются с использованием и без использования средств автоматизации.
6.2. Обработка персональных данных родственников работников.
6.2.1. Оператор обрабатывает персональные данные родственников работников с использованием и без использования средств автоматизации по адресу: 664022, г. Иркутск, ул. Седова, д. 65а/2, этаж 2 (номера на поэтажном плане № 1-16).
6.2.2. Оператор разрешает доступ к персональным данным родственников работников только тем лицам, которым он необходим для выполнения их служебных обязанностей. Доступ к персональным данным имеют лица, определенные Перечнем работников, допущенных к обработке персональных данных, утверждаемым приказом директора Общества.
6.2.3. Оператор получает все персональные данные родственников работников у работников Оператора или иными способами, определенными в п. 5.2. Политики.
6.2.4. Оператор обрабатывает персональные данные родственников работников в течение срока действия трудового договора с работником.
6.2.5. Оператор не сообщает третьей стороне персональные данные родственников работников без их согласия кроме случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ, ФЗ «О персональных данных» или иными федеральными законами.
6.2.6. Оператор обрабатывает персональные данные родственников работников в рамках правоотношений, урегулированных ТК РФ.
6.2.7. Оператор не принимает решения, затрагивающие интересы родственников работников, основываясь на их персональных данных, полученных исключительно в результате автоматизированной обработки.
6.2.8. Оператор сообщает работнику о целях, источниках, способах получения, а также о характере подлежащих получению данных родственников работников и последствиях отказа работника предоставить эти персональные данные.
6.2.9. Оператор не обрабатывает биометрические персональные данные родственников работников.
6.3. Обработка персональных данных соискателей.
6.3.1. Оператор обрабатывает персональные данные соискателей с использованием и без использования средств автоматизации по адресу: 664022, г. Иркутск, ул. Седова, д. 65а/2, этаж 2 (номера на поэтажном плане № 1-16).
6.3.2. Оператор разрешает доступ к персональным данным соискателей только тем лицам, которым он необходим для выполнения их служебных обязанностей. Доступ к персональным данным имеют лица, определенные Перечнем работников, допущенных к обработке персональных данных, утверждаемым приказом директора Общества.
6.3.3. В случае отказа в приеме на работу сведения, предоставленные соискателем, могут храниться не более 3 (трех) лет после принятия Оператором соответствующего решения (в соответствии с Приказом Минкультуры РФ от 25.08.2010 №558 «Об утверждении «Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения»).
6.3.4. Оператор не сообщает третьей стороне персональные данные соискателей.
6.3.5. Обработка персональных данных соискателей осуществляется с согласия этих субъектов персональных данных, которое дается на период принятия работодателем решения о приеме либо отказе от приема на работу.
6.3.6. В случае получения резюме соискателя по каналам электронной почты, факсимильной связи Оператор дополнительно проводит мероприятия, направленные на подтверждение факта направления указанного резюме самим соискателем. Такими мероприятиями являются приглашение соискателя на личную встречу с уполномоченными сотрудниками Оператора, обратная связь посредством электронной почты, телефонной связи и т.д.
6.3.7. При поступлении в адрес Оператора резюме, составленного в произвольной форме, при которой однозначно определить направившее его физическое лицо невозможно, данное резюме уничтожается в день поступления.
6.4. Обработка персональных данных заказчиков, пациентов. (в т.ч. потенциальных Заказчиков, Пациентов) (далее – Заказчики, Пациенты).
6.4.1. Персональные данные Заказчиков, Пациентов хранятся по адресу: 664022, г. Иркутск, ул. Седова, д. 65а/2, этаж 2 (номера на поэтажном плане № 1-16) и обрабатываются с использованием и без использования средств автоматизации.
6.4.2. Оператор разрешает доступ к персональным данным Заказчиков, Пациентов только тем лицам, которым он необходим для выполнения их служебных обязанностей. Доступ к персональным данным имеют лица, определенные Перечнем работников, допущенных к обработке персональных данных, утверждаемым приказом директора Общества.
6.4.3. Персональные данные Заказчиков, Пациентов могут передаваться третьим лицам с целью выполнения договорных обязательств между Оператором и Заказчиком, Пациентом (в том числе для целей организации записи на прием/консультацию, организации приема платежей, осуществления оплаты товаров и услуг с использованием сайта Оператора, получения результатов анализов для надлежащего оказания медицинских услуг и т.д.). Для указанной передачи дополнительного согласия Заказчиков, Пациентов не требуется.
6.4.4. Персональные данные Заказчиков, Пациентов обрабатываются с их письменного согласия, если иное не установлено действующим законодательством и Политикой.
6.4.5. Оператор не передает персональные данные Заказчиков, Пациентов третьим лицам без их согласия если иное не предусмотрено Политикой.
6.5. Обработка персональных данных контрагентов.
6.5.1. Персональные данные контрагентов хранятся по адресу 664022, г. Иркутск, ул. Седова, д. 65а/2, этаж 2 (номера на поэтажном плане № 1-16). Обработка ведется с использованием и без использования средств автоматизации.
6.5.2. Оператор разрешает доступ к персональным данным контрагентов только тем лицам, которым он необходим для выполнения их служебных обязанностей. Доступ к персональным данным имеют лица, определенные Перечнем работников, допущенных к обработке персональных данных, утверждаемым приказом директора Общества.
6.5.3. Персональные данные контрагентов хранятся в течение срока действия договора с контрагентом, после окончания срока действия договора – в течение 5 лет согласно Приказа Минкультуры России от 25.08.2010 № 558 «Об утверждении «Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения».
6.5.4. Персональные данные контрагентов обрабатываются в том числе на основании п.5 ч.1 ст.6 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных».
6.5.5. Оператор не передает персональные данные контрагентов третьим лицам без их согласия если иное не установлено Политикой.
6.6. Хранение персональных данных осуществляется не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен Политикой, в письменном согласии субъекта персональных данных, федеральным законом, договором, стороной которого является субъект персональных данных.
Персональные данные на бумажных носителях хранятся в Обществе в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ (Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации», Перечень типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения (утв. Приказом Росархива от 20.12.2019 № 236)).
6.7. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.
7. ПОРЯДОК БЛОКИРОВАНИЯ И УНИЧТОЖЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1. Оператор блокирует персональные данные в порядке и на условиях, предусмотренных законодательством в области персональных данных.
7.2. При достижении целей обработки персональных данных или в случае утраты необходимости в достижении этих целей персональные данные уничтожаются либо обезличиваются. Исключение может предусматривать федеральный закон.
7.3. Незаконно полученные персональные данные или те, которые не являются необходимыми для цели обработки, уничтожаются в течение семи рабочих дней со дня представления субъектом персональных данных (его представителем) подтверждающих сведений.
7.4. Персональные данные, обработка которых прекращена из-за ее неправомерности и правомерность обработки которых невозможно обеспечить, уничтожаются в течение 10 рабочих дней с даты выявления неправомерной обработки.
7.5. Персональные данные уничтожаются в течение 30 дней с даты достижения цели обработки, если иное не предусмотрено договором, стороной которого (выгодоприобретателем или поручителем по которому) является субъект персональных данных, иным соглашением между ним и Оператором либо если Оператор не вправе обрабатывать персональные данные без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами.
7.5.1. При достижении максимальных сроков хранения документов, содержащих персональные данные, персональные данные уничтожаются в течение 30 дней.
7.6. Персональные данные уничтожаются (если их сохранение не требуется для целей обработки персональных данных) в течение 30 дней с даты поступления отзыва субъектом персональных данных согласия на их обработку. Иное может предусматривать договор, стороной которого (выгодоприобретателем или поручителем по которому) является субъект персональных данных, иное соглашение между ним и Оператором. Кроме того, персональные данные уничтожаются в указанный срок, если Оператор не вправе обрабатывать их без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами.
7.7. Отбор материальных носителей (документы, жесткие диски, флеш-накопители и т.п.) и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению, осуществляют ответственные лица.
7.8. Уничтожение персональных данных осуществляет комиссия, созданная приказом директора.
7.8.1. Комиссия составляет акт с указанием документов, иных материальных носителей и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению.
7.8.2. Персональные данные на бумажных носителях уничтожаются с использованием шредера. Персональные данные на электронных носителях уничтожаются путем механического нарушения целостности носителя, не позволяющего считать или восстановить персональные данные, а также путем удаления данных с электронных носителей методами и средствами гарантированного удаления остаточной информации.
7.8.3. Непосредственно после уничтожения персональных данных оформляется акт об их уничтожении. Форма акта утверждается приказом директора.
8. УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Обработка персональных данных допускается в следующих случаях:
– обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
– обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей;
– обработка персональных данных необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном;
– обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, в том числе в случае реализации оператором своего права на уступку прав (требований) по такому договору, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
– обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
– обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
– осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе;
– осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
8.2. Оператор не предоставляет и не раскрывает сведения, содержащие персональные данные субъектов, третьей стороне без согласия субъекта персональных данных за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью, а также в случаях, установленных федеральными законами.
8.3. По мотивированному запросу исключительно для выполнения возложенных законодательством функций и полномочий персональные данные субъекта персональных без его согласия могут быть переданы:
– в судебные органы в связи с осуществлением правосудия;
– в органы федеральной службы безопасности;
– в органы прокуратуры;
– в органы полиции;
– в иные органы и организации в случаях, установленных нормативными правовыми актами, обязательными для исполнения.
8.4. Оператор прекращает обработку персональных данных в следующих случаях:
– достижение целей обработки персональных данных или максимальных сроков хранения – в течение 30 дней;
– утрата необходимости в достижении целей обработки персональных данных – в течение 30 дней;
– предоставление субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки – в течение 7 дней;
– невозможность обеспечения правомерности обработки персональных данных – в течение 10 дней;
– отзыв субъектом персональных данных согласия на обработку персональных данных, если сохранение персональных данных более не требуется для целей обработки персональных данных – в течение 30 дней;
– истечение сроков исковой давности для правоотношений, в рамках которых осуществляется либо осуществлялась обработка персональных данных.
9. МЕРЫ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. Безопасность персональных данных, обрабатываемых Оператором, обеспечивается реализацией правовых, организационных и технических мер, необходимых и достаточных для обеспечения выполнения требований законодательства в области защиты персональных данных.
9.2. Оператор предпринимает необходимые организационные и технические меры для обеспечения безопасности персональных данных от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий.
9.3. Оператор предпринимает следующие организационно-технические меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами:
– назначение должностных лиц, ответственных за организацию обработки и защиту персональных данных;
– утверждение перечня должностей, при замещении которых обрабатываются персональные данные;
– издание локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
– осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Оператора в отношении обработки персональных данных, локальным актам Оператора;
– оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения ФЗ «О персональных данных», соотношение указанного вреда и принимаемых оператором мер;
– ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных и (или) обучение указанных работников;
– определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
– применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленный в информационной системе персональных данных уровень защищенности;
– применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз;
– оценка эффективности принимаемых мер по обеспечению безопасности персональных данных;
– учет машинных носителей персональных данных;
– обнаружение фактов несанкционированного доступа к персональным данным и принятием мер;
– восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
– установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
– контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
9.4. Работники, которые занимают должности, предусматривающие обработку персональных данных, допускаются к ней после подписания обязательства об их неразглашении.
9.5. Материальные носители персональных данных хранятся в шкафах, запирающихся на ключ. Помещения Оператора, в которых они размещаются, оборудуются запирающими устройствами. Выдача ключей от шкафов и помещений осуществляется под подпись.
9.6. Доступ к персональной информации, содержащейся в информационных системах Оператора, осуществляется по индивидуальным паролям.
9.7. Оператором используется сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами.
9.8. Работники Оператора, обрабатывающие персональные данные, периодически проходят обучение требованиям законодательства в области персональных данных.
9.9. В должностные инструкции работников Оператора, обрабатывающих персональные данные, включаются, в частности, положения о необходимости сообщать о любых случаях несанкционированного доступа к персональным данным.
9.10. Оператором проводятся внутренние расследования в следующих ситуациях:
— при неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов персональных данных;
— в иных случаях, предусмотренных законодательством в области персональных данных.
9.11. Работник, ответственный за организацию обработки персональных данных, осуществляет внутренний контроль:
— за соблюдением работниками, уполномоченными на обработку персональных данных, требований законодательства в области персональных данных, локальных нормативных актов;
— соответствием указанных актов, требованиям законодательства в области персональных данных. Внутренний контроль проходит в виде внутренних проверок.
9.11.1. Внутренние плановые проверки осуществляются на основании ежегодного плана, который утверждается директором.
9.11.2. Внутренние внеплановые проверки осуществляются по решению работника, ответственного за организацию обработки персональных данных. Основанием для них служит информация о нарушении законодательства в области персональных данных, поступившая в устном или письменном виде.
9.11.3. По итогам внутренней проверки оформляется докладная записка на имя директора. В случае выявления нарушений в документе приводятся перечень мероприятий по их устранению и соответствующие сроки.
9.12. Внутреннее расследование проводится, если выявлен факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных (далее – инцидент).
9.12.1. В случае инцидента Оператор в течение 24 часов уведомляет Роскомнадзор:
— об инциденте;
— его предполагаемых причинах и вреде, причиненном правам субъекта (нескольким субъектам) персональных данных;
— принятых мерах по устранению последствий инцидента;
— представителе Оператора, который уполномочен взаимодействовать с Роскомнадзором по вопросам, связанным с инцидентом.
9.12.2. В течение 72 часов Оператор обязан сделать следующее:
— уведомить Роскомнадзор о результатах внутреннего расследования;
— предоставить сведения о лицах, действия которых стали причиной инцидента (при наличии).
9.13. В случае предоставления субъектом персональных данных (его представителем) подтвержденной информации о том, что персональные данные являются неполными, неточными или неактуальными, в них вносятся изменения в течение семи рабочих дней. Оператор уведомляет в письменном виде субъекта персональных данных (его представителя) о внесенных изменениях и сообщает (по электронной почте) о них третьим лицам, которым были переданы персональные данные.
9.14. Оператор уведомляет субъекта персональных данных (его представителя) об устранении нарушений в части неправомерной обработки персональных данных. Уведомляется также Роскомнадзор, если он направил обращение субъекта персональных данных (его представителя) либо сам сделал запрос.
9.14.1. В случае уничтожения персональных данных, которые неправомерно обрабатывались, уведомление направляется в соответствии с п. 9.14. Политики.
9.15. В случае уничтожения персональных данных, незаконно полученных или не являющихся необходимыми для заявленной цели обработки, Оператор уведомляет субъекта персональных данных (его представителя) о принятых мерах в письменном виде. Оператор уведомляет по электронной почте также третьих лиц, которым были переданы такие персональные данные.
10. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
10.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
– подтверждение факта обработки персональных данных Оператором;
– правовые основания и цели обработки персональных данных;
– цели и применяемые Оператором способы обработки персональных данных;
– наименование и место нахождения Оператора, сведения о лицах (за исключением сотрудников/работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
– обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
– сроки обработки персональных данных, в том числе сроки их хранения;
– порядок осуществления субъектом персональных данных прав, предусмотренных ФЗ «О персональных данных»;
– информацию об осуществленной или о предполагаемой трансграничной передаче данных;
– наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
– иные сведения, предусмотренные ФЗ «О персональных данных» или другими федеральными законами.
10.2. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
10.3. Если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований ФЗ «О персональных данных» или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Оператора в вышестоящий орган по защите прав субъектов персональных данных
(Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций – Роскомнадзор) или в судебном порядке.
10.4. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
10.5. Для реализации своих прав и законных интересов субъекты персональных данных имеют право обратиться к Оператору либо направить запрос лично или с помощью представителя. Запрос должен содержать сведения, указанные в ч. 3 ст. 14 ФЗ «О персональных данных».
11. ИСПОЛЬЗОВАНИЕ ФАЙЛОВ COOKIE
11.1. Определение и терминология.
11.1.1. Файл cookie — это небольшой фрагмент данных, который веб-сайт запрашивает у браузера, используемого на компьютере пользователя или мобильном устройстве. Cookie отражают действия пользователя или предпочтения. Файлы cookie хранятся локально на компьютере пользователя или мобильном устройстве. Пользователи могут удалять сохраненные файлы cookie по своему желанию.
11.2. Описание файлов cookie:
Виды cookie Описание
Сессионные Сведения о взаимодействии пользователя и веб-сайта: обычно хранят идентификатор сеанса, который позволяет пользователю перемещаться со страницы на страницу без необходимости повторной аутентификации на веб- сайте. Браузеры обычно удаляют сессионные cookie после того, как пользователь
закрывает окно браузера. Сессионные cookies помогают нам улучшить продукты и сделать работу пользователей на сайте более удобной.
Постоянные Файлы cookie, которые хранятся на компьютере пользователя и не удаляются при закрытии браузера. Постоянные файлы cookie могут сохранять пользовательские настройки для определенного веб-сайта, позволяя использовать эти предпочтения в будущих сеансах просмотра. Постоянные cookie могут использоваться веб-сайтом для анализа поведения пользователей на веб-сайте, а также для предоставления информации о количестве посетителей, о среднем времени, потраченном на определенной
странице, и, как правило, производительности веб-сайта.
11.3. Цели сбора файлов cookie
Файлы cookie, сведения о действиях пользователя на сайте, сведения об оборудовании пользователя, дата и время сессии обрабатываются Оператором (в т.ч. с использованием метрических программ Яндекс.Метрика) в целях улучшения работы сайта, сведения о действиях пользователей обрабатываются для совершенствования продуктов и услуг Оператора, определения предпочтений пользователя, предоставления целевой информации по продуктам и услугам Оператора.
11.4. Как отказаться от использования cookies.
После отключения функции использования cookie в веб-браузере пользователь может обнаружить, что некоторые разделы сайта Оператора не работают должным образом. Инструкции по управлению файлами cookie в браузере обычно можно найти в справочной службе браузера (функция Help).
12. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
12.1. Контроль исполнения требований Политики осуществляется ответственным за организацию обработки персональных данных в Обществе.
12.2. Иные права и обязанности Оператора персональных данных определяются ФЗ «О персональных данных» и иными нормативными правовыми актами в области защиты персональных данных.
12.3. Должностные лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут материальную, дисциплинарную, административную, гражданско- правовую и уголовную ответственность в порядке, установленном федеральными законами.
