1. Назначение и область применения
1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) разработана в соответствии с п. 2 ч. 1 ст. 18.1. Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Трудовым кодексом Российской Федерации (далее – Трудовой кодекс РФ), иными нормативно-правовыми актами и действует в отношении всех персональных данных, обрабатываемых в АО «Контактор» (далее – Оператор).
1.2. Политика устанавливает основные принципы обработки персональных данных Оператором, цели, правовые основания, порядок и условия обработки персональных данных, определяет объем и категории обрабатываемых персональных данных, а также реализуемые Оператором требования к их защите.
1.3. Целью разработки настоящей Политики является определение категорий персональных данных, обрабатываемых Оператором персональных данных, основных принципов, которыми Оператор персональных данных руководствуется при обработке персональных данных и целей обработки персональных данных.
1.4. Положения настоящей Политики являются обязательными для исполнения всеми работниками Оператора, организациями и физическими лицами, получающими либо предоставляющими персональные данные Оператору.
1.5. Политика является общедоступным документом, размещается в информационно-телекоммуникационной сети «Интернет» на сайте Оператора по адресу:
https://www.kontaktor.ru, неограниченный доступ к которому предоставляется любому заинтересованному лицу.
2. Определения, обозначения, сокращения
В настоящем документе применены термины в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», а также следующие термины с соответствующими определениями:
Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
Закон о персональных данных – Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».
Информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
Конфиденциальность персональных данных – обязанность Оператора и иных лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом;
Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
Обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя, в том числе: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
Оператор – АО «Контактор»;
Персональные данные – любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных);
Персональные данные, разрешенные субъектом персональных данных для распространения - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Законом о персональных данных;
Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
3. Права и обязанности субъектов персональных данных и Оператора
3.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
- подтверждение факта обработки персональных данных Оператором;
- правовые основания и цели обработки персональных данных;
- цели и применяемые Оператором способы обработки персональных данных;
- наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
- обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
- сроки обработки персональных данных, в том числе сроки их хранения;
- порядок осуществления субъектом персональных данных прав, предусмотренных Законом о персональных данных;
- наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
- информацию о способах исполнения Оператором обязанностей, установленных ст. 18.1 Закона о персональных данных;
- иные сведения, предусмотренные Законом о персональных данных или другими федеральными законами.
Указанные сведения должны быть предоставлены субъекту персональных данных Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
3.2. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
3.3. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе в случаях, указанных в ч. 8 ст. 14 Закона о персональных данных.
3.4. Если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований Закона о персональных данных или иным образом нарушает его права и свободы, то он вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
3.5. Субъект персональных данных также обладает иными правами, предусмотренными Законом о персональных данных и иными нормативно-правовыми актами.
3.6. Субъекты персональных данных обязаны исполнять обязанности, предусмотренные Законом о персональных данных и иными нормативно-правовыми актами.
3.7. Оператор вправе:
- самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено этим законом или другими федеральными законами;
- в порядке, установленном ч. 3 ст. 6 Закона о персональных данных, поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Лицо, осуществляющее обработку персональных данных по поручению Оператора, не обязано получать согласие субъекта персональных данных на такую обработку;
- в случае отзыва субъектом персональных данных согласия на обработку персональных данных продолжить такую обработку без согласия субъекта при наличии оснований, указанных в п. 2 - 11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона о персональных данных.
3.8. Оператор обладает иными правами, предусмотренными Законом о персональных данных и иными нормативно-правовыми актами.
3.9. При сборе персональных данных Оператор обязан:
- предоставить субъекту персональных данных по его просьбе информацию, предусмотренную ч. 7 ст. 14 Закона о персональных данных;
- разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку, если в соответствии с федеральным законом предоставление персональных данных и (или) получение Оператором согласия на их обработку являются обязательными;
- до начала обработки персональных данных, полученных не от субъекта персональных данных, предоставить последнему следующую информацию: наименование либо фамилия, имя, отчество и адрес Оператора или его представителя; цель обработки персональных данных и ее правовое основание; перечень персональных данных; предполагаемые пользователи персональных данных; установленные Законом о персональных данных права субъекта персональных данных; источник получения персональных данных. Оператор освобождается от обязанности предоставить субъекту персональных данных указанные сведения в случаях, предусмотренных ч. 4 ст. 18 Закона о персональных данных;
- обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в п. 2, 3, 4, 8 ч. 1 ст. 6 Закона о персональных данных.
3.10. Оператор обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Политикой, Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами.
3.11. Оператор обязан ознакомить своих работников, непосредственно осуществляющих обработку персональных данных, с Политикой и локальными актами по вопросам обработки персональных данных.
3.12. Оператор обязан также исполнять иные обязанности, предусмотренные Законом о персональных данных и иными нормативно-правовыми актами.
4. Принципы обработки персональных данных
4.1. Обработка персональных данных Оператором осуществляется на основании следующих принципов:
- законности и справедливости основания обработки персональных данных, законности целей и способов обработки персональных данных;
- соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных;
- соответствия содержания и объема, обрабатываемых персональных данных, способов обработки персональных данных заявленным целям обработки персональных данных, недопустимости использования избыточного объема персональных данных по отношению к заявленным целям их обработки;
- обеспечения точности, достаточности и, в необходимых случаях, актуальности персональных данных по отношению к целям их обработки, недопустимости избыточности обрабатываемых персональных данных по отношению к заявленным целям их обработки;
- недопустимости объединения созданных для несовместимых между собой целей баз данных персональных данных;
4.2. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, если иной срок хранения персональных данных не установлен федеральным законом, другим нормативно-правовым актом и(или) договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных.
5. Категории субъектов персональных данных
5.1. Оператором обрабатываются персональные данные следующих категорий субъектов:
- кандидаты на вакантные должности (соискатели);
- работники;
- уволенные работники
- родственники работников;
- представители контрагентов – юридических лиц;
- контрагенты-физические лица;
- посетители;
- пользователи сайта Оператора в сети «Интернет».
6. Цели обработки персональных данных
6.1. Для каждой категории персональных данных Оператором определены и утверждены конкретные цели обработки. Обработка персональных данных, несовместимая с утвержденными целями, не допускается.
6.2. Персональные данные обрабатываются Оператором в следующих целях:
6.2.1. Подбор персонала
Допускается обработка следующих персональных данных кандидатов (соискателей) на вакантные должности Оператора: фамилия, имя, отчество, дата рождения, место рождения, семейное положение, адрес электронной почты, номер телефона, адрес регистрации, гражданство, данные документа, удостоверяющего личность, сведения о наличии водительского удостоверения, профессия, сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации), сведения об образовании, иные сведения, предоставляемые соискателем.
Специальные и биометрические персональные данные не обрабатываются.
6.2.2. Управление персоналом
Допускается обработка следующих персональных данных работников и уволенных работников: фамилия, имя, отчество; пол; возраст; дата рождения; место рождения; гражданство; адрес регистрации и фактического проживания; данные документа, удостоверяющего личность (серия, номер, дата выдачи, кем выдан); сведения заграничного паспорта; СНИЛС, ИНН; сведения об образовании, повышении квалификации, профессиональной переподготовке; данные о наградах, поощрениях, почетных званиях; сведения о трудовом и страховом стаже; семейное положение; состав семьи; профессия, специальность; доходы; номер телефона; адрес электронной почты; сведения, содержащиеся в водительском удостоверении; сведения о воинском учете; сведения о кадровых перемещениях; структурное подразделение, должность, тарифная ставка (оклад), надбавки; разряд, класс (категория) квалификации; данные разрешительных документов на работу; данные о дате въезда и выезда в РФ; отпуск (вид отпуска; период работы; количество календарных дней отпуска; дата начала и окончания); сведения о предыдущих местах работы; реквизиты персональных банковских счетов; сведения о социальных льготах; сведения о знании иностранных языков; сведения о деловых и иных личных качествах, носящих оценочный характер; табельный номер; сведения о командировках (дата, место назначения, срок, цель; источник финансирования, задание); сведения об отработанном рабочем времени; данные, содержащиеся в свидетельстве о рождении усыновлении (удочерении) ребенка; данные, содержащиеся в документе о регистрации брака; данные, содержащиеся в документе об опеке или попечительстве над ребенком; основание прекращения трудового договора (увольнения); дата приема (трудоустройства) и увольнения; номер и дата трудового договора; место работы; медицинское заключение о возможности либо невозможности работы в конкретных условиях труда, на конкретных должностях, занятия конкретными видами деятельности; о переводе на легкий труд; справка о беременности; номер страхового медицинского полиса; сведения, содержащиеся в листках нетрудоспособности.
Допускается обработка следующих персональных данных родственников работников: фамилия, имя, отчество; дата рождения; адрес электронной почты; номер телефона; адрес регистрации, адрес фактического места жительства; степень родства; данные документа, удостоверяющего личность (наименование, серия и номер, дата выдачи документа, наименование органа, выдавшего документ, код подразделения); данные, содержащиеся в свидетельстве о рождении усыновлении (удочерении) ребенка; данные, содержащиеся в документе о регистрации брака; данные, содержащиеся в документе об опеке или попечительстве над ребенком; данные, содержащиеся в справке об инвалидности.
Биометрические персональные данные не обрабатываются.
6.2.3. Вознаграждение персонала
Допускается обработка следующих персональных данных работников: фамилия, имя, отчество, дата рождения, место рождения, семейное положение, адрес места жительства, адрес регистрации, номер телефона, СНИЛС, ИНН, данные документа, удостоверяющего личность, сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации), отношение к воинской обязанности, сведения о воинском учете, табельный номер, оклад, сведения о документах, подтверждающих постоянное или временное проживание (пребывание) на территории РФ (для иностранных граждан и лиц без гражданства), сведения об образовании, сведения о браке, сведения о составе семьи, фамилия, имя, отчество ребенка, дата рождения ребенка, фамилия, имя, отчество супруг-а(-и), дата рождения супруг-а(-и) сведения об инвалидности, сведения о льготах.
Специальные и биометрические персональные данные не обрабатываются.
6.2.4. Предоставление отчётности в контролирующие органы
Допускается обработка следующих персональных данных работников: фамилия, имя, отчество, дата рождения, пол, адрес места жительства, адрес регистрации, номер телефона, СНИЛС, ИНН, гражданство, данные документа, удостоверяющего личность, реквизиты банковской карты, должность, сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации), сумма дохода, сведения о документах, подтверждающих постоянное или временное проживание (пребывание) на территории РФ (для иностранных граждан и лиц без гражданства).
Специальные и биометрические персональные данные не обрабатываются.
6.2.5 Обеспечение продуктивности, развития и безопасности персонала
Допускается обработка следующих персональных данных работников: фамилия, имя, отчество, дата рождения, место рождения, пол, должность, номер телефона, адрес электронной почты, адрес регистрации, СНИЛС, ИНН, данные документа, удостоверяющего личность, реквизиты банковской карты, табельный номер, структурное подразделение, профессия, должность, сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); сведения об образовании, повышении квалификации, профессиональной переподготовке, размер одежды, рост, размер обуви, размер головного убора, сведения о состоянии здоровья, профессиональный статус, статус занятости, стаж работы, адрес места жительства.
Допускается обработка следующих персональных данных родственников работников: фамилия, имя, отчество, дата рождения, степень родства.
Допускается обработка следующих персональных данных контрагентов - физических лиц и представителей контрагентов - юридических лиц: фамилия, имя, отчество, адрес электронной почты, номер телефона, место работы, должность.
Специальные и биометрические персональные данные не обрабатываются.
6.2.6. Обеспечение безопасности деятельности
Допускается обработка следующих персональных данных работников: фамилия, имя, отчество, структурное подразделение, фотоизображение лица.
Допускается обработка следующих персональных данных посетителей: фамилия, имя, отчество, наименование и данные документа, удостоверяющего личность, место работы, должность.
Специальные и биометрические персональные данные не обрабатываются.
6.2.7. Информационно-технологическое обеспечение деятельности
Допускается обработка следующих персональных данных работников: фамилия, имя, отчество, структурное подразделение, фотоизображение лица.
Специальные и биометрические персональные данные не обрабатываются.
6.2.8. Сопровождение и поддержка деятельности
Допускается обработка следующих персональных данных работников: фамилия, имя, отчество, дата рождения, место рождения, пол, адрес регистрации, СНИЛС, ИНН, гражданство, данные документа, удостоверяющего личность.
Допускается обработка следующих персональных данных контрагентов - физических лиц и представителей контрагентов - юридических лиц: фамилия, имя, отчество, адрес электронной почты, номер телефона, место работы, должность, СНИЛС, ИНН, данные документа, удостоверяющего личность.
Специальные и биометрические персональные данные не обрабатываются.
6.2.9. Совершенствование и развитие деятельности
Допускается обработка следующих персональных данных работников: фамилия, имя, отчество, место работы, должность.
Допускается обработка следующих персональных данных пользователей сайта Оператора в сети «Интернет»: фамилия, имя, отчество, адрес электронной почты, номер телефона, место работы, файлы cookies.
Специальные и биометрические персональные данные не обрабатываются.
6.3. Обрабатываемые персональные данные подлежат уничтожению по окончании срока хранения, достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством.
6.4. Обработка персональных данных, несовместимая с утвержденными целями, не допускается. Категории и перечни обрабатываемых персональных данных, категории субъектов персональных данных, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований для каждой цели (по группам) обработки персональных данных определяются и конкретизируются в локальных нормативных актах Оператора, принимаемых во исполнение данной Политики.
7. Правовые основания обработки персональных данных
Правовым основанием обработки персональных данных является совокупность правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет такую обработку. К ним относятся:
- Конституция Российской Федерации;
- Гражданский кодекс Российской Федерации;
- Трудовой кодекс Российской Федерации;
- Налоговый кодекс Российской Федерации;
- Федеральный закон от 06.12.2011 № 402-ФЗ "О бухгалтерском учете";
- Федеральный закон от 15.12.2001 № 167-ФЗ "Об обязательном пенсионном страховании в Российской Федерации";
- Федеральный закон Российской Федерации от 27.07.2006 № 152-ФЗ «О персональных данных»;
- Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»;
- Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
- Постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
- Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
- Приказ Росархива от 20.12.2019 № 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения»;
- иные федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора;
- Устав Оператора;
- договоры, заключаемые между Оператором и субъектами персональных данных;
- согласие субъекта персональных данных на обработку его персональных данных (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям Оператора).
7. Порядок и условия обработки персональных данных
7.1. Обработка персональных данных осуществляется с соблюдением принципов и правил, установленных Законом о персональных данных.
7.2. Обработка персональных данных Оператором осуществляется следующим способом: смешанная обработка персональных данных (автоматизированная и на бумажных носителях).
7.3. Перечень действий, совершаемых Оператором с персональными данными субъектов персональных данных включает в себя: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
7.4. Сроки обработки персональных данных: до достижения цели обработки персональных данных, если иные сроки не предусмотрены в согласиях на обработку персональных данных, гражданско-правовых договорах или трудовых договорах с субъектами персональных данных или иных документах, оформляемых субъектами персональных данных.
7.5. Сроки хранения персональных данных: не дольше, чем этого требуют цели обработки персональных данных и в пределах, установленных сроками хранения документов, установленных приказом Росархива от 20.12.2019 № 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения», сроками исковой давности или иными требованиями законодательства.
7.6. Все персональные данные Оператор получает непосредственно от субъекта персональных данных, от его представителя либо от лица, поручившего Оператору обработку персональных данных, а также от иных третьих лиц при условии обеспечения третьим лицом законности передачи Оператору и/или если получение персональных данных Оператором предусмотрено законодательством.
7.7. Обработка персональных данных осуществляется с согласия субъекта персональных данных, за исключением случаев, предусмотренных законодательством. Согласие может быть выражено в различных формах, позволяющих подтвердить факт его получения, в том числе в письменном виде в форме отдельного документа, либо в составе какого-либо документа, подписываемого субъектом персональных данных. Согласие может быть дано представителем субъекта персональных данных, при предоставлении им доказательств своих полномочий.
7.8. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случаях, предусмотренных законодательством, обработка персональных данных может быть продолжена после отзыва субъектом согласия на обработку.
7.9. При принятии решений, затрагивающих интересы субъекта персональных данных, Оператор никогда не основывается на результатах обработки персональных данных субъекта персональных данных, полученных исключительно в результате их автоматизированной обработки или электронного получения.
7.10. Персональные данные не используются в целях причинения имущественного и/или морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации.
7.11. Доступ к персональным данным имеют работники Оператора, которым персональные данные необходимы в связи с исполнением ими должностных обязанностей.
7.12. Передача персональных данных Оператором третьим лицам в том числе, находящимся за пределами Российской Федерации (трансграничная передача), осуществляется только с согласия (в установленных законом случаях письменного согласия) субъекта персональных данных, за исключением случаев, предусмотренных законодательством и только при условии принятия таким лицом письменного обязательства об обеспечении конфиденциальности персональных данных, обязательство использовать эти данные лишь в целях, для которых они сообщены и только разрешенными способами, а также обязательство принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. Требования об оформлении указанного письменного обязательства не распространяется на случаи передачи персональных данных государственным и муниципальным органам, Социальному фонду России и прочим государственным внебюджетным фондам, в порядке и в случаях, предусмотренных действующим законодательством. Конкретное наименование и местонахождение соответствующих третьих лиц, цели осуществляемой передачи, объем передаваемых персональных данных, перечень действий по их обработке, способы и иные условия обработки, определяются в согласии субъекта персональных данных на обработку персональных данных.
До начала осуществления деятельности по трансграничной передаче персональных данных Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных.
7.13. Оператор при оформлении поручения лицу, осуществляющему обработку персональных данных по поручению Оператора, обязан обеспечить соблюдение требований ч. 3 ст. 6 Закона о персональных данных, в частности определить в таком поручении:
- перечень персональных данных;
- перечень действий (операций) с персональными данными;
- цели обработки персональных данных;
- обязанность соблюдать конфиденциальность персональных данных и требования, предусмотренные ч. 5 ст. 18 и ст. 18.1 Закона о персональных данных;
- обязанность по запросу Оператора в течение срока действия поручения предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований к защите персональных данных, установленных законом и поручением;
- обязанность обеспечивать безопасность персональных данных при их обработке;
- требования к защите обрабатываемых персональных данных в соответствии со ст. 19 Закона о персональных данных;
- требование об уведомлении Оператора о случаях, предусмотренных ч. 3.1 ст. 21 Закона о персональных данных.
7.14. Оператор вправе передавать персональные данные органам дознания и следствия, налоговым органам, органам статистики, федеральным внебюджетным фондам, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.
7.15. Оператор вправе создавать общедоступные источники персональных данных, в которые могут включаться персональные данные субъекта персональных данных с его письменного согласия.
7.16. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.
7.17. В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) определенных персональных данных Оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц.
7.18. Обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется Оператором с соблюдением требований ст. 10.1 Закона о персональных данных.
7.19. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, обособляются от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных (далее – материальные носители).
7.20. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных используется отдельный материальный носитель.
7.21. Лица, осуществляющие обработку персональных данных без использования средств автоматизации, должны быть проинформированы о факте обработки ими персональных данных, обработка которых осуществляется Оператором без использования средств автоматизации, категориях, обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки.
7.22. Персональные данные подлежат уничтожению по достижении целей обработки (утраты необходимости в их достижении), по истечении срока хранения, при получении отзыва согласия субъекта персональных данных на их обработку либо по требованию лица, поручившего обработку персональных данных в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, либо получения соответствующего обращения. Уничтожение осуществляется в присутствии комиссии, состав которой утверждается генеральным директором Оператора. По итогам составляется акт об уничтожении и, в случае обработки персональных данных с использованием средств автоматизации, выгрузка из журнала регистрации событий в информационной системе персональных данных.
7.23. В случае выявления неправомерной обработки персональных данных, осуществляемой Оператором или лицом, действующим по поручению Оператора, Оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязано прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению Оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, Оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязано уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также в указанный орган.
7.24. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, в течение сроков определяемых в соответствии с п. 8.5 настоящей Политики, если иной срок хранения персональных данных не установлен законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. При осуществлении хранения персональных данных Оператор использует базы данных, находящиеся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Закона о персональных данных.
7.25. При хранении персональных данных, обрабатываемых без использования средств автоматизации, соблюдаются следующие условия:
- осуществляется раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях;
- хранение материальных носителей осуществляется в условиях, обеспечивающих сохранность персональных данных и исключающих несанкционированный к ним доступ.
8. Защита персональных данных
8.1. При обработке персональных данных Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
8.2. Оператор приказом назначает лиц, ответственных за организацию обработки персональных данных и за обеспечение безопасности персональных данных.
8.3. Обеспечение безопасности персональных данных достигается, в частности:
8.3.1. Определением угроз безопасности персональных данных при их обработке в ИСПДн.
8.3.2. Применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в ИСПДн, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных.
8.3.3. Оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию ИСПДн.
8.3.4. Учетом и обеспечением сохранности носителей персональных данных.
8.3.5. Обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на ИСПДн и по реагированию на компьютерные инциденты на них.
8.3.6. Восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
8.3.7. Установлением правил доступа к персональным данным, обрабатываемым в ИСПДн, а также обеспечением регистрации и учета действий, совершаемых с персональными данными в ИСПДн, а также утверждением документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей.
8.3.8. Контролем доступа в помещения, в которых осуществляется обработка персональных данных.
8.3.9. Контролем эффективности применяемых мер и средств по обеспечению безопасности персональных данных, а также контролем уровня защищенности ИСПДн.
8.3.10. Информированием федерального органа исполнительной власти, уполномоченным в области обеспечения безопасности, в уполномоченный орган по защите прав субъектов персональных данных о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных.
9. Актуализация, исправление, удаление и уничтожение персональных данных
9.1. Оператор имеет право внести, дополнить, изменить, блокировать или удалить персональные данные в соответствии с законодательством Российской Федерации.
9.2. По запросу субъекта персональных данных Оператор обязан:
- предоставить сведения о наличии у Оператора персональных данных субъекта;
- предоставить возможность ознакомления с персональными данными субъекта (кроме случаев, предусмотренных частью 8 статьи 14 Закона о персональных данных);
- уточнить недостоверные или изменившиеся персональные данные;
- блокировать или уничтожить персональные данные в случае, если они являются незаконно полученными, не являются необходимыми для заявленной цели обработки или отозвано согласие субъекта.
9.3. Запрос субъекта персональных данных может быть направлен Оператору в бумажном или электронном виде. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе, и собственноручную подпись субъекта персональных данных или его законного представителя. В случае направления запроса в электронном виде он отправляется на адрес электронной почты
office.ulyanovsk@kontaktor.ru и подписывается электронной подписью в соответствии с законодательством Российской Федерации.
Типовая форма запроса представлена в Приложении к настоящей Политике.
9.4. Запрос субъекта персональных данных должен быть отправлен Оператору в бумажном виде и содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе, и собственноручную подпись субъекта персональных данных или его законного представителя. Типовая форма запроса представлена в Приложении к настоящей Политике.
9.5. При поступлении запроса субъекта персональных данных, ответственный работник Оператора обязан зарегистрировать такой запрос в журнале регистрации обращений субъектов.
9.6. Ответ, либо мотивированный отказ, должны быть отправлены в течение 10 рабочих дней с даты получения запроса от субъекта персональных данных. Ответ должен содержать конкретную и исчерпывающую информацию, касающуюся сути вопроса.
10. Внесение изменений
10.1. Внесение изменений в Политику производится в следующих случаях:
- при изменении Оператором процессов и технологий обработки персональных данных;
- по результатам проверок органа по защите прав субъектов персональных данных, выявивших несоответствия требованиям законодательства Российской Федерации по обеспечению безопасности персональных данных;
- при изменении требований законодательства Российской Федерации к порядку обработки и обеспечению безопасности персональных данных;
- в случае выявления существенных нарушений по результатам внутренних проверок системы защиты персональных данных.
10.2. Ответственным за своевременное внесение изменений в Политику является ответственный за организацию обработки персональных данных. Измененная редакция Политики утверждается генеральным директором Оператора либо лицом, его замещающим.
11. Приложения, формы бланков
ДСМ0054Ф01. Форма письменного запроса на получение информации, касающейся обработки персональных данных.
По почте: 432072, Россия, Ульяновск, проезд Инженерный 44-й, д. 13/5
