Назначение и область применения
Настоящая Политика в отношении обработки персональных данных («Политика») определяет цели, порядок, условия обработки персональных данных («ПДн») субъектов ПДн в ООО «Роборитейл» («Компания»).
Политика разработана в соответствии с требованиями Федерального закона РФ от 27.07.2006 г. №152-ФЗ «О персональных данных» («Закон о персональных данных») и является основой для организации обработки и защиты ПДн в Компании, в т.ч. для разработки локальных нормативных актов, регламентирующих порядок обработки и защиты ПДн.
Политика определяет, в частности:
• принципы обработки ПДн;
• правовые основания обработки ПДн;
• цели обработки ПДн, категории и перечень обрабатываемых ПДн, категории субъектов ПДн, ПДн которых обрабатываются, способы, сроки обработки ПДн, порядок их уничтожения и правовые основания обработки ПДн;
• организацию процесса управления обработкой ПДн в Компании;
• основы порядка рассмотрения обращений субъектов ПДн по вопросам обработки ПДн;
• меры обеспечения конфиденциальности и безопасности ПДн;
• права и обязанности Компании и субъекта ПДн.
Настоящая Политика распространяется на всех работников Компании.
1. Общие положения
1.1. Политика разработана в соответствии с требованиями п. 2 ч. 1 ст. 18.1 Закона о персональных данных.
1.2. Политика является основой для организации обработки и защиты ПДн в Компании, в т.ч. для разработки локальных нормативных актов, регламентирующих порядок обработки и защиты ПДн в Компании, и определяет:
1.2.1. принципы обработки ПДн;
1.2.2. правовые основания обработки ПДн;
1.2.3. цели обработки ПДн, категории и перечень обрабатываемых ПДн, категории субъектов ПДн, ПДн которых обрабатываются, способы, сроки обработки и хранения ПДн, порядок их уничтожения;
1.2.4. организация процесса управления обработкой ПДн в Компании;
1.2.5. основы порядка рассмотрения обращений субъектов ПДн по вопросам обработки ПДн;
1.2.6. меры обеспечения конфиденциальности и безопасности ПДн;
1.2.7. права и обязанности Компании, права субъекта ПДн.
1.3. Компания обязуется опубликовать или иным образом обеспечить неограниченный доступ субъектов ПДн к Политике одним из следующих способов:
1.3.1. путем доведения Политики до сведения работников Компании под подпись (в момент трудоустройства или внесения изменений в условия документа), а также путем публикации Политики на внутренних корпоративных ресурсах;
1.3.2. путем размещения Политики на информационных ресурсах, сайтах, мобильных приложениях Компании, с использованием которых осуществляется сбор персональных данных;
1.3.3. путем предоставления текста Политики по запросу субъекта.
1.4. Для информационных ресурсов, сайтов, мобильных приложений Компании, предназначенных для использования определенными категориями субъектов ПДн, в Компании могут быть разработаны политики в отношении обработки ПДн, содержащие информацию об обработке ПДн, относящуюся к конкретным субъектам ПДн и/или конкретным информационным ресурсам.
1.5. Политика подлежит пересмотру в случае изменения требований законодательства и (или) внутренних требований к процессам обработки ПДн, установленных в Политике, изменении процессов обработки ПДн, информация о которых содержится в Политике.
2. Основы обработки персональных данных в Компании
2.1. Обработка ПДн в Компании осуществляется с учетом требований и принципов, установленных Законом о персональных данных, а также локальных нормативных актов Компании, принятых во исполнение требований законодательства.
2.2. При обработке ПДн Компания руководствуется следующими принципами обработки ПДн, установленными Законом о персональных данных:
2.2.1. обработка ПДн на законной и справедливой основе;
2.2.2. обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей;
2.2.3. не допускается обработка ПДн, несовместимая с целями сбора ПДн;
2.2.4. обработка только тех ПДн, которые отвечают целям обработки ПДн;
2.2.5. не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
2.2.6. содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки ПДн и не должны быть избыточными по отношению к заявленным целям их обработки;
2.2.7. при обработке ПДн обеспечивается точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн;
2.2.8. хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн, осуществляется не дольше, чем этого требуют цели их обработки, если срок хранения ПДн не установлен законодательством РФ, договором, стороной которого является субъект ПДн;
2.2.9. уничтожение или обеспечение уничтожения ПДн (если обработка ПДн осуществляется другим лицом, действующим по поручению Компании), проводится по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством РФ.
2.3. При обработке ПДн граждан Российской Федерации Компания обеспечивает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн с использованием баз данных, находящихся на территории РФ.
2.4. Компания обеспечивает предоставление доступа к ПДн только тем работникам, которым соответствующий доступ необходим для выполнения их должностных обязанностей.
2.5. До начала обработки ПДн Компания направила в орган, уполномоченный на осуществление государственного контроля и надзора за соответствием обработки ПДн требованиям законодательства, а также соблюдением прав субъектов ПДн («Роскомнадзор») уведомление о факте обработки ПДн и обеспечивает уведомление Роскомнадзора об изменениях в сроки и в порядке, установленным законодательством.
2.6. Компания полагается на ПДн, предоставленные субъектами, как на полные, актуальные и достаточные, оставляет за собой право не проверять полученные ПДн на актуальность и достоверность.
2.7. Уточнение (обновление, изменение) ПДн осуществляется при получении Компании информации о факте обработки неточных ПДн, в частности, при обращении в Компанию субъекта ПДн (его представителя) и/или Роскомнадзора, а также при предоставлении Компании документов и доказательств, подтверждающих факт неточности и изменения ПДн.
2.8. Компания может получать ПДн, а также передавать ПДн или поручать их обработку третьим лицам при наличии правовых оснований.
2.9. При необходимости осуществления трансграничной передачи ПДн Компания обеспечивает выполнение требований, установленных Законом о персональных данных, в том числе, направляет уведомление о факте трансграничной передачи в Роскомнадзор и обеспечивает проведение оценки мер, принимаемых третьим лицом, которому планируется трансграничная передача ПДн, по обеспечению конфиденциальности и безопасности ПДн.
2.10. Компания обеспечивает прекращение обработки ПДн в случаях достижения цели обработки ПДн, утраты необходимости достижения цели обработки ПДн, прекращения действия / истечения срока действия правового основания обработки ПДн, истечения срока обработки ПДн, установленного требованиями законодательства, получения требования субъекта ПДн о прекращении обработки ПДн в установленных законодательством случаях, а также при выявлении факта неправомерной обработки, в том числе, при получении обращения субъекта ПДн (его представителя) или Роскомнадзора.
2.11. Прекращение обработки ПДн достигается, в том числе, путем уничтожения ПДн в порядке и в соответствии с требованиями, установленными законодательством и локальными нормативными актами Компании.
2.12. В случае наступления обстоятельств, требующих прекращения обработки ПДн, Компания вправе продолжить обработку ПДн субъекта при наличии иных правовых оснований для такой обработки.
3. Цели обработки ПДн, категории и перечень обрабатываемых ПДн, категории субъектов, ПДн которых обрабатываются, способы, сроки обработки и хранения ПДн, порядок их уничтожения
3.1. Информация о целях обработки ПДн, категориях и перечне обрабатываемых ПДн, категориях субъектов, ПДн которых обрабатываются, способах, сроках обработки и хранения ПДн, порядке их уничтожения содержится в Приложении 1 к Политике.
3.2. Обработка ПДн может предполагать совершение следующих основных действий (в том числе, совокупности) в отношении ПДн: сбор, систематизация, накопление, хранение, получение, запись, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ) ПДн, третьим лицам, поручение обработки третьим лицам, распространение, блокирование, удаление, уничтожение ПДн.
3.3. Сроки обработки ПДн определяются исходя из:
3.3.1. целей обработки ПДн;
3.3.2. согласия на обработку ПДн;
3.3.3. требований законодательства, которое является основанием обработки ПДн, либо иным образом устанавливает требования к срокам хранения ПДн в отдельных случаях обработки;
3.3.4. договора, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн.
3.4. Компания не осуществляет:
3.4.1. обработку биометрических ПДн;
3.4.2. обработку сведений о судимости субъектов ПДн;
3.4.3. принятие в отношении субъектов ПДн решений, порождающих юридические последствия или иным образом затрагивающих их права и законные интересы, на основании исключительно автоматизированной обработки ПДн;
3.4.4. обработку специальных категорий ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, интимной жизни.
3.5. Компания может осуществлять обработку специальных категорий ПДн, касающихся сведений о состоянии здоровья, в случаях, предусмотренных законодательством, а также в случае получения согласия от субъекта ПДн на обработку ПДн.
4. Права и обязанности Компании, субъектов ПДн
4.1. Компания обязана:
4.1.1. при обработке ПДн соблюдать требования Закона о персональных данных, а также иных нормативно-правовых актов в отношении обработки и защиты ПДн, в том числе требования, предусмотренные для сбора ПДн;
4.1.2. при сборе ПДн, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн субъектов ПДн (граждан РФ) с использованием баз данных, находящихся на территории РФ, за исключением случаев, предусмотренных законодательством РФ;
4.1.3. при сборе ПДн с использованием информационно-телекоммуникационных сетей, опубликовать в соответствующей информационно-телекоммуникационной сети, в т.ч. на страницах принадлежащего Компании сайта в информационно-телекоммуникационной сети «Интернет», с использованием которых осуществляется сбор ПДн, документ, определяющий его политику в отношении обработки ПДн, и сведения о реализуемых требованиях к защите ПДн, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
4.1.4. в случае, если предоставление ПДн и/или согласия на их обработку является обязательным в соответствии с требованиями Закона о персональных данных и субъект ПДн отказывается предоставить ПДн и/или предоставить согласие на их обработку, разъяснить юридические последствия непредоставления ПДн и/или согласия на их обработку;
4.1.5. в случае получения ПДн не от субъекта ПДн до начала обработки ПДн предоставить субъекту ПДн информацию, предусмотренную Законом о персональных данных, с учетом установленных применимым законодательством исключений;
4.1.6. выполнять обязанности, предусмотренные для операторов ПДн, при получении запросов и/или обращений по вопросам ПДн от субъекта ПДн и/или его представителя (обладающего полномочиями на представление интересов субъекта ПДн), и/или от надзорного органа;
4.1.7. принимать меры, направленные на обеспечение выполнения требований Закона о персональных данных;
4.1.8. принимать меры по обеспечению безопасности ПДн при их обработке;
4.1.9. выполнять обязанности по устранению нарушений Закона о персональных данных, требований иных нормативно-правовых актов в области обработки и защиты персональных данных, если такие нарушения были допущены при обработке ПДн, а также выполнять обязанности по уточнению, блокированию, уничтожению ПДн в случаях, предусмотренных Законом о персональных данных;
4.1.10. выполнять обязанности, установленные Законом о персональных данных для операторов ПДн, в случае получения от субъекта ПДн требования о прекращении обработки ПДн и/или отзыва согласия на обработку ПДн;
4.1.11. взаимодействовать с Роскомнадзором по вопросам, связанным с обработкой и защитой ПДн, в случаях, предусмотренных Законом о персональных данных;
4.1.12. выполнять иные обязанности, предусмотренные Законом о персональных данных, требований иных нормативно-правовых актов в области обработки и защиты ПДн.
4.2. Компания имеет право:
4.2.1. обрабатывать ПДн субъектов ПДн при наличии правовых оснований на обработку ПДн, в том числе, в отсутствие согласия на обработку ПДн в случаях, предусмотренных Законом о персональных данных;
4.2.2. осуществлять передачу ПДн субъектов ПДн третьим лицам, государственным органам, муниципальным органам власти, государственным учреждениям, государственным внебюджетным фондам, а также поручить обработку ПДн субъектов ПДн третьим лицам при наличии соответствующих правовых оснований и соблюдении требований Закона о персональных данных;
4.2.3. отказать субъекту ПДн в предоставлении сведений об обработке его ПДн в случаях, предусмотренных Законом о персональных данных;
4.2.4. самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных, иных нормативно-правовых актов в области обработки и защиты ПДн;
4.2.5. самостоятельно, с учетом требований Закона о персональных данных, определять перечень необходимых правовых, организационных и технических мер для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн на основании проведенной оценки актуальных угроз безопасности ПДн, а также определять порядок реализации указанных мер и проводить оценку эффективности принимаемых мер;
4.2.6. реализовывать иные права, предусмотренные Законом о персональных данных, иных нормативно-правовых актов в области обработки и защиты ПДн.
4.3. Субъект ПДн имеет право:
4.3.1. свободно, своей волей и в своем интересе предоставлять согласие на обработку ПДн с учетом требований Закона о персональных данных к форме и содержанию согласий на обработку ПДн;
4.3.2. направлять запросы и/или обращения, в том числе повторные, и получать информацию по вопросам обработки ПДн, принадлежащих субъекту ПДн, в порядке, форме, объеме и в сроки, установленные Законом о персональных данных;
4.3.3. требовать от Компании уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные Законом о персональных данных, иных нормативно-правовых актов в области обработки и защиты ПДн меры по защите своих прав с учетом исключений, установленных Законом о персональных данных;
4.3.4. обратиться с требованием к Компании прекратить обработку своих ПДн, а также отозвать предоставленное согласие на обработку ПДн;
4.3.5. осуществлять иные права, предусмотренные Законом о персональных данных.
4.4. Субъекты ПДн обязаны в целях обеспечения точности ПДн, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки ПДн при предоставлении согласия на обработку ПДн и (или) когда обработка ПДн может осуществляться без согласия субъекта ПДн на основаниях, предусмотренных федеральными законами, сообщать достоверную информацию о себе и незамедлительно уведомлять Компанию об изменении своих ПДн, ранее представленных Компании, либо предоставление которых предусмотрено действующим законодательством РФ. Компания полагается на информацию, предоставленную субъектом ПДн о себе, как на действительную, достоверную и актуальную.
5. Рассмотрение обращений субъектов ПДн по вопросам обработки ПДн
5.1. Обращения и запросы могут быть направлены субъектами ПДн или уполномоченными представителями в Компанию:
5.1.1. почтовым отправлением по месту нахождения Компании согласно Единому государственному реестру юридических лиц (ЕГРЮЛ);
5.1.2. по адресу электронной почты, указанному на сайте Компании либо в согласии на обработку ПДн, предоставленном субъектом ПДн в адрес Компании.
5.2. Обращение/запрос субъекта ПДн, связанный с предоставлением сведений, предусмотренных частью 7 статьи 14 Закона о персональных данных, направляемый в Компанию, должен содержать следующую информацию:
5.2.1. номер основного документа, удостоверяющего личность субъекта ПДн или его представителя;
5.2.2. сведения о дате выдачи указанного документа и выдавшем его органе;
5.2.3. сведения, подтверждающие участие субъекта ПДн в отношениях с Компанией (номер договора, дата заключения договора, условное словесное обозначение и/или иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Компанией;
5.2.4. подпись субъекта ПДн или его представителя.
5.3. При направлении обращения/запроса, указанного в пункте выше, в форме электронного документа на адрес электронной почты Компании, документ должен быть подписан электронной подписью в соответствии с требованиями применимого законодательства.
5.4. При получении обращения/запроса субъекта ПДн, Компания вправе проводить мероприятия, направленные на дополнительную идентификацию субъекта ПДн с целью обеспечения безопасности ПДн, обрабатываемых в Компании, и исключения возможности предоставления информации неуполномоченному на ее получение лицу.
5.5. При обращении в Компанию от имени субъекта ПДн представителя ПДн, соответствующий представитель должен предоставить Компании подтверждение полномочий на взаимодействие с Компанией от имени субъекта ПДн, в том числе, по запросу Компании.
5.6. Компания, получив обращение/запрос субъекта ПДн и убедившись в его законности, предоставляет субъекту ПДн и/или его представителю, обладающему полномочиями на представление интересов субъекта ПДн, сведения, указанные в запросе, в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, и/или принимает иные меры в зависимости от специфики (особенностей) обращения и/или запроса. Предоставляемые Компанией сведения не могут содержать ПДн, принадлежащие другим субъектам ПДн, за исключением случаев, когда имеются законные основания для раскрытия таких ПДн.
5.7. Компания вправе отказать субъекту ПДн (его представителю) в предоставлении информации по обращению/запросу субъекта ПДн, выполнении/удовлетворении иных требований при наличии законных оснований у Компании и при направлении субъекту ПДн (его представителю) мотивированного уведомления.
5.8. Предоставление информации и/или принятие иных мер в связи с поступлением обращений/запросов от субъектов ПДн производится Компанией в объеме и сроки, предусмотренные законодательством РФ. Установленный законодательством РФ срок ответа субъекту ПДн на обращение и/или запрос о предоставлении информации, касающейся обработки его ПДн, может быть продлен Компанией при направлении в адрес субъекта ПДн мотивированного уведомления, содержащего сведения о причинах продления срока предоставления запрашиваемой информации.
6. Меры, направленные на выполнение обязанностей Компании в сфере организации обработки и обеспечения конфиденциальности и безопасности ПДн
6.1. Компания самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено федеральными законами.
6.2. В Компании применяются следующие меры по обеспечению выполнения обязанностей, предусмотренных Законом о персональных данных в области обработки ПДн:
6.2.1. назначается лицо, ответственное за организацию обработки ПДн;
6.2.2. назначается лицо, ответственное за обеспечение безопасности ПДн в информационных системах;
6.2.3. издаются Политика в отношении обработки ПДн и иные локальные акты по вопросам обработки ПДн, а также внутренние нормативные документы, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений;
6.2.4. применяются правовые, организационные и технические меры по обеспечению безопасности ПДн в соответствии со статьей 19 Закона о персональных данных;
6.2.5. осуществляется внутренний контроль и аудит соответствия обработки ПДн законодательству РФ, требованиям к защите ПДн, Политике Компании в отношении обработки ПДн, внутренним нормативным документам Компании;
6.2.6. осуществляется оценка вреда в соответствии с требованиями, установленными Роскомнадзором, который может быть причинен субъектам ПДн в случае нарушения Закона о персональных данных, соотношение указанного вреда и принимаемых Компанией мер;
6.2.7. осуществляется ознакомление работников Компании, непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ о ПДн, в том числе с требованиями к защите ПДн, настоящей Политикой, внутренними нормативными документами по вопросам обработки ПДн, и (или) обучение указанных работников;
6.2.8. своевременно выявляются нарушения работниками подразделений требований к режиму конфиденциальности;
6.2.9. разделены полномочия пользователей в информационных системах в зависимости от их должностных обязанностей;
6.2.10. устанавливаются правила по предоставлению доступа к информационным системам персональных данных («ИСПДн»), проводится периодический пересмотр (ревизия) прав доступа работников в зависимости от занимаемой ими должности и должностных обязанностей;
6.2.11. применяются иные организационные и технические меры по обеспечению безопасности ПДн в соответствии с требованиями нормативных правовых актов, настоящей Политикой, внутренними нормативными документами Компании по вопросам обработки ПДн.
6.3. С целью обеспечения безопасности ПДн при их обработке Компания принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн, в частности:
6.3.1. назначается лицо, ответственное за обеспечение безопасности ПДн;
6.3.2. определяются угрозы безопасности ПДн при их обработке в ИСПДн;
6.3.3. применяются организационные и технические меры по обеспечению безопасности ПДн при их обработке в ИСПДн, необходимые для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности ПДн;
6.3.4. осуществляется оценка эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;
6.3.5. осуществляется учет машинных носителей ПДн;
6.3.6. проводятся мероприятия по обнаружению фактов несанкционированного доступа к ПДн и принятию мер в случае обнаружения;
6.3.7. обеспечивается возможность восстановления ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
6.3.8. устанавливаются правила доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечивается регистрация и учет всех действий, совершаемых с ПДн в ИСПДн;
6.3.9. осуществляется контроль за принимаемыми мерами по обеспечению безопасности ПДн и уровнем защищенности ИСПДн.
6.4. Компания реализует технические меры по обеспечению безопасности ПДн, исходя из актуальных угроз, определенных на этапе моделирования угроз для ИСПДн.
7. Заключительные положения
7.1. Настоящая Политика вводится в действие и становится обязательной для исполнения всеми работниками Компании с момента ее утверждения.
7.2. Настоящая Политика может быть изменена в любой момент времени по усмотрению Компании, в т.ч. в случаях изменения законодательства РФ или локальных нормативных актов Компании, определяющих порядок обработки и защиты ПДн.
7.3. В случае, если по тем или иным причинам одно или несколько положений настоящей Политики будут признаны недействительными или не имеющими юридической силы, данные обстоятельства не оказывают влияния на действительность или применимость остальных положений Политики.
7.4. Работники Компании несут ответственность за несоблюдение требований к обработке и защите ПДн, в т.ч. за разглашение или незаконное использование ПДн, в порядке и при наступлении условий, предусмотренных Трудовым кодексом РФ, а также могут быть привлечены к гражданско-правовой, административной и уголовной ответственности в порядке, предусмотренном применимыми нормативными правовыми актами РФ.
7.5. Контрольисполнения требований настоящей Политики осуществляется ответственным за организацию обработки ПДн.
Приложение 1. [Перечень целей обработки ПДн и соответствующие им категории и перечень обрабатываемых ПДн, категории субъектов, ПДн которых обрабатываются, способы, сроки обработки ПДн , порядок их уничтожения, правовые основания обработки ПДн]
Настоящая Политика в отношении обработки персональных данных («Политика») определяет цели, порядок, условия обработки персональных данных («ПДн») субъектов ПДн в ООО «Роборитейл» («Компания»).
Политика разработана в соответствии с требованиями Федерального закона РФ от 27.07.2006 г. №152-ФЗ «О персональных данных» («Закон о персональных данных») и является основой для организации обработки и защиты ПДн в Компании, в т.ч. для разработки локальных нормативных актов, регламентирующих порядок обработки и защиты ПДн.
Политика определяет, в частности:
• принципы обработки ПДн;
• правовые основания обработки ПДн;
• цели обработки ПДн, категории и перечень обрабатываемых ПДн, категории субъектов ПДн, ПДн которых обрабатываются, способы, сроки обработки ПДн, порядок их уничтожения и правовые основания обработки ПДн;
• организацию процесса управления обработкой ПДн в Компании;
• основы порядка рассмотрения обращений субъектов ПДн по вопросам обработки ПДн;
• меры обеспечения конфиденциальности и безопасности ПДн;
• права и обязанности Компании и субъекта ПДн.
Настоящая Политика распространяется на всех работников Компании.
1. Общие положения
1.1. Политика разработана в соответствии с требованиями п. 2 ч. 1 ст. 18.1 Закона о персональных данных.
1.2. Политика является основой для организации обработки и защиты ПДн в Компании, в т.ч. для разработки локальных нормативных актов, регламентирующих порядок обработки и защиты ПДн в Компании, и определяет:
1.2.1. принципы обработки ПДн;
1.2.2. правовые основания обработки ПДн;
1.2.3. цели обработки ПДн, категории и перечень обрабатываемых ПДн, категории субъектов ПДн, ПДн которых обрабатываются, способы, сроки обработки и хранения ПДн, порядок их уничтожения;
1.2.4. организация процесса управления обработкой ПДн в Компании;
1.2.5. основы порядка рассмотрения обращений субъектов ПДн по вопросам обработки ПДн;
1.2.6. меры обеспечения конфиденциальности и безопасности ПДн;
1.2.7. права и обязанности Компании, права субъекта ПДн.
1.3. Компания обязуется опубликовать или иным образом обеспечить неограниченный доступ субъектов ПДн к Политике одним из следующих способов:
1.3.1. путем доведения Политики до сведения работников Компании под подпись (в момент трудоустройства или внесения изменений в условия документа), а также путем публикации Политики на внутренних корпоративных ресурсах;
1.3.2. путем размещения Политики на информационных ресурсах, сайтах, мобильных приложениях Компании, с использованием которых осуществляется сбор персональных данных;
1.3.3. путем предоставления текста Политики по запросу субъекта.
1.4. Для информационных ресурсов, сайтов, мобильных приложений Компании, предназначенных для использования определенными категориями субъектов ПДн, в Компании могут быть разработаны политики в отношении обработки ПДн, содержащие информацию об обработке ПДн, относящуюся к конкретным субъектам ПДн и/или конкретным информационным ресурсам.
1.5. Политика подлежит пересмотру в случае изменения требований законодательства и (или) внутренних требований к процессам обработки ПДн, установленных в Политике, изменении процессов обработки ПДн, информация о которых содержится в Политике.
2. Основы обработки персональных данных в Компании
2.1. Обработка ПДн в Компании осуществляется с учетом требований и принципов, установленных Законом о персональных данных, а также локальных нормативных актов Компании, принятых во исполнение требований законодательства.
2.2. При обработке ПДн Компания руководствуется следующими принципами обработки ПДн, установленными Законом о персональных данных:
2.2.1. обработка ПДн на законной и справедливой основе;
2.2.2. обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей;
2.2.3. не допускается обработка ПДн, несовместимая с целями сбора ПДн;
2.2.4. обработка только тех ПДн, которые отвечают целям обработки ПДн;
2.2.5. не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
2.2.6. содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки ПДн и не должны быть избыточными по отношению к заявленным целям их обработки;
2.2.7. при обработке ПДн обеспечивается точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн;
2.2.8. хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн, осуществляется не дольше, чем этого требуют цели их обработки, если срок хранения ПДн не установлен законодательством РФ, договором, стороной которого является субъект ПДн;
2.2.9. уничтожение или обеспечение уничтожения ПДн (если обработка ПДн осуществляется другим лицом, действующим по поручению Компании), проводится по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством РФ.
2.3. При обработке ПДн граждан Российской Федерации Компания обеспечивает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн с использованием баз данных, находящихся на территории РФ.
2.4. Компания обеспечивает предоставление доступа к ПДн только тем работникам, которым соответствующий доступ необходим для выполнения их должностных обязанностей.
2.5. До начала обработки ПДн Компания направила в орган, уполномоченный на осуществление государственного контроля и надзора за соответствием обработки ПДн требованиям законодательства, а также соблюдением прав субъектов ПДн («Роскомнадзор») уведомление о факте обработки ПДн и обеспечивает уведомление Роскомнадзора об изменениях в сроки и в порядке, установленным законодательством.
2.6. Компания полагается на ПДн, предоставленные субъектами, как на полные, актуальные и достаточные, оставляет за собой право не проверять полученные ПДн на актуальность и достоверность.
2.7. Уточнение (обновление, изменение) ПДн осуществляется при получении Компании информации о факте обработки неточных ПДн, в частности, при обращении в Компанию субъекта ПДн (его представителя) и/или Роскомнадзора, а также при предоставлении Компании документов и доказательств, подтверждающих факт неточности и изменения ПДн.
2.8. Компания может получать ПДн, а также передавать ПДн или поручать их обработку третьим лицам при наличии правовых оснований.
2.9. При необходимости осуществления трансграничной передачи ПДн Компания обеспечивает выполнение требований, установленных Законом о персональных данных, в том числе, направляет уведомление о факте трансграничной передачи в Роскомнадзор и обеспечивает проведение оценки мер, принимаемых третьим лицом, которому планируется трансграничная передача ПДн, по обеспечению конфиденциальности и безопасности ПДн.
2.10. Компания обеспечивает прекращение обработки ПДн в случаях достижения цели обработки ПДн, утраты необходимости достижения цели обработки ПДн, прекращения действия / истечения срока действия правового основания обработки ПДн, истечения срока обработки ПДн, установленного требованиями законодательства, получения требования субъекта ПДн о прекращении обработки ПДн в установленных законодательством случаях, а также при выявлении факта неправомерной обработки, в том числе, при получении обращения субъекта ПДн (его представителя) или Роскомнадзора.
2.11. Прекращение обработки ПДн достигается, в том числе, путем уничтожения ПДн в порядке и в соответствии с требованиями, установленными законодательством и локальными нормативными актами Компании.
2.12. В случае наступления обстоятельств, требующих прекращения обработки ПДн, Компания вправе продолжить обработку ПДн субъекта при наличии иных правовых оснований для такой обработки.
3. Цели обработки ПДн, категории и перечень обрабатываемых ПДн, категории субъектов, ПДн которых обрабатываются, способы, сроки обработки и хранения ПДн, порядок их уничтожения
3.1. Информация о целях обработки ПДн, категориях и перечне обрабатываемых ПДн, категориях субъектов, ПДн которых обрабатываются, способах, сроках обработки и хранения ПДн, порядке их уничтожения содержится в Приложении 1 к Политике.
3.2. Обработка ПДн может предполагать совершение следующих основных действий (в том числе, совокупности) в отношении ПДн: сбор, систематизация, накопление, хранение, получение, запись, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ) ПДн, третьим лицам, поручение обработки третьим лицам, распространение, блокирование, удаление, уничтожение ПДн.
3.3. Сроки обработки ПДн определяются исходя из:
3.3.1. целей обработки ПДн;
3.3.2. согласия на обработку ПДн;
3.3.3. требований законодательства, которое является основанием обработки ПДн, либо иным образом устанавливает требования к срокам хранения ПДн в отдельных случаях обработки;
3.3.4. договора, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн.
3.4. Компания не осуществляет:
3.4.1. обработку биометрических ПДн;
3.4.2. обработку сведений о судимости субъектов ПДн;
3.4.3. принятие в отношении субъектов ПДн решений, порождающих юридические последствия или иным образом затрагивающих их права и законные интересы, на основании исключительно автоматизированной обработки ПДн;
3.4.4. обработку специальных категорий ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, интимной жизни.
3.5. Компания может осуществлять обработку специальных категорий ПДн, касающихся сведений о состоянии здоровья, в случаях, предусмотренных законодательством, а также в случае получения согласия от субъекта ПДн на обработку ПДн.
4. Права и обязанности Компании, субъектов ПДн
4.1. Компания обязана:
4.1.1. при обработке ПДн соблюдать требования Закона о персональных данных, а также иных нормативно-правовых актов в отношении обработки и защиты ПДн, в том числе требования, предусмотренные для сбора ПДн;
4.1.2. при сборе ПДн, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн субъектов ПДн (граждан РФ) с использованием баз данных, находящихся на территории РФ, за исключением случаев, предусмотренных законодательством РФ;
4.1.3. при сборе ПДн с использованием информационно-телекоммуникационных сетей, опубликовать в соответствующей информационно-телекоммуникационной сети, в т.ч. на страницах принадлежащего Компании сайта в информационно-телекоммуникационной сети «Интернет», с использованием которых осуществляется сбор ПДн, документ, определяющий его политику в отношении обработки ПДн, и сведения о реализуемых требованиях к защите ПДн, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
4.1.4. в случае, если предоставление ПДн и/или согласия на их обработку является обязательным в соответствии с требованиями Закона о персональных данных и субъект ПДн отказывается предоставить ПДн и/или предоставить согласие на их обработку, разъяснить юридические последствия непредоставления ПДн и/или согласия на их обработку;
4.1.5. в случае получения ПДн не от субъекта ПДн до начала обработки ПДн предоставить субъекту ПДн информацию, предусмотренную Законом о персональных данных, с учетом установленных применимым законодательством исключений;
4.1.6. выполнять обязанности, предусмотренные для операторов ПДн, при получении запросов и/или обращений по вопросам ПДн от субъекта ПДн и/или его представителя (обладающего полномочиями на представление интересов субъекта ПДн), и/или от надзорного органа;
4.1.7. принимать меры, направленные на обеспечение выполнения требований Закона о персональных данных;
4.1.8. принимать меры по обеспечению безопасности ПДн при их обработке;
4.1.9. выполнять обязанности по устранению нарушений Закона о персональных данных, требований иных нормативно-правовых актов в области обработки и защиты персональных данных, если такие нарушения были допущены при обработке ПДн, а также выполнять обязанности по уточнению, блокированию, уничтожению ПДн в случаях, предусмотренных Законом о персональных данных;
4.1.10. выполнять обязанности, установленные Законом о персональных данных для операторов ПДн, в случае получения от субъекта ПДн требования о прекращении обработки ПДн и/или отзыва согласия на обработку ПДн;
4.1.11. взаимодействовать с Роскомнадзором по вопросам, связанным с обработкой и защитой ПДн, в случаях, предусмотренных Законом о персональных данных;
4.1.12. выполнять иные обязанности, предусмотренные Законом о персональных данных, требований иных нормативно-правовых актов в области обработки и защиты ПДн.
4.2. Компания имеет право:
4.2.1. обрабатывать ПДн субъектов ПДн при наличии правовых оснований на обработку ПДн, в том числе, в отсутствие согласия на обработку ПДн в случаях, предусмотренных Законом о персональных данных;
4.2.2. осуществлять передачу ПДн субъектов ПДн третьим лицам, государственным органам, муниципальным органам власти, государственным учреждениям, государственным внебюджетным фондам, а также поручить обработку ПДн субъектов ПДн третьим лицам при наличии соответствующих правовых оснований и соблюдении требований Закона о персональных данных;
4.2.3. отказать субъекту ПДн в предоставлении сведений об обработке его ПДн в случаях, предусмотренных Законом о персональных данных;
4.2.4. самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных, иных нормативно-правовых актов в области обработки и защиты ПДн;
4.2.5. самостоятельно, с учетом требований Закона о персональных данных, определять перечень необходимых правовых, организационных и технических мер для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн на основании проведенной оценки актуальных угроз безопасности ПДн, а также определять порядок реализации указанных мер и проводить оценку эффективности принимаемых мер;
4.2.6. реализовывать иные права, предусмотренные Законом о персональных данных, иных нормативно-правовых актов в области обработки и защиты ПДн.
4.3. Субъект ПДн имеет право:
4.3.1. свободно, своей волей и в своем интересе предоставлять согласие на обработку ПДн с учетом требований Закона о персональных данных к форме и содержанию согласий на обработку ПДн;
4.3.2. направлять запросы и/или обращения, в том числе повторные, и получать информацию по вопросам обработки ПДн, принадлежащих субъекту ПДн, в порядке, форме, объеме и в сроки, установленные Законом о персональных данных;
4.3.3. требовать от Компании уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные Законом о персональных данных, иных нормативно-правовых актов в области обработки и защиты ПДн меры по защите своих прав с учетом исключений, установленных Законом о персональных данных;
4.3.4. обратиться с требованием к Компании прекратить обработку своих ПДн, а также отозвать предоставленное согласие на обработку ПДн;
4.3.5. осуществлять иные права, предусмотренные Законом о персональных данных.
4.4. Субъекты ПДн обязаны в целях обеспечения точности ПДн, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки ПДн при предоставлении согласия на обработку ПДн и (или) когда обработка ПДн может осуществляться без согласия субъекта ПДн на основаниях, предусмотренных федеральными законами, сообщать достоверную информацию о себе и незамедлительно уведомлять Компанию об изменении своих ПДн, ранее представленных Компании, либо предоставление которых предусмотрено действующим законодательством РФ. Компания полагается на информацию, предоставленную субъектом ПДн о себе, как на действительную, достоверную и актуальную.
5. Рассмотрение обращений субъектов ПДн по вопросам обработки ПДн
5.1. Обращения и запросы могут быть направлены субъектами ПДн или уполномоченными представителями в Компанию:
5.1.1. почтовым отправлением по месту нахождения Компании согласно Единому государственному реестру юридических лиц (ЕГРЮЛ);
5.1.2. по адресу электронной почты, указанному на сайте Компании либо в согласии на обработку ПДн, предоставленном субъектом ПДн в адрес Компании.
5.2. Обращение/запрос субъекта ПДн, связанный с предоставлением сведений, предусмотренных частью 7 статьи 14 Закона о персональных данных, направляемый в Компанию, должен содержать следующую информацию:
5.2.1. номер основного документа, удостоверяющего личность субъекта ПДн или его представителя;
5.2.2. сведения о дате выдачи указанного документа и выдавшем его органе;
5.2.3. сведения, подтверждающие участие субъекта ПДн в отношениях с Компанией (номер договора, дата заключения договора, условное словесное обозначение и/или иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Компанией;
5.2.4. подпись субъекта ПДн или его представителя.
5.3. При направлении обращения/запроса, указанного в пункте выше, в форме электронного документа на адрес электронной почты Компании, документ должен быть подписан электронной подписью в соответствии с требованиями применимого законодательства.
5.4. При получении обращения/запроса субъекта ПДн, Компания вправе проводить мероприятия, направленные на дополнительную идентификацию субъекта ПДн с целью обеспечения безопасности ПДн, обрабатываемых в Компании, и исключения возможности предоставления информации неуполномоченному на ее получение лицу.
5.5. При обращении в Компанию от имени субъекта ПДн представителя ПДн, соответствующий представитель должен предоставить Компании подтверждение полномочий на взаимодействие с Компанией от имени субъекта ПДн, в том числе, по запросу Компании.
5.6. Компания, получив обращение/запрос субъекта ПДн и убедившись в его законности, предоставляет субъекту ПДн и/или его представителю, обладающему полномочиями на представление интересов субъекта ПДн, сведения, указанные в запросе, в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, и/или принимает иные меры в зависимости от специфики (особенностей) обращения и/или запроса. Предоставляемые Компанией сведения не могут содержать ПДн, принадлежащие другим субъектам ПДн, за исключением случаев, когда имеются законные основания для раскрытия таких ПДн.
5.7. Компания вправе отказать субъекту ПДн (его представителю) в предоставлении информации по обращению/запросу субъекта ПДн, выполнении/удовлетворении иных требований при наличии законных оснований у Компании и при направлении субъекту ПДн (его представителю) мотивированного уведомления.
5.8. Предоставление информации и/или принятие иных мер в связи с поступлением обращений/запросов от субъектов ПДн производится Компанией в объеме и сроки, предусмотренные законодательством РФ. Установленный законодательством РФ срок ответа субъекту ПДн на обращение и/или запрос о предоставлении информации, касающейся обработки его ПДн, может быть продлен Компанией при направлении в адрес субъекта ПДн мотивированного уведомления, содержащего сведения о причинах продления срока предоставления запрашиваемой информации.
6. Меры, направленные на выполнение обязанностей Компании в сфере организации обработки и обеспечения конфиденциальности и безопасности ПДн
6.1. Компания самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено федеральными законами.
6.2. В Компании применяются следующие меры по обеспечению выполнения обязанностей, предусмотренных Законом о персональных данных в области обработки ПДн:
6.2.1. назначается лицо, ответственное за организацию обработки ПДн;
6.2.2. назначается лицо, ответственное за обеспечение безопасности ПДн в информационных системах;
6.2.3. издаются Политика в отношении обработки ПДн и иные локальные акты по вопросам обработки ПДн, а также внутренние нормативные документы, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений;
6.2.4. применяются правовые, организационные и технические меры по обеспечению безопасности ПДн в соответствии со статьей 19 Закона о персональных данных;
6.2.5. осуществляется внутренний контроль и аудит соответствия обработки ПДн законодательству РФ, требованиям к защите ПДн, Политике Компании в отношении обработки ПДн, внутренним нормативным документам Компании;
6.2.6. осуществляется оценка вреда в соответствии с требованиями, установленными Роскомнадзором, который может быть причинен субъектам ПДн в случае нарушения Закона о персональных данных, соотношение указанного вреда и принимаемых Компанией мер;
6.2.7. осуществляется ознакомление работников Компании, непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ о ПДн, в том числе с требованиями к защите ПДн, настоящей Политикой, внутренними нормативными документами по вопросам обработки ПДн, и (или) обучение указанных работников;
6.2.8. своевременно выявляются нарушения работниками подразделений требований к режиму конфиденциальности;
6.2.9. разделены полномочия пользователей в информационных системах в зависимости от их должностных обязанностей;
6.2.10. устанавливаются правила по предоставлению доступа к информационным системам персональных данных («ИСПДн»), проводится периодический пересмотр (ревизия) прав доступа работников в зависимости от занимаемой ими должности и должностных обязанностей;
6.2.11. применяются иные организационные и технические меры по обеспечению безопасности ПДн в соответствии с требованиями нормативных правовых актов, настоящей Политикой, внутренними нормативными документами Компании по вопросам обработки ПДн.
6.3. С целью обеспечения безопасности ПДн при их обработке Компания принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн, в частности:
6.3.1. назначается лицо, ответственное за обеспечение безопасности ПДн;
6.3.2. определяются угрозы безопасности ПДн при их обработке в ИСПДн;
6.3.3. применяются организационные и технические меры по обеспечению безопасности ПДн при их обработке в ИСПДн, необходимые для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности ПДн;
6.3.4. осуществляется оценка эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;
6.3.5. осуществляется учет машинных носителей ПДн;
6.3.6. проводятся мероприятия по обнаружению фактов несанкционированного доступа к ПДн и принятию мер в случае обнаружения;
6.3.7. обеспечивается возможность восстановления ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
6.3.8. устанавливаются правила доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечивается регистрация и учет всех действий, совершаемых с ПДн в ИСПДн;
6.3.9. осуществляется контроль за принимаемыми мерами по обеспечению безопасности ПДн и уровнем защищенности ИСПДн.
6.4. Компания реализует технические меры по обеспечению безопасности ПДн, исходя из актуальных угроз, определенных на этапе моделирования угроз для ИСПДн.
7. Заключительные положения
7.1. Настоящая Политика вводится в действие и становится обязательной для исполнения всеми работниками Компании с момента ее утверждения.
7.2. Настоящая Политика может быть изменена в любой момент времени по усмотрению Компании, в т.ч. в случаях изменения законодательства РФ или локальных нормативных актов Компании, определяющих порядок обработки и защиты ПДн.
7.3. В случае, если по тем или иным причинам одно или несколько положений настоящей Политики будут признаны недействительными или не имеющими юридической силы, данные обстоятельства не оказывают влияния на действительность или применимость остальных положений Политики.
7.4. Работники Компании несут ответственность за несоблюдение требований к обработке и защите ПДн, в т.ч. за разглашение или незаконное использование ПДн, в порядке и при наступлении условий, предусмотренных Трудовым кодексом РФ, а также могут быть привлечены к гражданско-правовой, административной и уголовной ответственности в порядке, предусмотренном применимыми нормативными правовыми актами РФ.
7.5. Контрольисполнения требований настоящей Политики осуществляется ответственным за организацию обработки ПДн.
Приложение 1. [Перечень целей обработки ПДн и соответствующие им категории и перечень обрабатываемых ПДн, категории субъектов, ПДн которых обрабатываются, способы, сроки обработки ПДн , порядок их уничтожения, правовые основания обработки ПДн]
Приложение 1
Перечень целей обработки ПДн и соответствующие им категории и перечень обрабатываемых ПДн, категории субъектов, ПДн которых обрабатываются, способы, сроки обработки ПДн, порядок их уничтожения, правовые основания обработки ПДн
в ООО «Роборитейл»
| № | Цель обработки ПДн | Категории субъектов ПДн | Категории, перечень ПДн | Способы обработки ПДн | Сроки обработки ПДн, порядок уничтожения | Основание обработки ПДн |
|---|---|---|---|---|---|---|
| 1 | Управление персоналом и организации рабочего процесса | Работники Бывшие работники | Категории ПДн: иные, специальные Перечень ПДн: - фамилия, имя, отчество; - год, месяц и дата рождения; - место рождения; - пол; - социальное положение; - семейное положение; - сведения о родственниках; - количество детей; - сведения об участии в учреждении юридического лица, статусе ИП); - реквизиты документа, удостоверяющего личность (включая тип удостоверяющего личность документа, серия и номер удостоверяющего личность документа, кем и когда выдан удостоверяющий личность документ, код подразделения); - реквизиты водительского удостоверения (серия и номер, кем и когда выдано, категории транспортных средств); - дата и номер доверенности (при наличии выданных доверенностей); - адрес регистрации; - дата регистрации по месту жительства; - адрес фактического проживания; - гражданство; - идентификационный номер налогоплательщика (ИНН); - страховой номер индивидуального лицевого счета СНИЛС; - статус налогоплательщика в РФ, статус пребывания в РФ; - контактные номера телефона; - корпоративный (при наличии) и личный адреса электронной почты; - сведения воинского учета (включая воинское звание, категорию запаса, состав (профиль), категорию годности к военной службе и иные данные, относящиеся к воинскому учету), военный билет / удостоверение гражданина, подлежащего призыву на военную службу; - данные об образовании (включая оригинал справки из образовательного учреждения, уровень образования, наименование образовательного учреждения, период обучения, наименование, серия, номер документа об образовании, квалификации или наличии специальных знаний, квалификация, направление или специальность по документу; данные о послевузовском профессиональном образовании: наименование образовательного, научного учреждения, номер, дата выдачи документа об образовании, период обучения, направление или специальность по подготовке, профессия; данные о повышение квалификации: дата начала и окончания обучения, вид повышения квалификации, наименование образовательного учреждения, место его нахождения, наименование, серия, номер, дата документа (удостоверения, свидетельства), основание; данные о профессиональной подготовке (или переподготовке): дата начала и окончания переподготовки, специальность (направление, профессия), наименование, номер, дата документа (диплом, свидетельство), основание и иные, данные об аттестации); сведения, полученные в результате пройденных оценок, опросов (исследований), тестирований; - сведения о трудоустройстве (включая реквизиты трудового договора; дату приказа о приеме (увольнении, изменении должности и пр.) и их основания; характер и вид работы; данные о приеме на работу и переводе на другую работу; наименование организации-работодателя, структурное подразделение, специальность, профессия, должность (включая, даты назначения и избрания, а также занимаемые ранее должности); функция Работника; разряд, класс (категория) квалификации; тарифная ставка (оклад); надбавка, основание; дата и основание прекращения трудового договора); сведения об условиях труда; сведения о рабочем времени; сведения об отпусках и служебных поездках, служебных командировках; сведения о поощрениях и наказаниях (включая наименование и реквизиты награды/поощрения), дата увольнения; данные о временной нетрудоспособности; табельный номер; данные табельного учета; сведения об опыте работы (включая трудовой стаж и иные сведения трудовой книжки и СТД-Р; сведения о предыдущих местах работы, должностях, должностных обязанностях, профессиональных навыках); сведения о выполнении ключевых показателей эффективности; сведения о связи с государственными структурами, (включая иностранные государства, международные и иностранные организации); - сведения о статусе учредителя юридического лица, самозанятого, индивидуального предпринимателя; сведения об участии в органах управления, уставном капитале третьих лиц; сведения о предложении от другого работодателя, причина увольнения, место работы; - свидетельство о браке, свидетельство о рождении ребенка (детей); - сведения о виде договора, сумме заработной платы (в том числе иных выплатах и вознаграждениях в пользу Работника, включая коэффициенты и суммы премирования, сведения о трудовом стаже) за предыдущие периоды, в том числе полученной Работником у других работодателей; - сведения о льготах (включая наименование льготы, номер документа социальной льготы, основание и дату выдачи документа социальной льготы); сведения о наличии и степени инвалидности, реквизиты документов об инвалидности; данные о состоянии на учете в психоневрологическом и/или наркологическом диспансере; результаты медицинских обследований на предмет годности к осуществлению трудовых обязанностей (при наличии специальных требований к занимаемой должности); - дополнительно для иностранных граждан: данные документа, удостоверяющего личность, выданного иностранным государством, миграционные сведения (включая: серия и номер документа, подтверждающего право иностранного гражданина на пребывание в Российской Федерации – разрешения на временное проживание / вида на жительство, данные о пребывании в Российской Федерации, данные о пребывании в Российской Федерации, данные о миграционной карте, разрешении на работу или патенте), данные полиса обязательного медицинского страхования и (или) добровольного медицинского страхования; - сведения об имущественном положении; реквизиты банковского счета; финансовые данные (включая сведения о доходах, начислениях, взносах, резервах, задолженности, данные по отчислениям в фонды, сведения о выплате/получении алиментов); - сведения о других договорах (индивидуальной, коллективной материальной ответственности, ученических, гражданско-правовых, агентских, субагентских и т. п.), заключаемых при исполнении трудового договора. - фотоизображение, видеоизображение; - гражданство, реквизиты заграничного паспорта и виз; - данные билета (авиа, ж/д и т.д.), гостиничного бронирования; - дата и основание увольнения; неиспользованные дни отпуска. | С использованием и без использования средств автоматизации, смешанная обработка | Срок обработки: в течение срока действия трудового договора, в течение сроков, установленных законодательством и / или согласием; Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; - уничтожение материальных носителей персональных данных; | Требования законодательства, согласие, законный интерес Компании |
| Родственники работников | Категории ПДн: иные Перечень ПДн: фамилия, имя, отчество; - степень родства; - возраст и дата рождения (дата, месяц, год); | С использованием и без использования средств автоматизации, смешанная обработка | Требования законодательства | |||
| 2 | Реализация финансовых обязательств перед Работником (в т.ч. в рамках зарплатного проекта) | Работники Бывшие работники | Категории ПДн: иные Перечень ПДн: - фамилия, имя, отчество; - год, месяц и дата рождения; - реквизиты документа, удостоверяющего личность (включая тип удостоверяющего личность документа, серия и номер удостоверяющего личность документа, кем и когда выдан удостоверяющий личность документ, код подразделения), - адрес регистрации по месту жительства и фактического проживания; - пол; - гражданство; - статус налогоплательщика в РФ; - ИНН; - СНИЛС; - наименование организации-работодателя, должность, структурное подразделение работы, табельный номер; - контактные номера телефона; - корпоративный (при наличии) и личный адрес электронной почты; - банковские реквизиты карты и счета, подключенных к зарплатному проекту (номер банковской карты и расчетного счета, номер корреспондентского счета, наименование и местонахождение банка); - сведения о любых видах начислений, которые Компания совершает на расчетный счет Работника (заработная плата, премии и т.д.), подключенный к зарплатному проекту. | С использованием и без использования средств автоматизации, смешанная обработка | Срок обработки: в течение срока действия трудового договора, в течение сроков, установленных законодательством; Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; - уничтожение материальных носителей персональных данных; | Требования законодательства, согласие |
| 3 | Организация внутренних и внешних коммуникаций | Работники | Категории ПДн: иные Перечень ПДн: - фамилия, имя, отчество; - дата и месяц рождения; - контактный номер телефона; - корпоративный (при наличии) и личный адрес электронной почты; - данные аккаунтов в мессенджерах для внутрикорпоративной коммуникации, указанных самостоятельно в личном кабинете на корпоративном портале; - наименование организации, должность, структурное подразделение, табельный номер; - фотоизображение, видеоизображение; - информация о желаемом размере брендированной одежды, получаемой в составе корпоративной сувенирной продукции во время проведения корпоративных мероприятий; - действия Работников на корпоративном портале (включая результаты опросов Работников). | С использованием и без использования средств автоматизации, смешанная обработка | Сроки обработки: - В течение всего срока действия трудового договора Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; | Согласие |
| 4 | Предоставление гарантий и дополнительных возможностей в части обеспечения здравоохранения | Работники Бывшие работники | Категории ПДн: иные, специальные Перечень ПДн: - фамилия, имя, отчество; - год, месяц и дата рождения; - пол; - сведения документа, удостоверяющего личность; - адреса регистрации и проживания; - контактные номера телефона; - корпоративный адрес электронной почты; - наименование организации-работодателя, должность, структурное подразделение работы, табельный номер; - СНИЛС; - семейное положение; - диагноз, заключение о состоянии здоровья, которые Компания может получать в рамках обязательных медицинских осмотров; - сведения о состоянии на учете в медицинских организациях и диспансерах; - результаты медицинских обследований, к которым Компания может получить доступ в случаях наступления несчастных случаев при исполнении трудовых обязанностей, а также в случаях согласования и предоставления соответствующих медицинских услуг на основании корпоративного договора добровольного медицинского страхования; - информация об обязательной и / или добровольной вакцинации работников; - сведения о причинах и результатах санаторно-курортного лечения работников; - если применимо, сведения о наличии и степени инвалидности, реквизиты документов об инвалидности, сведения индивидуальной программы реабилитации инвалида. | С использованием и без использования средств автоматизации, смешанная обработка | Срок обработки: в течение срока действия трудового договора, в течение сроков, установленных законодательством и / или согласием; Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; - уничтожение материальных носителей персональных данных; | Согласие, требования законодательства |
| 5 | Формирование кадрового резерва | Соискатели Работники Бывшие работники | Категории ПДн: иные Перечень ПДн: - фамилия, имя, отчество; - год, месяц и дата рождения; - место рождения; - пол; - семейное положение; - информация о родственниках (степень родства и год рождения, фамилия, имя, отчество); - адрес регистрации; - дата регистрации по месту жительства; - адрес фактического проживания; - гражданство; - контактные номера телефона; - адреса электронной почты; - фотоизображение; - данные об образовании (включая уровень образования, наименование образовательного учреждения, период обучения, квалификация, направление или специальность по документу; данные о послевузовском профессиональном образовании: наименование образовательного, научного учреждения, направление или специальность по подготовке, профессия; данные о повышении квалификации: дата начала и окончания обучения, вид повышения квалификации, наименование образовательного учреждения, место его нахождения; данные о профессиональной переподготовке: дата начала и окончания переподготовки, специальность (направление, профессия), данные об аттестации); сведения, полученные в результате пройденных оценок, опросов (исследований), тестирований; - сведения о трудоустройстве; характер и вид работы; наименование организации-работодателя, структурное подразделение, специальность, профессия, должность; разряд, класс (категория) квалификации; сведения об опыте работы (включая трудовой стаж; сведения о предыдущих местах работы, должностях, должностных обязанностях, профессиональных навыках); - иные сведения, указанные в резюме и анкете кандидата и полученные при анализе ответов на вопросы при проведении собеседований; | С использованием и без использования средств автоматизации, смешанная обработка | Срок обработки: в течение срока действия трудового договора, в течение сроков, установленных согласием; Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; - уничтожение материальных носителей персональных данных; | Согласие |
| 6 | Предоставление корпоративных льгот и привилегий (включая корпоративные бонусы и специальные предложения Компании / партнеров Компании); | Работники | Категории ПДн: иные Перечень ПДн: - фамилия, имя, отчество; - номер телефона (личный и корпоративный); - адрес электронной почты (личный и корпоративный); - личный адрес электронной почты; - пол; - ИНН; - СНИЛС; - год, месяц и дата рождения; - место рождения; - адрес регистрации; адрес проживания; - реквизиты документа, удостоверяющего личность (включая серию, номер, информацию о выдавшем органе, дату выдачи); - сведения о стаже работы; табельный номер; тип трудоустройства; - наименование организации-работодателя, должность, структурное подразделение; - грейд/разряд; - дата приема на работу в организации-работодателе, основание прекращения трудовых отношений; - дата прекращения трудовых отношений с организацией-работодателем (если применимо); - информация о наличии либо отсутствии зарплатной банковской карты партнера Компании и об участии в зарплатном проекте партнера Компании. | С использованием и без использования средств автоматизации, смешанная обработка | Срок обработки: в течение срока действия трудового договора, в течение сроков, установленных согласием; Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; - уничтожение материальных носителей персональных данных; | Согласие |
| 7 | Предоставление в отношении детей Работников бонусов, льгот, предусмотренных законодательством, а также политиками Компании | Работники Дети работников | Категории ПДн: иные Перечень ПДн: - фамилия, имя, отчество; - год, месяц и дата рождения, возраст; - пол; - место рождения; - город проживания; - номер телефона; - адрес электронной почты; - реквизиты свидетельства о рождении / усыновлении (включая серию, номер, дату выдачи свидетельства); - реквизиты документа, удостоверяющего личность (при наличии), (включая тип удостоверяющего личность документа, серию и номер удостоверяющего личность документа, кем и когда выдан удостоверяющий личность документ, код подразделения). | С использованием и без использования средств автоматизации, смешанная обработка | Срок обработки: в течение срока действия трудового договора, в течение сроков, установленных законодательством и/или согласием; Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; - уничтожение материальных носителей персональных данных; | Согласие, требования законодательства |
| 8 | Организация обучения, стажировок и практик (включая организацию прохождения ознакомительной, производственной или преддипломной практики на основании договора с учебным заведением) | Работники Студенты (практиканты, учащиеся) Стажеры | Категории ПДн: иные Перечень ПДн: - фамилия, имя, отчество; - год, месяц и дата рождения; - реквизиты документа, удостоверяющего личность (включая тип удостоверяющего личность документа, серия и номер удостоверяющего личность документа, кем и когда выдан удостоверяющий личность документ, код подразделения); - адрес регистрации и/или фактического проживания; - контактные номера телефона; - адреса электронной почты; - никнейм (имя) в социальной сети / мессенджере; - наименование организации-работодателя, структурное подразделение, специальность, профессия, должность; - место обучения; - данные о послевузовском профессиональном образовании: наименование образовательного, научного учреждения, номер, дата выдачи документа об образовании, период обучения, направление или специальность по подготовке, профессия; данные о повышение квалификации: дата начала и окончания обучения, вид повышения квалификации, наименование образовательного учреждения, место его нахождения, наименование, серия, номер, дата документа (удостоверения, свидетельства), основание; данные о профессиональной подготовке (или переподготовке): дата начала и окончания переподготовки, специальность (направление, профессия), наименование, номер, дата документа (диплом, свидетельство), основание и иные, данные об аттестации); - сведения, указанные резюме, заявках на участие в обучениях, стажировках, практиках; | С использованием и без использования средств автоматизации, смешанная обработка | Срок обработки: в течение срока действия договора, в течение сроков, установленных законодательством и/или согласием; Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; - уничтожение материальных носителей персональных данных; | Договор, согласие, требования законодательства |
| 9 | Администрирование доступа к автоматизированным системам партнера Компании в рамках внутригрупповых процессов | Работники | Категории ПДн: иные Перечень ПДн: - фамилия, имя, отчество; - дата рождения; - СНИЛС; - тип трудоустройства; - табельный номер; - логин; - должность; - наименование компании Работодателя; структурное подразделение; - номер(а) контактного(ых) телефона(ов); - личный(ые)/корпоративный(ые) адрес(а) электронной почты; - уникальный идентификатор в автоматизированных системах (ID); - дата приема и увольнения. | С использованием и без использования средств автоматизации, смешанная обработка | Срок обработки: в течение срока действия трудового договора, в течение сроков, установленных согласием; Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; | Согласие |
| 10 | Предоставление материальной помощи | Работники Бывшие работники Родственники работников | Категории ПДн: иные, специальные Перечень ПДн: - фамилия; имя; отчество; - адрес регистрации / проживания; - ИНН; - должность; - табельный номер; - номер телефона; - наименование организации-работодателя; структурное подразделение; - реквизиты расчетного счета; - сведения о размере оклада; - сведения о субъекте персональных данных и его родственниках, содержащаяся в документах, представляемых субъектом персональных данных для обоснования права на материальную помощь, включая оригиналы и сканированные копии: заявлений, ходатайств, а также (при необходимости) свидетельства о рождении / усыновлении ребенка (детей); свидетельства о смерти, документов, подтверждающих родственные отношения (справка о составе семьи (по форме №9) или выписка из домовой книги) или нахождение не иждивении (статус кормильца); документов / выписок, подтверждающих наличие и прогноз лечения заболевания, документов, подтверждающих произведенные (предстоящие) затраты на лечение и восстановление здоровья (чеки, выписки по счету о произведенных тратах); документов, подтверждающих чрезвычайное обстоятельство / факт и размер хищения (акт МЧС или местной комиссии, подтверждение ущерба, акты, свидетельства, фото- или видеоматериалы); иных документов, предоставление которых необходимо для обоснования права на материальную помощь; | С использованием и без использования средств автоматизации, смешанная обработка | Сроки обработки: в течение срока действия трудового договора, в течение сроков, установленных законодательством и / или согласием; Порядок уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; - уничтожение материальных носителей персональных данных; | Согласие |
| 11 | Обработка обращений, направляемых в Компанию | Заявители Представители заявителей | Категории ПДн: иные, специальные Перечень ПДн: - фамилия, имя, отчество; - номер телефона; - адрес электронной почты; - содержание обращений, в том числе обращений в службу поддержки Компании (включая историю коммуникаций, записи разговоров при обращении на горячую линию, историю переписки в чатах с операторами поддержки); - никнейм (имя) в социальной сети / мессенджере; - сведения, которые могут предоставляться при взаимодействии с Компанией и / или которые Компания может получать в рамках заключенных / заключаемых с Заявителем договоров, которые необходимы для обработки обращения Заявителя (его представителя). | С использованием и без использования средств автоматизации, смешанная обработка | Срок обработки: до достижения цели либо в течение сроков, предусмотренных законодательством и / или согласием; Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; - уничтожение материальных носителей персональных данных; | Требования законодательства, согласие, законный интерес Компании, договор |
| 12 | Подбор персонала (соискателей) на вакантные должности | Соискатели | Категории ПДн: иные Перечень ПДн: - фамилия, имя, отчество; - гражданство; - данные документа, удостоверяющего личность (в том числе цифровое изображение: фотоизображение в паспорте, номер и серия паспорта, пол, кем и когда выдан, код подразделения, адрес регистрации, дата и место рождения); - ИНН (в том числе цифровое изображение); - СНИЛС (в том числе цифровое изображение); - адрес регистрации и адрес фактического проживания; - контактный телефон; - адрес электронной почты; - возраст; - банковские реквизиты; - сведения об образовании (включая документы об образовании), профессии/специальности, повышении квалификации; сведения о трудовом стаже, предыдущем месте работы; - данные свидетельства о браке (расторжении брака); - данные свидетельства о рождении детей; - удостоверение многодетной семьи; - данные трудовой книжки; - данные документов о воинской обязанности и воинском учете; - сведения о постановке на воинский учет; - информация о государственной и (или) муниципальной службе; - цифровое изображение документов, включая свидетельство о государственной регистрации акта гражданского состояния о рождении; документ о высшем образовании и о квалификации; удостоверение о повышении квалификации или диплом о профессиональной переподготовке; свидетельство о заключении брака; свидетельство о расторжении брака; - военный билет; приписное свидетельство; - сведения трудовой книжки; - сведения о трудовой деятельности, предоставляемых работнику работодателем (СТД-Р); - паспорт иностранного гражданина; - миграционный патент (трудовой патент); - вид на жительство в Российской Федерации; - разрешение на временное проживание (РВП); - свидетельство о регистрации по месту пребывания); - сведения, полученные в результате пройденных оценок, опросов (исследований), тестирований; - иные сведения, указанные в резюме и анкете кандидата и полученные при анализе ответов на вопросы при проведении собеседований; | С использованием и без использования средств автоматизации, смешанная обработка | Срок обработки: в течение срока действия согласия; Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; - уничтожение материальных носителей персональных данных; | Согласие |
| 13 | Проведение переговоров, заключение и исполнение договора с контрагентом, включая процедуру проверки контрагента | Контрагенты Представители контрагентов | Категории ПДн: иные Перечень ПДн: - фамилия, имя, отчество; - пол; - дата и место рождения; - адрес проживания; - реквизиты документа, удостоверяющего личность; - контактная информация (в том числе номер телефона, адрес электронной почты); - сведения, содержащиеся в доверенности на представителя | С использованием и без использования средств автоматизации, смешанная обработка | Срок обработки: в течение срока действия договора, в течение сроков, установленных законодательством и/или согласием; Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; - уничтожение материальных носителей персональных данных; | Договор, согласие, требования законодательства, законный интерес Компании |
| 14 | Подтверждение соблюдения санитарно-эпидемиологических требований при работе с продуктами питания | Контрагенты Представители контрагентов | Категории ПДн: иные, специальные Перечень ПДн: - фамилия, имя, отчество; - номер телефона; - дата рождения; - пол; - реквизиты личной медицинской книжки (номер); - даты прохождения медицинских осмотров и гигиенической аттестации; - сроки допуска к оказанию услуг Компании, сведения о прохождении профессиональной гигиенической подготовки и аттестации и отметка о предупреждении при нарушении санитарных норм и правил (если применимо); - сканированные копии и/ или фото документов, содержащих указанные выше сведения. | С использованием и без использования средств автоматизации, смешанная обработка | Срок обработки: в течение сроков, установленных законодательством и/или согласием; Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; - уничтожение материальных носителей персональных данных; | Согласие, требования законодательства |
| 15 | Корпоративное управление | Физические лица – члены органов управления и конечные бенефициары Компании | Категории ПДн: иные Перечень ПДн: - фамилия, имя, отчество; - дата рождения; - гражданство; - адрес регистрации; - паспортные данные; - размер доли в уставном капитале Компании. | С использованием и без использования средств автоматизации, смешанная обработка | Срок обработки: до ликвидации Компании или в течение сроков, установленных законодательством Способы уничтожения: - безвозвратное удаление персональных данных из информационных систем с использованием встроенного в информационной системе функционала; - уничтожение материальных носителей персональных данных; | Требование законодательства |
