Политика конфиденциальности в отношении обработки персональных данных ИП Елисеев Леонид Сергеевич

 

1. Общие положения

 

1.1. Настоящая политика в отношении обработки персональных данных (далее – Политика) подготовлена в соответствии с п. 2 ч. 1 ст. 18.1 Федерального закона РФ

«О персональных данных» №152-ФЗ от 27.07.2006 (далее – Федеральный закон) и определяет позицию ИП Елисеев Леонид Сергеевич (далее – Компания) в области обработки и защиты персональных данных (далее – ПДн), соблюдения прав и свобод каждого человека и, в особенности, права на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Понимая важность и ценность ПДн, а также заботясь о соблюдении конституционных прав граждан РФ и граждан других государств, Компания обеспечивает надежную защиту ПДн.

1.3. Политика распространяется на ПДн, полученные как до, так и после ввода в действие Политики.
 

2. Термины и определения

 

Автоматизированная обработка персональных данных – обработка персональных данных с использованием средств вычислительной техники.

Биометрические персональные данные – сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных.

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Доступ к персональным данным – возможность получения персональных данных и их использования.

Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Конфиденциальность персональных данных – обязательное для соблюдения Компанией или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания.

Несанкционированный доступ – доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами.

Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение,  использование,  передачу  (распространение,  предоставление,  доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Оператор персональных данных – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Персональные данные, разрешенные субъектом персональных данных для распространения – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения  в  порядке,  предусмотренном  Федеральным  законом  от  27.07.2006 № 152 ФЗ «О персональных данных».

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

 

3. Обозначения и сокращения

 

Политика – Политика в отношении обработки персональных данных

ИП Елисеев Леонид Сергеевич

ИСПДн – Информационная система персональных данных

Компания – ИП Елисеев Леонид Сергеевич

ПДн – Персональные данные

Федеральный закон – Федеральный закон от 27.07.2006 № 152-ФЗ

«О персональных данных»

Иные термины, обозначения и сокращения, используемые в Политике, определены в Глоссарии информационной безопасности ООО «МВМ».

 

4. Правовые основания и цели обработки персональных данных

 

4.1. Обработка и обеспечение безопасности ПДн в Компании осуществляется в соответствии с требованиями Конституции РФ, Федерального закона, Трудового кодекса РФ, подзаконных актов, других определяющих случаи и особенности обработки ПДн федеральных законов РФ

4.2. Субъектами ПДн, чьи данные обрабатываются в Компании, являются:

• соискатели – физические лица, претендующие на замещение вакантной должности в Компании;
• работники Компании – физические лица, состоящие с Компанией в трудовых отношениях;
• уволенные работники Компании – физические лица, состоявшие с Компанией в трудовых отношениях;
• родственники работников Компании – физические лица, находящиеся в семейных либо родственных отношениях с работником Компании;
• работники сторонних компаний – представители или работники юридического лица, индивидуального предпринимателя, которые имеют договорные отношения с Компанией, находятся на этапе преддоговорных отношений с Компанией или фигурируют в процессах деятельности Компании;
• аффилированные лица Компании – физические лица, являющиеся аффилированными по отношению к Компании;
• физические лица (контрагенты) – физические лица, оказывающие Компании услуги на основе договоров гражданско-правового характера;
• индивидуальные предприниматели – физические лица, зарегистрированные в установленном законодательством порядке и осуществляющие предпринимательскую деятельность без образования юридического лица;
• посетители – физические лица, посещающие отделения Компании, не являющиеся при этом работниками Компании или контрагентами;
• покупатели – физические лица, связанные с Компанией договорными отношениями, приобретающие товары и пользующиеся услугами Компании, а также представители указанных физических лиц;
• участники бонусной программы – физические лица, зарегистрированные в качестве участников бонусной программы Компании;
• победители конкурсов – физические лица, одержавшие победу в конкурсах, проводимых Компанией;
• пользователи сайта Компании – физические лица, посещающие сайт Компании в сети Интернет.

4.3. Цели обработки ПДн, категории и перечень обрабатываемых ПДн, категории субъектов ПДн, способы, сроки их обработки и хранения приведены в приложении к Политике (см. Приложение А).

 

5. Принципы и условия обработки ПДн

 

5.1. При обработке ПДн Компания придерживается следующих принципов:

• обработка ПДн осуществляется на законной и справедливой основе;
• ПДн не раскрываются третьим лицам и не распространяются без согласия субъекта ПДн, за исключением случаев, требующих раскрытия ПДн по запросу уполномоченных государственных органов, а также для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством РФ об исполнительном производстве;
• определение конкретных законных целей до начала обработки (в т.ч. сбора) ПДн;
• ведется сбор только тех ПДн, которые являются необходимыми и достаточными для заявленной цели обработки;
• объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой, не допускается;
• обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей;
• при обработке ПДн обеспечивается точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к заявленным целям их обработки;
• обрабатываемые ПДн подлежат уничтожению или обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством РФ.

5.2. Компания может включать ПДн субъекта ПДн в общедоступные источники ПДн, при этом Компания осуществляет получение согласия в письменной форме с субъекта ПДн на обработку его ПДн.

5.3. Компания не осуществляет обработку ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных, философских и иных убеждений, интимной жизни, членства в общественных объединениях, в том числе в профессиональных союзах.

5.4. Обработка ПДн, разрешенных субъектом ПДн для распространения, может осуществляться Компанией только при наличии согласия субъекта ПДн.

5.5. Компания может осуществлять обработку геолокации в случаях предоставления доступа на территорию Компании.

5.6. В целях исполнения требований действующего законодательства РФ и своих договорных обязательств обработка ПДн в Компании осуществляется как с использованием, так и без использования средств автоматизации. Совокупность операций обработки включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ, распространение), обезличивание, блокирование, удаление, уничтожение ПДн.

5.16. В Компании запрещается принятие на основании исключительно

автоматизированной обработки ПДн решений, порождающих юридические

последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных законодательством РФ.

 

6. Права и обязанности субъектов ПДн, а также Компании в части обработки ПДн

 

6.1. Субъект ПДн принимает решение о предоставлении его ПДн и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку ПДн может быть дано субъектом ПДн или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено Федеральным законом.

6.2. Обработка ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только при условии предварительного согласия субъекта ПДн.

6.3. За исключением случаев, предусмотренных Федеральным законом, Компания обязана немедленно прекратить обработку ПДн по письменному требованию или требованию в иной форме, предусмотренной в согласии, субъекта ПДн. Требование должно содержать данные позволяющие идентифицировать субъекта ПДн.

6.4. В согласии на обработку ПДн, разрешенных субъектом ПДн для распространения, субъект ПДн вправе установить запреты на передачу (кроме предоставления доступа) этих ПДн оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих ПДн неограниченным кругом лиц. Отказ оператора в установлении субъектом ПДн запретов и условий не допускается.

6.5. Субъект ПДн, ПДн которого обрабатываются Компанией, имеет право:

• получать от Компании информацию, касающуюся обработки его ПДн в объеме, установленном Федеральным законом;
• требовать от Компании (путем направления письменного запроса) уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• требовать от Компании информацию о конкретных причинах и правовых основаниях, определяющих невозможность заключения, исполнения, изменения или расторжения договора без предоставления ПДн;
• отозвать свое согласие на обработку ПДн в любой момент;
• требовать прекращения обработки его ПДн;
• требовать устранения неправомерных действий Компании в отношении его ПДн;
• обжаловать действия или бездействие Компании в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в судебном порядке в случае, если субъект ПДн считает, что Компания осуществляет обработку его ПДн с нарушением требований Федерального закона или иным образом нарушает его права и свободы;
• на защиту своих прав и законных интересов, в том числе на возмещения убытков и/или компенсацию морального вреда в судебном порядке.

6.6. Компания в процессе обработки ПДн обязана:

• предоставлять субъекту ПДн по его запросу информацию, касающуюся обработки его ПДн, либо на законных основаниях предоставить отказ в течение 10 рабочих дней с даты получения запроса субъекта ПДн или его представителя. В случае наличия мотивированных оснований указанный срок может быть продлен, но не более чем на 5 рабочих дней, в таком случае Компания обязана направить в адрес субъекта ПДн уведомление с указанием причин продления срока предоставления запрашиваемой информации;
• разъяснить субъекту ПДн юридические последствия отказа предоставить ПДн, если предоставление ПДн является обязательным в соответствии с законодательством РФ;• принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
• опубликовать в сети Интернет и обеспечить неограниченный доступ с использованием сети Интернет к документу, определяющему его политику в отношении обработки ПДн, к сведениям  о  реализуемых  требованиях  к защите ПДн;
• безвозмездно предоставить субъектам ПДн и/или их представителям возможность ознакомления с ПДн при обращении с соответствующим запросом в течение 10 рабочих дней с даты получения подобного запроса. В случае наличия мотивированных оснований указанный срок может быть продлен, но не более чем на 5 рабочих дней, в таком случае Компания обязана направить в адрес субъекта ПДн уведомление с указанием причин продления срока предоставления запрашиваемой информации;
• предоставить субъекту ПДн по его требованию, предъявляемому в письменной форме (в том числе в форме электронного документа), информацию о конкретных причинах и правовых основаниях, определяющих невозможность заключения, исполнения, изменения или расторжения договора без предоставления ПДн, в течение 7 календарных дней со дня предъявления требования в форме, в которой предъявлено соответствующее требование, если иное не указано в требовании;
• предоставить субъекту ПДн по его требованию, предъявляемому в устной форме, информацию о конкретных причинах и правовых основаниях, определяющих невозможность заключения, исполнения, изменения или расторжения договора без предоставления ПДн, незамедлительно;
• осуществить блокирование неправомерно обрабатываемых ПДн, относящихся к субъекту ПДн, или обеспечить их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Компании) с момента обращения или получения запроса на период проверки, в случае выявления неправомерной обработки ПДн при обращении субъекта ПДн или его представителя либо по запросу субъекта ПДн или его представителя либо уполномоченного органа по защите прав субъектов ПДн;
• уточнить ПДн либо обеспечить их уточнение (если обработка ПДн осуществляется другим лицом, действующим по поручению Компании) в течение 7 рабочих дней со дня представления сведений и снять блокирование ПДн в случае подтверждения факта неточности ПДн на основании сведений, представленных субъектом ПДн или его представителем;
• прекратить неправомерную обработку ПДн или обеспечить прекращение неправомерной обработки ПДн лицом, действующим по поручению Компании, в случае выявления неправомерной обработки ПДн, осуществляемой Компанией или лицом, действующим на основании договора с Компанией, в срок, не превышающий 3 рабочих дней с даты этого выявления;
• прекратить обработку ПДн или обеспечить ее прекращение (если обработка ПДн осуществляется другим лицом, действующим по договору с Компанией) и уничтожить ПДн или обеспечить их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по договору с Компанией) по достижении цели обработки ПДн, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, в случае достижения цели обработки ПДн;
• прекратить обработку ПДн или обеспечить ее прекращение и уничтожить ПДн или обеспечить их уничтожение в течение 30 дней с даты поступления отзыва субъекта ПДн согласия на обработку ПДн, в случае отзыва субъектом ПДн согласия на обработку ПДн, если Компания не вправе продолжить обработку ПДн без согласия субъекта ПДн;
• прекратить обработку ПДн или обеспечить прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку ПДн), в случае обращения субъекта ПДн к Компании с требованием о прекращении обработки ПДн, в течение 10 рабочих дней с даты получения оператором соответствующего требования, если иное не предусмотрено законодательством РФ. В случае наличия мотивированных оснований указанный срок может быть продлен, но не более чем на 5 рабочих дней, в таком случае Компания обязана направить в адрес субъекта ПДн уведомление с указанием причин продления срока предоставления запрашиваемой информации
• осуществлять учет обращений субъектов ПДн, в котором должны фиксироваться запросы субъектов ПДн на получение ПДн, а также факты предоставления ПДн по этим запросам;
• обеспечить субъекту ПДн возможность определить перечень ПДн по каждой категории ПДн, указанной в согласии на обработку ПДн, разрешенных субъектом ПДн для распространения;
• в срок не позднее 3 рабочих дней с момента получения соответствующего согласия субъекта ПДн опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц ПДн, разрешенных субъектом ПДн для распространения;
• осуществлять обработку ПДн, разрешенных субъектом ПДн для распространения, с соблюдением запретов и условий, предусмотренных статьей 10.1 Федерального закона;
• в любое время по требованию субъекта ПДн прекратить передачу (распространение, предоставление, доступ) ПДн, разрешенных субъектом ПДн для распространения;
• при сборе ПДн, в том числе посредством информационно- телекоммуникационной сети Интернет, обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан РФ с использованием баз данных, находящихся на территории РФ.

 

7. Меры по обеспечению безопасности ПДн при их обработке

 

7.1. Компания при обработке ПДн принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного и/или несанкционированного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.

7.2. К таким мерам в соответствии с Федеральным законом, в частности, относятся:

• назначение лица, ответственного за организацию обработки ПДн, и лица, ответственного за обеспечение безопасности ПДн;
• ограничение состава лиц, имеющих доступ к ПДн;
• применение правовых, организационных и технических мер по обеспечению безопасности ПДн:

•  определение угроз безопасности ПДн при их обработке в информационных системах ПДн (далее – ИСПДн);
•  применение организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности ПДн;
•  применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
•  оценка эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;
•  учет машинных носителей ПДн, если хранение ПДн осуществляется на машинных носителях;
•  обнаружение фактов несанкционированного доступа к ПДн и принятие мер по недопущению подобных инцидентов в дальнейшем;
•  восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
•  установление правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечение регистрации и учета всех действий, совершаемых с ПДн в ИСПДн;

• контроль за принимаемыми мерами по обеспечению безопасности ПДн и уровнем защищенности ИСПДн;
• оценка вреда, в соответствии с требованиями установленными уполномоченным органом по защите прав субъектов ПДн, который может быть причинен субъектам ПДн в случае нарушения требований Федерального закона, соотношение указанного вреда и принимаемых Компанией мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом;
• соблюдение условий, исключающих несанкционированный доступ к материальным носителям ПДн и обеспечивающих сохранность ПДн;
• ознакомление работников Компании, непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ о ПДн, в том числе с требованиями к защите ПДн, локальными нормативными актами по вопросам обработки и защиты ПДн, и обучение работников Компании.

 

8. Порядок уничтожения ПДн

 

8.1. ПДн субъектов ПДн, обрабатываемые в целях, указанных в приложении к Политике (см. Приложение А), подлежат уничтожению, если иное не предусмотрено законодательством РФ или соглашением между Компанией и субъектом ПДн, или договором между Компаний и операторами ПДн, в следующих случаях:

• выявления неправомерной обработки ПДн и невозможности устранения допущенных нарушений;
• по требованию субъекта ПДн или уполномоченного органа по защите прав субъектов ПДн, если ПДн являются не полными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отзыва субъектом ПДн согласия на обработку своих ПДн;
• по достижении целей обработки или в случае утраты необходимости в их достижении.

8.2. Уничтожение ПДн определенного субъекта ПДн выполняется в рамках реагирования на обращения субъектов ПДн.

8.3. Уничтожение ПДн в случае окончания сроков хранения ПДн (по достижении целей обработки или в случае утраты необходимости в их достижении) осуществляется в срок не позднее 30 календарных дней с момента истечения срока хранения ПДн.

8.4. ПДн должны быть уничтожены на всех материальных носителях и в ИСПДн.

 

9. Порядок получения разъяснений по вопросам обработки ПДн

 

9.1. Лица, чьи ПДн обрабатываются Компанией, могут получить разъяснения по вопросам обработки своих ПДн, обратившись в Компанию следующими способами:

• личное обращение;
• с использованием Почты России (направить запрос по адресу местонахождения Компании: 107207, г. Москва, Байкальская ул. 26/10, кв 283);
• с использованием почтовой системы в виде электронного письма (направить запрос по адресу электронной почты: shop@sale-samokat.ru).

9.2. В  случае  направления  официального  запроса  в  Компанию  в  тексте  запроса необходимо указать:

• фамилию, имя, отчество субъекта ПДн или его представителя;
• номер основного документа, удостоверяющего личность субъекта ПДн или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие наличие у субъекта ПДн отношений с Компанией;
• информацию для обратной связи с целью направления Компанией ответа на запрос;
• подпись субъекта ПДн (или его представителя). Если запрос отправляется в электронном виде, то он должен быть оформлен в виде электронного документа и подписан электронной подписью в соответствии с законодательством РФ.

 

10. Заключительные положения

 

10.1. Политика является локальным нормативным актом Компании. Политика является общедоступной. Общедоступность Политики обеспечивается публикацией на корпоративном сайте Компании.

10.2. Иные права и обязанности Компании как оператора ПДн определяются законодательством РФ в области ПДн.

 

11. Ответственность и обязанности

 

11.1. В  случае  неисполнения  положений  Политики  Компания  и  ее  работники  несут ответственность в соответствии с действующим законодательством РФ.

11.2. Контроль   исполнения   требований   Политики   осуществляется   ответственным   за обработку ПДн в Компании.

 

12. Актуализация Политики

12.1. Политика должна пересматриваться на регулярной основе при наступлении любого из следующих случаев:

• по решению руководства Компании;
• при изменении законодательства РФ в области обработки и защиты ПДн;
• в случаях получения предписаний от уполномоченного органа по защите прав субъектов ПДн на устранение несоответствий, затрагивающих область действия Политики;
• при появлении необходимости в изменении процесса обработки ПДн, связанной с деятельностью Компании.

12.2. Инициировать внеочередной пересмотр, дополнение и изменение Политики может руководство Компании и уполномоченные подразделения Компании.

 

Приложение А.

 

Цели обработки ПДн, категории и перечень обрабатываемых ПДн, категории субъектов ПДн, способы, сроки их обработки и хранения

 

 

1. Изготовление полиграфической продукции

 

Для цели, указанной в п. 4 Приложения А, обрабатываются следующие категории ПДн работников Компании: фамилия, имя, отчество, занимаемая должность, место работы, адрес электронной почты, номер контактного телефона, фотография.

Срок хранения ПДн – 3 года.

Способ обработки ПДн – смешанная обработка.

 

 

2. Продажа товаров и оказание услуг

 

Обрабатываются следующие категории ПДн покупателей: фамилия, имя, отчество, сумма и назначение платежа, дата и время транзакции, адрес доставки, номер заказа, номер контактного телефона, адрес электронной почты, сведения о приобретенных товарах.