ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Политика в отношении обработке и защите персональных данных (далее — Политика) издана и применяется ООО «Авангард» (далее — Оператор) в соответствии с п. 2 ч. 1 ст. 18.1 Федерального закона
Настоящая Политика определяет политику, порядок и условия Оператора в отношении обработки и защиты персональных данных, устанавливает процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений, связанных с обработкой и защитой персональных данных.
Все вопросы, связанные с обработкой и защитой персональных данных, не урегулированные настоящей Политикой, разрешаются в соответствии с действующим законодательством Российской Федерации в области персональных данных.
1.2. В настоящей политике используются следующие основные понятия:
— персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
— персональные данные, разрешенные субъектом персональных данных для распространения, — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном настоящим Федеральным законом;
— оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
— обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
— автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
— распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
— предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
— блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
— уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
— обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
— информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
— трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
1.3. Целью обработки персональных данных является:
— обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну;
— продвижение товаров, работ, услуг Оператора на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи (допускается в порядке, предусмотренном п. 8.7 настоящей Политики);
1.4. Действие настоящей Политики не распространяется на отношения, возникающие при:
1) организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных фондов в соответствии с законодательством об архивном деле в Российской Федерации;
2) обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.
1.5. Обработка персональных данных осуществляется с соблюдением принципов и правил, предусмотренных Федеральным законом
Обработка организована Оператором на принципах:
— законности целей и способов обработки персональных данных, добросовестности и справедливости в деятельности Оператора;
— ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
— достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
— обработки только персональных данных, которые отвечают целям их обработки. Недопустима обработка персональных данных, несовместимая с целями сбора персональных данных;
— соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
— недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, не совместимых между собой;
— обеспечения точности персональных данных, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки персональных данных. Оператор принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных;
— хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
2. ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА
2.1 Оператор имеет право:
· получать от субъекта персональных данных достоверные информацию и/или документы, содержащие персональные данные;
· требовать от субъекта персональных данных своевременного уточнения предоставленных персональных данных.
· 2.2 Оператор обязан:
· обрабатывать персональные данные в порядке, установленном действующим законодательством РФ;
· рассматривать обращения субъекта персональных данных (его законного представителя) по вопросам обработки персональных данных и давать мотивированные ответы;
· предоставлять субъекту персональных данных (его законному представителю) возможность безвозмездного доступа к его персональным данным;
· принимать меры по уточнению, уничтожению персональных данных субъекта персональных данных в связи с его (его законного представителя) обращением с законными и обоснованными требованиями;
· организовывать защиту персональных данных в соответствии с требованиями законодательства РФ.
3. ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1 Субъекты персональных данных имеют право:
· на полную информацию об их персональных данных, обрабатываемых Оператором;
· на доступ к их персональным данным, включая право на получение копии любой записи, содержащей их персональные данные, за исключением случаев, предусмотренных федеральным законом;
· на уточнение их персональных данных, их блокирование или уничтожение в случаях, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
· на отзыв согласия на обработку персональных данных;
· на принятие предусмотренных законом мер по защите своих прав;
· на осуществление иных прав, предусмотренных законодательством РФ.
3.2 Субъекты персональных данных обязаны:
· предоставлять Оператору только достоверные данные о себе;
· предоставлять документы, содержащие персональные данные в объеме, необходимом для цели обработки;
· сообщать Оператору об уточнении (обновлении, изменении) своих персональных данных.
3.3 Лица, передавшие Оператору недостоверные сведения о себе, либо сведения о другом субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством РФ.
3.4 Для реализации своих прав и законных интересов субъекты персональных данных имеют право обратиться к Оператору либо направить запрос лично или с помощью представителя. Запрос должен содержать сведения, указанные в ч. 3 ст. 14 ФЗ «О персональных данных».
4. КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1 Оператор может обрабатывать персональные данные следующих субъектов персональных данных:
· работники Оператора, бывшие работники, соискателей для приема на работу, а также родственники работников;
· клиенты и контрагенты Оператора (физические лица);
· представители/работники клиентов и контрагентов Оператора (юридических лиц).
4.2 К персональным данным работников, бывших работников, соискателей для приема на работу, а также родственников работников, обрабатываемым Оператором, относятся:
фамилия, имя, отчество; адрес места жительства (адрес постоянной регистрации, адрес временной регистрации, адрес фактического места жительства); адрес электронной почты; банковские реквизиты; временная нетрудоспособность; выход на пенсию; год рождения; данные о социальных льготах; дата выдачи документа, удостоверяющего личность, и информация о выдавшем его органе; дата рождения; должность; дополнительные страховые взносы на накопительную часть пенсии; доходы; идентификационный номер налогоплательщика; льготные выплаты; место рождения; месяц рождения; налоговые вычеты; номер контактного телефона; номер страхового свидетельства государственного пенсионного страхования;; сведения о предыдущих местах работы; сведения о воинском учете и реквизиты документов воинского учета, военно-учетную специальность, воинское звание, годность к военной службе, состав, специальный учет (состоит или нет), иные персональные данные, необходимые для формирования и ведения учетного дела военнообязанного; семейное положение, состав семьи и сведения о близких родственниках (в том числе бывших); страховые взносы на омс; страховые взносы на опс; табельный номер; сведения об образовании, в том числе о послевузовском профессиональном образовании (наименование и год окончания образовательного учреждения, наименование и реквизиты документа об образовании, квалификация, специальность по документу об образовании).
4.2.1 Оператор не сообщает третьим сторонам персональные данные работника без его письменного согласия, кроме случаев, когда это необходимо для предупреждения угрозы жизни и здоровью работника, а также в других случаях, предусмотренных ТК РФ, ФЗ «О персональных данных» или иными федеральными законами.
4.2.2 Оператор передаёт персональные данные работников их представителям в порядке, установленном ТК РФ, ФЗ «О персональных данных» и иными федеральными законами, и ограничивает эту информацию только теми данными, которые необходимы для выполнения представителями их функций.
4.2.3 Оператор обрабатывает персональные данные соискателей с их письменного согласия, предоставляемого на срок, необходимый для принятия решения о приеме либо отказе в приеме на работу. Исключение составляют случаи, когда от имени соискателя действует кадровое агентство, с которым он заключил соответствующий договор, а также при самостоятельном размещении соискателем своего резюме, доступного неограниченному кругу лиц, в сети Интернет.
4.2.4 Оператор обрабатывает персональные данные соискателей в течение срока, необходимого для принятия решения о приеме либо отказе в приеме на работу. В случае отказа в приеме на работу Оператор прекращает обработку персональных данных соискателя в течение 30 дней в соответствии с ч. 4 ст. 21 ФЗ «О персональных данных». Если соискатель предоставил согласие на внесение его в кадровый резерв, Оператор может продолжить обработку персональных данных в течение срока, указанного в согласии.
4.2.5 Работник может требовать исключить или исправить свои неверные или неполные персональные данные, а также данные, обработанные с нарушением требований ТК РФ, ФЗ «О персональных данных» или иного федерального закона. При отказе Оператора исключить или исправить персональные данные работника он может заявить в письменной форме о своем несогласии и обосновать такое несогласие. Работник может дополнить персональные данные оценочного характера заявлением, выражающим его собственную точку зрения.
4.3 К персональным клиентов и контрагентов Оператора (физических лиц), представителей/работников клиентов и контрагентов Оператора (юридических лиц), обрабатываемых Оператором, относятся:
фамилия, имя, отчество; адрес места жительства (адрес постоянной регистрации, адрес временной регистрации, адрес фактического места жительства); адрес электронной почты; банковские реквизиты; год рождения; дата выдачи документа, удостоверяющего личность, и информация о выдавшем его органе; дата рождения; место рождения; месяц рождения; номер контактного телефона; сведения о приобретённых товарах; сведения об оказанных услугах; тип, серия и номер документа, удостоверяющего личность.
4.3.1 Оператор обрабатывает персональные данные работников контрагента в рамках правоотношений с Оператором, урегулированных частью второй Гражданского Кодекса Российской Федерации от 26 января 1996 г. № 14-ФЗ.
4.3.2 Оператор обрабатывает персональные данные категорий, указанных в п. 4.3, с их согласия, предоставляемого на срок действия заключенных с ними договоров. В случаях, предусмотренных ФЗ «О персональных данных», согласие предоставляется в письменном виде. В иных случаях согласие считается полученным при заключении договора или при совершении конклюдентных действий.
4.3.3 Оператор обрабатывает персональные данные категорий, указанных в п. 4.3, в течение сроков действия, заключенных с ними договоров. Оператор может обрабатывать персональные данные клиентов после окончания сроков действия заключенных с ними договоров в течение срока, установленного п. 5 ч. 3 ст. 24 части первой НК РФ, ч. 1 ст. 29 ФЗ «О бухгалтерском учёте» и иными нормативными правовыми актами Российской Федерации.
4.4 Оператор обеспечивает соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки и, в случае необходимости, принимает меры по устранению их избыточности по отношению к заявленным целям обработки.
4.5 Обработка биометрических персональных данных и специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, Оператором не осуществляется.
4.6 При осуществлении хранения персональных данных Оператор использует базы данных, находящиеся на территории РФ. Трансграничная передача персональных данных Оператором не осуществляется.
5. ЦЕЛИ СБОРА ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1 Обеспечение соблюдения требований законодательства Российской Федерации при сборе персональных данных.
5.2 Обеспечение операционной деятельности, осуществление и выполнение функций, возложенных законодательством на Оператора. В том числе, ведение кадрового и бухгалтерского учета работников, в том числе приём на работу, увольнение, расчет заработной платы; выполнение требований в сфере трудового и налогового законодательства.
5.3 Заключение, исполнение, изменение и расторжение договоров с контрагентами для продажи и получения товаров и услуг.
5.4 Осуществление коммуникации с работниками в рамках исполнениями ими трудовых обязанностей и контрагентами в рамках предоставления или получения информации (включая рекламное информирование) о товарах и услугах, в том числе, в рамках заключенных договоров и соглашений посредством телефонии (звонки, сервисы СМС) и сети Интернет (электронная почта, мессенджеры).
6. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1 Обработка персональных данных Оператором осуществляется следующими способами:
· неавтоматизированная обработка персональных данных;
· автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
· смешанная обработка персональных данных.
6.2 Перечень действий, совершаемых Оператором с персональными данными: сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передача), обезличивание, блокирование, уничтожение, а также осуществление любых иных действий в соответствии с действующим законодательством РФ.
6.3 Обработка персональных данных осуществляется Оператором при условии получения согласия субъекта персональных данных (далее — Согласие), за исключением установленных законодательством РФ случаев, когда обработка персональных данных может осуществляться без такого Согласия.
6.4 Субъект персональных данных принимает решение о предоставлении его персональных данных и дает Согласие свободно, своей волей и в своем интересе.
6.5 Согласие дается в любой позволяющей подтвердить факт его получения форме. В предусмотренных законодательством РФ случаях Согласие оформляется в письменной форме.
6.6 Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, истечение срока действия Согласия или отзыв Согласия субъектом персональных данных, а также выявление неправомерной обработки персональных данных.
6.7 Согласие может быть отозвано путем письменного уведомления, направленного в адрес Компании заказным почтовым отправлением. Оператор обязуется удалить отозванные персональные данные в течение 30 дней с момента получения соответствующего уведомления.
6.8 Для достижения целей обработки персональных данных и с согласия субъектов персональных данных Оператор предоставляет персональные данные или поручает их обработку следующим лицам:
· Государственные органы Российской Федерации (согласно требованиям законодательства Российской Федерации)
· ООО «БМВ Русланд Трейдинг»
· ООО «БМВ Банк»
· ООО «БМВ Лизинг»
· ООО «АвтоТрейд-Сочи»
· ООО «АвтоТрейд-Краснодар»
· ООО «МотоТрейд-Краснодар»
· ООО «АДС Рус»
7. СВЕДЕНИЯ ОБ ОБЕСПЕЧЕНИИ БЕЗОПАСНОТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1 Оператор назначает ответственного за организацию обработки персональных данных для выполнения обязанностей, предусмотренных ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами.
7.2. Оператор применяет комплекс правовых, организационных и технических мер по обеспечению безопасности персональных данных для обеспечения конфиденциальности персональных данных и их защиты от неправомерных действий:
· обеспечивает неограниченный доступ к Политике, копия которой размещена по адресу нахождения Оператора, а также размещена на сайтах Оператора:
https://evolute-sochi.ru/sopd
https://avangard-premium.ru/politics
· во исполнение Политики утверждает и приводит в действие документ «Положение об обработке персональных данных» (далее — Положение) и иные локальные акты;
· производит ознакомление работников с положениями законодательства о персональных данных, а также с Политикой и Положением;
· осуществляет допуск работников к персональным данным, обрабатываемым в информационных системах Оператора, а также к их материальным носителям только для выполнения трудовых обязанностей;
· устанавливает правила доступа к персональным данным, обрабатываемым в информационных системах Оператора, а также обеспечивает регистрацию и учёт всех действий с ними;
· производит оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения ФЗ «О персональных данных»;
· производит определение угроз безопасности персональных данных при их обработке в информационных системах Оператора;
· применяет организационные и технические меры и использует средства защиты информации, необходимые для достижения установленного уровня защищенности персональных данных;
· осуществляет обнаружение фактов несанкционированного доступа к персональным данным и принимает меры по реагированию, включая восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
· производит оценку эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационных системах Оператора;
· осуществляет внутренний контроль соответствия обработки персональных данных ФЗ «О персональных данных», принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, Политике, Положению и иным локальным актам, включающий контроль за принимаемыми мерами по обеспечению безопасности персональных данных и их уровня защищенности при обработке в информационных системах Оператора.
8. ПОРЯДОК ОБЕСПЕЧЕНИЯ ОПЕРАТОРОМ ПРАВ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Субъекты персональных данных или их представители обладают правами, предусмотренными Федеральным законом
8.2. Оператор обеспечивает права субъектов персональных данных в порядке, установленном гл. 3 и 4 Федерального закона
8.3. Полномочия представителя на представление интересов каждого субъекта персональных данных подтверждаются доверенностью, оформленной в порядке ст. ст. 185 и 185.1 Гражданского кодекса Российской Федерации, ч. 2 ст. 53 Гражданского процессуального кодекса Российской Федерации или удостоверенной нотариально согласно ст. 59 Основ законодательства Российской Федерации о нотариате (утв. Верховным Советом Российской Федерации
8.4. Сведения, указанные в ч. 7 ст. 14 Федерального закона
8.5. Сведения, указанные в ч. 7 ст. 14 Федерального закона от 7.07.2006г. № 152-ФЗ «О персональных данных», предоставляются субъекту персональных данных или его представителю Оператором в течение 10 (десяти) рабочих дней с момента обращения либо получения Оператором запроса субъекта персональных данных или его представителя.
Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации. Оператор предоставляет сведения, указанные в ч. 7 ст. 14 Федерального закона
8.6. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами.
8.7. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи (в том числе, но не ограничиваясь, используя сеть Интернет, телефонию, личное обращение) допускается только при условии предварительного согласия субъекта персональных данных. Согласие может быть устным и/или письменным и/или получено путём совершения конклюдентных действий. Предоставление персональных данных посредством коммуникации с Оператором, в том числе, но не ограничиваясь, используя сеть Интернет, телефонию, личное обращение, означают безусловное согласие лица, предоставляющего персональные данные, с условиями настоящей Политики.
8.7.1. Индивидуальное устное общение с потенциальными потребителями или агитируемыми лицами производится, в том числе, с использованием телефонной линии Оператора. При этом рабочее место сотрудника Оператора, которому поручено общение, может обеспечиваться техническими средствами, позволяющими в автоматизированном режиме вести регистрацию телефонных вызовов, а также (с согласия субъекта персональных данных) вести аудиозапись переговоров. В данной ситуации аудиозапись полученного устного согласия является надлежащей.
8.7.2. Если документирование информации в виде аудиозаписи на цифровой диктофон, аудиокассету или другой электронный или аналоговый носитель проводилось физическим лицом по собственной инициативе скрытно, а порой с целью искусственного создания доказательств, то данные доказательства признаются недопустимыми и не имеющими юридической силы на основании ч. 2 ст. 50 Конституции Российской Федерации.
8.7.3. Для письменного согласия достаточно простой письменной формы.
Указанная обработка персональных данных признается осуществляемой без предварительного согласия субъекта персональных данных, если Оператор не докажет, что такое согласие было получено.
8.8. Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных, указанную в ч. 1 ст. 15 Федерального закона
8.9. Оператор обязан рассмотреть возражение, указанное в ч. 3 ст. 16 Федерального закона
8.10. Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных, по месту своего расположения в рабочее время.
8.11. Оператор в течение 5 (Пяти) рабочих дней с момента исправления или уничтожения персональных данных по требованию субъекта персональных данных или его представителя обязан уведомить его о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.
Формы уведомлений, предусмотренных ч. 1, 4.1 и 7 ст. 22 Федерального закона
9. УРЕГУЛИРОВАНИЕ СПОРНЫХ СИТУАЦИЙ
9.1 Все ситуации, касающиеся обработки персональных данных, не урегулированные в настоящей Политике, решаются согласно действующему законодательству Российской Федерации.
10. КОНТРОЛЬ, ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ИЛИ НЕИСПОЛНЕНИЕ ПОЛИТИКИ
10.1. Контроль за исполнением Политики возложен на ответственного за обработку персональных данных.
10.2. Лица, нарушающие или не исполняющие требования Политики, привлекаются к дисциплинарной, административной (ст. ст. 5.39, 13.11 — 13.14, 19.7 Кодекса Российской Федерации об административных правонарушениях) или уголовной ответственности (ст. ст. 137, 140, 272, 272.1, 274 Уголовного кодекса Российской Федерации).
10.3. Руководители структурных подразделений Оператора несут персональную ответственность за исполнение обязанностей их подчиненными.