Политика в отношении обработки персональных данных
- Общие положения
1.1. Настоящая Политика обработки персональных данных (далее - Политика) разработана ООО «Прогресс» ИНН 5406974170 (далее – ООО “Прогресс”/Оператор/Общество) во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон о персональных данных).
1.2. Цели разработки Политики:
-определение порядка обработки персональных данных Оператором;
-обеспечение защиты прав и свобод субъектов персональных данных при обработке их персональных данных;
-установление ответственности лиц, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.
1.3. Политика является общедоступной и подлежит размещению на официальном сайте ООО «Прогресс» https://etc-progress.ru/.
1.4. Политика вступает в силу с момента ее утверждения директором ООО «Прогресс».
1.5. Оператор, получивший доступ к персональным данным, обязан обеспечить конфиденциальность персональных данных - не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
- Основные понятия используемые в Политике
Персональные данные - любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных);
Обработка персональных данных - любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя в том числе: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
Неавтоматизированная обработка персональных данных - обработка персональных данных, содержащихся в информационной системе персональных данных (далее – ИСПДн) либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.
Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
Передача (предоставление, доступ) персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
Субъект персональных данных – физическое лицо, персональные данные которого обрабатываются.
Носители персональных данных –электронные (дискеты, компакт-диски, ленты, флэш-накопители, файлы и др.) и неэлектронные (бумажные) носители персональных данных.
- Правовые основания обработки персональных данных
3.1. Правовым основанием обработки персональных данных являются совокупность правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных:
-Конституция Российской Федерации;
-Федеральный закон от 08.02.1998 №14-ФЗ «Об обществах с ограниченной ответственностью»;
-Федеральный закон от 06.12.2011 №402-ФЗ «О бухгалтерском учете»;
-Федеральный закон от 15.12.2001 №167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
-статьи 86-90 Трудового кодекса Российской Федерации;
-Налоговый кодекс Российской Федерации;
-Гражданский кодекс Российской Федерации;
-иные нормативные правовые акты Российской Федерации и нормативные документы уполномоченных органов государственной власти;
-уставные и локально-нормативные документы Оператора;
-договоры, заключаемые между Оператором и субъектом персональных данных;
-договоры, заключаемые Обществом для осуществления хозяйственной деятельности;
-согласие физического лица на обработку персональных данных;
-согласие на передачу (предоставление, доступ) персональных данных определенному лицу или определенному кругу лиц.
- Права субъектов персональных данных
4.1. Субъект персональных данных имеет право:
-свободно, своей волей и в своем интересе предоставлять свои персональные данные и давать согласие на их обработку и передачу (предоставление, доступ);
-получать информацию, касающуюся обработки своих персональных данных, в порядке, форме и в сроки, установленные Федеральным законом № 152-ФЗ «О персональных данных». Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами;
-требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для заявленной цели обработки;
-отозвать свое согласие на обработку персональных данных;
-принимать предусмотренные законодательством о персональных данных меры по защите своих прав и законных интересов, в том числе право на возмещение убытков и (или) компенсацию морального вреда в судебном порядке;
-обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке, если считает, что Оператор осуществляет обработку его персональных данных с нарушением требований Федерального закона № 152-ФЗ «О персональных данных» или иным образом нарушает его права и свободы.
Субъект персональных данных обладает и иными правами в соответствии с законодательством, регулирующим отношения, связанные с обработкой персональных данных.
4.2. Согласие на обработку персональных данных может быть отозвано Субъектом персональных данных, путем направления Оператору соответствующего заявления на электронную почту Оператора: sales@etc-progress.ru.
- Цели сбора персональных данных, категории и перечень обрабатываемых персональных данных, категории субъектов персональных данных
5.1. Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
5.2. Цели обработки персональных данных происходят в том числе из анализа правовых актов, регламентирующих деятельность Оператора, целей фактически осуществляемой Оператором деятельности, а также деятельности, которая предусмотрена учредительными документами Оператора.
5.3. Обработка персональных данных должна осуществляться с соблюдением принципов и правил в случаях, предусмотренных статьей 6 Федерального закона № 152-ФЗ «О персональных данных».
5.4. Оператором осуществляется обработка персональных данных следующих категорий субъектов персональных данных:
Таблица №1:
| № пункта | Субъекты ПД | Цели обработки ПД |
| 1. | Работники, уволенные работники, родственники работников | Ведение кадрового и бухгалтерского учета |
| 2. | Работники, уволенные работники | Обеспечение соблюдения трудового законодательства |
| 3. | Работники, контрагенты, клиенты | Обеспечение соблюдения налогового законодательства |
| 4. | Работники | Обеспечение соблюдения пенсионного законодательства |
| 5. | Контрагенты, представители контрагентов, клиенты | Подготовка, заключение и исполнение гражданско-правового договора |
| 6. | Посетители сайта | Продвижение товаров, работ, услуг на рынке |
| 7. | Кандидаты (соискатели) | Подбор персонала (соискателей) на вакантные должности Оператора |
| 8. | Работники, соискатели, контрагенты, представители контрагентов | Обеспечение пропускного режима |
| 9. | Работники, соискатели, контрагенты, представители контрагентов | Обеспечение видеонаблюдениия за производственными процессами |
5.4.1. В целях, указанных в пункте №1, таблицы №1 настоящего Положения, обрабатываются следующие категории персональных данных субъектов персональных данных: ФИО, год рождения, месяц рождения, дата рождения, место рождения, семейное положение, доходы, пол, адрес электронной почты, адрес места жительства, адрес регистрации, номер телефона, СНИЛС, ИНН, гражданство, данные документа, удостоверяющего личность, номер расчетного счета, профессия, должность, сведения о трудовой (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации), отношение к воинской обязанности, сведения о воинском учете, сведения об образовании.
5.4.2. В целях, указанных в пункте №2, таблицы №1 настоящего Положения, обрабатываются следующие категории персональных данных субъектов персональных данных: ФИО, год рождения, месяц рождения, дата рождения, место рождения, семейное положение, пол, адрес электронной почты, адрес регистрации, номер телефона, СНИЛС, ИНН, гражданство, данные документа, удостоверяющего личность, номер расчетного счета, профессия, должность, сведения о трудовой (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации), сведения об образовании.
5.4.3. В целях, указанных в пункте №3, таблицы №1 настоящего Положения, обрабатываются следующие категории персональных данных субъектов персональных данных: ФИО, год рождения, месяц рождения, дата рождения, место рождения, семейное положение, доходы, пол, адрес электронной почты, адрес регистрации, номер телефона, СНИЛС, ИНН, гражданство, данные документа, удостоверяющего личность, номер расчетного счета, должность, сведения о трудовой (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации.
5.4.4. В целях, указанных в пункте №4, таблицы №1 настоящего Положения, обрабатываются следующие категории персональных данных субъектов персональных данных: ФИО, год рождения, месяц рождения, дата рождения, место рождения, пол, адрес регистрации, СНИЛС, ИНН, данные документа, удостоверяющего личность, номер расчетного счета, профессия.
5.4.5. В целях, указанных в пункте №5, таблицы №1 настоящего Положения, обрабатываются следующие категории персональных данных субъектов персональных данных: ФИО, год рождения, месяц рождения, дата рождения, место рождения, адрес электронной почты, адрес регистрации, номер телефона, СНИЛС, ИНН, данные документа, удостоверяющего личность, номер расчетного счета, номер лицевого счета, должность.
5.4.6. В целях, указанных в пункте №6, таблицы №1 настоящего Положения, обрабатываются следующие категории персональных данных субъектов персональных данных: ФИО, адрес электронной почты, номер телефона.
5.4.7. В целях, указанных в пункте №7, таблицы №1 настоящего Положения, обрабатываются следующие категории персональных данных субъектов персональных данных: ФИО, год рождения, месяц рождения, дата рождения, пол, адрес электронной почты, номер телефона, сведения об образовании.
5.4.8. В целях, указанных в пункте №8, таблицы №1 настоящего Положения, обрабатываются следующие категории персональных данных субъектов персональных данных: ФИО, номер телефона, должность.
5.4.9. В целях, указанных в пункте №9, таблицы №1 настоящего Положения, обрабатываются следующие категории персональных данных субъектов персональных данных: ФИО, номер телефона, видеоизображение, должность.
5.5. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, допускается в случаях, предусмотренных частями 2 и 2.1. статьи 10 Федерального закона № 152-ФЗ «О персональных данных».
- Способы, сроки обработки и хранения персональных данных
6.1. Оператор осуществляет обработку персональных данных с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение персональных данных.
6.2. Обработка персональных данных осуществляется с соблюдением принципов и правил, предусмотренных Федеральным законом «О персональных данных».
6.3. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных.
6.4. При осуществлении хранения персональных данных Оператор персональных данных обязан использовать базы данных, находящиеся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Федерального закона «О персональных данных».
6.5. Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, истечение срока действия согласия или отзыв согласия субъекта персональных данных на обработку его персональных данных, а также выявление неправомерной обработки персональных данных.
6.6. Конфиденциальность персональных данных
Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено Федеральным законом.
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения/передачи, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения/передачи.
Распространение/Передача (предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должны быть прекращены в любое время по требованию субъекта персональных данных. Данное требование направляется на электронную почту Оператора: sales@etc-progress.ru.
6.7. Меры по защите персональных данных
Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
- Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным
7.1. Оператор обязан сообщить в порядке, предусмотренном статьей 14 Федерального закона «О персональных данных», субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение 10 (десяти) дней с даты получения запроса субъекта персональных данных или его представителя.
7.2. Оператор обязан уничтожить персональные данные субъекта (или обеспечить их уничтожение):
-при представлении субъектом персональных данных (или его представителем) сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, - в течение 7 рабочих дней со дня представления таких сведений (ч. 1 ст. 14, ч. 3 ст. 20 Закона N 152-ФЗ);
-при выявлении неправомерной обработки персональных данных, если невозможно обеспечить ее правомерность, - в течение 10 рабочих дней с даты выявления неправомерной обработки персональных данных (ч. 3 ст. 21 Закона N 152-ФЗ);
-при достижении цели обработки персональных данных - в течение 30 дней с даты достижения цели обработки персональных данных (ч. 4 ст. 21 Закона N 152-ФЗ);
-при отзыве субъектом персональных данных согласия на обработку его персональных данных, если их сохранение более не требуется для целей обработки персональных данных, - в течение 30 дней с даты поступления указанного отзыва (ч. 5 ст. 21 Закона N 152-ФЗ);
-при обращении субъекта персональных данных с требованием о прекращении обработки персональных данных - в срок не более 10 рабочих дней со дня получения такого требования, за исключением отдельных случаев. Данный срок может быть продлен, но не более чем на 5 рабочих дней (ч. 5.1 ст. 21 Закона N 152-ФЗ).
7.3. При достижении цели обработки персональных данных и/или при отзыве субъектом персональных данных согласия на обработку его персональных данных может применяться другой срок для уничтожения персональных данных субъекта, если (ч. 7 ст. 5, ч. 4, 5 ст. 21 Закона N 152-ФЗ):
-он предусмотрен договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
-он предусмотрен иным соглашением между оператором и субъектом персональных данных;
-если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом N 152-ФЗ или другими федеральными законами.
7.4. В случае отсутствия возможности уничтожения персональных данных в течение указанного срока Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и обеспечивает уничтожение персональных данных в срок не более чем 6 (шесть) месяцев, если иной срок не установлен федеральными законами.
7.5. Оператор организует удаление/уничтожение персональных данных, обрабатываемых автоматизированным способом или без использования средств автоматизации. Персональные данные удаляются с электронных носителей методами и средствами гарантированного удаления информации или уничтожаются путем механического нарушения целостности носителя персональных данных, не позволяющего произвести считывание или восстановление персональных данных. Персональные данные удаляются с неэлектронных носителей (бумажных) путем шредерирования, не позволяющего произвести считывание или восстановление персональных данных.
7.6. Носители, содержащие персональные данные субъектов персональных данных, уничтожаются комиссией по уничтожению персональных данных, утвержденной приказом Руководителя Оператора (далее – Комиссия). Комиссия производит отбор носителей персональных данных, подлежащих уничтожению. На все отобранные к уничтожению носители составляется акт о об уничтожении носителей, содержащих персональные данные. Акт об уничтожении носителей, содержащих персональные данные субъектов персональных данных подписывается всеми членами Комиссии и утверждается Руководителем Оператора. Уничтожение носителей, содержащих персональные данные субъектов персональных данных, производится после утверждения акта в присутствии всех членов Комиссии. Факт уничтожения носителей, содержащих персональные данные субъектов персональных данных, фиксируется в журнале учета уничтожения носителей персональных данных. Данный документ вместе с актом об уничтожении носителей, содержащих персональные данные хранится у Оператора в течение трех лет.
7.7. Оператор обеспечивает соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки и в случае необходимости принимает меры по устранению их избыточности по отношению к заявленным целям обработки.
7.8. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, Оператором не осуществляется.
- Меры, направленные на обеспечение выполнения Оператором своих обязанностей по обработке персональных данных
8.1. При обработке ПД Оператор предпринимает необходимые правовые, организационные и технические меры для обеспечения безопасности ПД от случайного или несанкционированного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПД, а также от других неправомерных действий в отношении ПД, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и подзаконными актами в области защиты ПД.
В ООО “Прогресс” определены и реализуются следующие требования законодательства в области защиты ПД:
-требования о соблюдении конфиденциальности ПД;
-требования к защите ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении ПД;
-требования об обязанности Оператора при сборе ПД, установленных ст. 18-19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
8.2. В соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» Оператор определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных законодательством в области ПД, в частности:
-назначены ответственные за обработку и защиту ПД;
-определены мероприятия, в случае нарушения правил обработки ПД;
-ведется учет машинных носителей ПД;
-применяются средства защиты информации, прошедшие в установленном порядке процедуру оценки соответствия, для нейтрализации актуальных угроз безопасности;
-изданы локальные акты по вопросам обработки ПД, уничтожения носителей персональных данных, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации в области обработки ПД, процедуры, направленные на устранение последствий таких нарушений;
-проводится ознакомление работников, допущенных к обработке ПД субъектов ПД, с требованиями, установленными действующим законодательством Российской Федерации в области ПД, настоящей Политикой, а также локальными нормативными актами Оператора;
-организована надлежащая обработка ПД, осуществляемая с использованием средств автоматизации;
-организован надлежащий порядок работы с ПД, осуществляемый без средств автоматизации;
-осуществляется внутренний контроль соответствия обработки ПД Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных».
- Уведомление уполномоченного органа по защите прав субъектов персональных данных
В случаях, установленных Федеральным законом № 152-ФЗ «О персональных данных», Оператор направляет уведомление об обработке персональных данных в уполномоченный орган по защите прав субъектов персональных данных.
В случае изменений сведений об обработке персональных данных Оператор уведомляет об этом уполномоченный орган по защите прав субъектов персональных данных в порядке и сроки, установленные частью 7 статьи 22 Федерального закона № 152-ФЗ «О персональных данных».
В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Оператор с момента выявления такого инцидента, уведомляет уполномоченный орган по защите прав субъектов персональных данных:
- в течение 24 (двадцати четырех) часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
- в течение 72 (семидесяти двух) часов о результатах внутреннего расследования выявленного инцидента, а также о лицах, действия которых стали причиной выявленного инцидента (при наличии).
Оператор сообщает по запросу уполномоченного органа по защите прав субъектов персональных данных необходимую информацию в течение 10 (десяти) рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Оператором в адрес уполномоченного органа по защите прав субъектов персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
- Ответственность за нарушение законодательства о персональных данных
10.1. Лица, виновные в нарушении требований Федерального закона «О персональных данных», несут предусмотренную законодательством Российской Федерации ответственность.
10.2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных Федеральным законом «О персональных данных», а также требований к защите персональных данных, установленных в соответствии с Федеральным законом «О персональных данных», подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
10.3. Лицо, ответственное за организацию обработки персональных данных, назначается приказом и действует в соответствии с Инструкцией ответственного за организацию обработки персональных данных.
Оператор предоставляет лицу, ответственному за организацию обработки персональных данных, необходимые сведения.
10.4. Функции ответственного лица:
-осуществляет внутренний контроль за соблюдением Оператором и работниками Оператора законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
-доводит до сведения работников Оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
-организовывает прием и обработку обращений и запросов субъектов персональных данных или их представителей и осуществляет контроль за приемом и обработкой таких обращений и запросов.
- Заключительные положения
11.1. Политика подлежит пересмотру в ходе периодического анализа Оператором, а также в случаях изменения законодательства Российской Федерации в области персональных данных.
- Внутренний контроль за исполнением требований настоящей Политики осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных в Обществе.
Связь с ООО “Прогресс” ИНН 5406974170 осуществляется по адресу: 630005, Новосибирская область, г. Новосибирск, ул. Салтыкова-Щедрина, д. 128, электронная почта: sales@etc-progress.ru., телефон: (383)248-4722.