0
Политика обработки персональных данных
Настоящая Политика обработки персональных данных в ИП Гайдукова Виктория Юрьевна (далее – Политика) разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) и подзаконных актов, а также в соответствии с иными федеральными законами и подзаконными актами Российской Федерации, определяющими случаи и особенности обработки персональных данных и обеспечения безопасности и конфиденциальности персональных данных.
Политика разработана в целях реализации требований законодательства в области обработки и обеспечения безопасности персональных данных и назначение Политики – обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных у ИП.
Политика определяет:
Положения Политики являются обязательными для исполнения всеми работниками ИП , имеющими доступ к персональным данным. Ознакомление работников ИП , с положениями Политики осуществляется под подпись.
Политика должна быть размещена на веб-сайте Индивидуального предпринимателя – http://www.lienajur.ru/ для неограниченного доступа посетителями веб-сайта.
Обеспечение необходимого и достаточного уровня информационной безопасности информационных активов ИП , к которым в обязательном порядке относятся персональные данные, является важнейшим условием реализации целей деятельности ИП.
Необходимый и достаточный уровень кибербезопасности определяется ИП , исходя из перечня актуальных угроз персональных данных, обрабатываемых Индивидуальным предпринимателем и установленными в соответствии с этим перечнем уровнями защищённости персональных данных.
Политика разработана в целях реализации требований законодательства в области обработки и обеспечения безопасности персональных данных и назначение Политики – обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных у ИП.
Политика определяет:
- принципы обработки персональных данных;
- цели, правовые основания и способы обработки персональных данных;
- права и обязанности ИП Гайдукова Виктория Юрьевна (ОГРНИП 324774600138139 , ИНН 300100033382 ) (далее – Индивидуальный предприниматель ) и субъектов персональных данных;
- конфиденциальность и безопасность персональных данных.
Положения Политики являются обязательными для исполнения всеми работниками ИП , имеющими доступ к персональным данным. Ознакомление работников ИП , с положениями Политики осуществляется под подпись.
Политика должна быть размещена на веб-сайте Индивидуального предпринимателя – http://www.lienajur.ru/ для неограниченного доступа посетителями веб-сайта.
Обеспечение необходимого и достаточного уровня информационной безопасности информационных активов ИП , к которым в обязательном порядке относятся персональные данные, является важнейшим условием реализации целей деятельности ИП.
Необходимый и достаточный уровень кибербезопасности определяется ИП , исходя из перечня актуальных угроз персональных данных, обрабатываемых Индивидуальным предпринимателем и установленными в соответствии с этим перечнем уровнями защищённости персональных данных.
2.1. Автоматизированная обработка персональных данных
Обработка персональных данных с помощью средств вычислительной техники
2.2. Блокирование персональных данных Временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных)
2.3. Информационные активы Данные, представленные на любом носителе в форме, которые имеют ценность для Индивидуального предпринимателя (ИП) и находятся в ее распоряжении
2.4. Информационная безопасность (ИБ) Свойство информационных ресурсов сохранять конфиденциальность, целостность и доступность
2.5. Информационные ресурсы Любая зафиксированная на каком-либо носителе информация и обеспечивающие её обработку технологии
2.6. Информационная система персональных данных (ИСПДн) Совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств
2.7. Индивидуальный предприниматель (ИП) И П Гайдукова Виктория Юрьевна (ОГРНИП 324 774 600 138 139, ИНН 300 100 033 382)
2.8. Конфиденциальность персональных данных Обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания
2.9. Кибербезопасность Обеспечение защищенности киберпространства, в котором функционирует бизнес, которое достигается применением набора средств, методов, принципов, направленных на противодействие угрозам в киберпространстве и минимизацию последствий от их реализации
2.10. Надзорный орган Орган, уполномоченный на осуществление государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации о персональных данных (Роскомнадзор)
2.11. Обработка персональных данных Любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение персональных данных
2.12. Оператор Государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными
2.13. Персональные данные (ПДн) Любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)
2.14. Предоставление персональных данных Действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц
2.15. Распространение персональных данных Действия, направленные на раскрытие персональных данных неопределенному кругу лиц
2.16. Субъект персональных данных Физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных
2.17. Трансграничная передача персональных данных Передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу
2.18. Уничтожение персональных данных Действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных
2.19. Юридическое лицо и/или индивидуальный предприниматель, оказывающий по договору с ИП услуги по доставке заказов Клиентам, включая, но не ограничиваясь:
ООО «СДЭК-Глобал» (ОГРН 1 157 746 448 463),
АО «Почта России» (ОГРН 1 197 746 000 000),
ООО «Яндекс Доставка (ОГРН 5 137 746 103 677), ООО «Портал» Достависта (ОГРН 1 147 746 136 713), ООО «Далли Сервис» (ОГРН 1 137 746 670 930), а также иные службы доставки, привлекаемые Индивидуальным предпринимателем, для исполнения обязательств по доставке заказов.
2.2. Блокирование персональных данных Временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных)
2.3. Информационные активы Данные, представленные на любом носителе в форме, которые имеют ценность для Индивидуального предпринимателя (ИП) и находятся в ее распоряжении
2.4. Информационная безопасность (ИБ) Свойство информационных ресурсов сохранять конфиденциальность, целостность и доступность
2.5. Информационные ресурсы Любая зафиксированная на каком-либо носителе информация и обеспечивающие её обработку технологии
2.6. Информационная система персональных данных (ИСПДн) Совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств
2.7. Индивидуальный предприниматель (ИП) И П Гайдукова Виктория Юрьевна (ОГРНИП 324 774 600 138 139, ИНН 300 100 033 382)
2.8. Конфиденциальность персональных данных Обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания
2.9. Кибербезопасность Обеспечение защищенности киберпространства, в котором функционирует бизнес, которое достигается применением набора средств, методов, принципов, направленных на противодействие угрозам в киберпространстве и минимизацию последствий от их реализации
2.10. Надзорный орган Орган, уполномоченный на осуществление государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации о персональных данных (Роскомнадзор)
2.11. Обработка персональных данных Любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение персональных данных
2.12. Оператор Государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными
2.13. Персональные данные (ПДн) Любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)
2.14. Предоставление персональных данных Действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц
2.15. Распространение персональных данных Действия, направленные на раскрытие персональных данных неопределенному кругу лиц
2.16. Субъект персональных данных Физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных
2.17. Трансграничная передача персональных данных Передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу
2.18. Уничтожение персональных данных Действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных
2.19. Юридическое лицо и/или индивидуальный предприниматель, оказывающий по договору с ИП услуги по доставке заказов Клиентам, включая, но не ограничиваясь:
ООО «СДЭК-Глобал» (ОГРН 1 157 746 448 463),
АО «Почта России» (ОГРН 1 197 746 000 000),
ООО «Яндекс Доставка (ОГРН 5 137 746 103 677), ООО «Портал» Достависта (ОГРН 1 147 746 136 713), ООО «Далли Сервис» (ОГРН 1 137 746 670 930), а также иные службы доставки, привлекаемые Индивидуальным предпринимателем, для исполнения обязательств по доставке заказов.
Обработка персональных данных у ИП , осуществляется с соблюдением следующих принципов, установленных законодательством Российской Федерации:
обработка персональных данных осуществляется на законной и справедливой основе;
обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;
не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
обработке подлежат только персональные данные, которые отвечают целям их обработки;
содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки персональных данных и не должны быть избыточными по отношению к заявленным целям их обработки;
при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных.
Индивидуальный предприниматель ( ИП) принимает необходимые меры по удалению или уточнению неполных и (или) неточных данных; хранение персональных данных в форме, позволяющей определить субъекта персональных данных, осуществляется не дольше, чем этого требуют цели их обработки, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого является субъект персональных данных; обрабатываемые персональные данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации.
Индивидуальный предприниматель ( ИП) принимает необходимые меры по удалению или уточнению неполных и (или) неточных данных; хранение персональных данных в форме, позволяющей определить субъекта персональных данных, осуществляется не дольше, чем этого требуют цели их обработки, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого является субъект персональных данных; обрабатываемые персональные данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации.
Для всех нижеперечисленных целей категория обрабатываемых ПДн — «Иные». Тип обработки — смешанная (с использованием средств автоматизации и без них). Перечень действий: весь спектр операций по п. 1.2.
Блок А. Взаимодействие с соискателями и кадровый резерв
Цель №1: Поиск и подбор в целях трудоустройства кандидатов на замещение вакантных должностей.
Субъекты: Соискатели; рекомендатели; участники кадрового резерва; работники; уволенные работники; внештатный персонал; стажеры; представители контрагентов; контрагенты (физлица); грузоотправители/грузополучатели.
Основание: Согласие субъекта ПДн.Особенности: Передача данных осуществляется в том числе по сети Интернет.Состав ПДн: ФИО (в т.ч. предыдущие);
пол; дата и место рождения;
данные паспорта; гражданство; данные об образовании и квалификации; сведения о трудовой деятельности и занятости; семейное положение; отношение к воинской обязанности; сведения о доп. образовании; место жительства; сведения о ближайших родственниках (степень родства, контакты); ИНН; сведения об ИП/долях в ООО; номер телефона; e-mail; ссылки на соцсети/мессенджеры; сведения о судимости; фото; разрешительные документы для иностранных граждан (патент, РВП, ВНЖ).
Срок хранения: До достижения цели обработки или до отзыва согласия.
Цель №2: Формирование и ведение кадрового реестра/резерва в целях подбора кандидатов.
Субъекты: Соискатели; рекомендатели; члены семьи и родственники соискателей; участники кадрового резерва.
Основание: Согласие субъекта ПДн.Особенности: Передача данных осуществляется по сети Интернет.Состав ПДн: ФИО (в т.ч. предыдущие); пол; дата и место рождения; данные паспорта; гражданство; данные об образовании и квалификации; сведения о трудовой деятельности; семейное положение; воинский учет; доп. образование; место жительства; ИНН; телефон; e-mail; ссылки на соцсети/мессенджеры.
Срок хранения: До достижения цели обработки или до отзыва согласия.
Цель №3: Проверка благонадежности соискателей (управление рисками, комплаенс, проверка достоверности сведений).Субъекты: Соискатели на замещение вакантных должностей.Основание: Согласие субъекта; выполнение возложенных законодательством РФ на Компанию функций и обязанностей.Состав ПДн: Весь состав Цели №1 + сведения о наградах, поощрениях, взысканиях; социальные гарантии/льготы; адрес регистрации; СНИЛС; сведения об инвалидности (не связанные со здоровьем); сведения об исполнительных листах/судебных приказах (в т.ч. алименты).
Срок хранения: До достижения цели обработки.Блок Б. Кадровый учет и трудовые отношения
Цель №4: Управление трудовыми взаимоотношениями, оформление ЭП, доверенностей, организация командировок и служебных поездок (включая бронирование и путевые листы).Субъекты: Работники; уволенные работники; стажеры (практиканты); родственники работников.
Основание: Согласие субъекта; выполнение возложенных законодательством РФ на ИП функций и обязанностей.Состав ПДн: ФИО (в т.ч. предыдущие); пол; дата и место рождения; паспортные данные; гражданство; образование; занимаемая должность; сведения о трудовой деятельности; семейное положение; воинский учет; банковские реквизиты; данные о вознаграждениях; доп. образование; награды/взыскания; сведения об отпусках; льготы; адрес регистрации и места жительства; дееспособность/временная нетрудоспособность; данные о родственниках (родство, место работы/учебы); ИНН; СНИЛС; налоговый статус; телефон; e-mail; ссылки на соцсети; судимости; фото; документы иностранных граждан (патент, РВП, ВНЖ); реквизиты полиса ДМС; водительское удостоверение.Срок хранения: Для кадровых документов по личному составу: 75 лет (для исполненных до 01.01.2003) и 50 лет (для исполненных после 01.01.2003).
Блок А. Взаимодействие с соискателями и кадровый резерв
Цель №1: Поиск и подбор в целях трудоустройства кандидатов на замещение вакантных должностей.
Субъекты: Соискатели; рекомендатели; участники кадрового резерва; работники; уволенные работники; внештатный персонал; стажеры; представители контрагентов; контрагенты (физлица); грузоотправители/грузополучатели.
Основание: Согласие субъекта ПДн.Особенности: Передача данных осуществляется в том числе по сети Интернет.Состав ПДн: ФИО (в т.ч. предыдущие);
пол; дата и место рождения;
данные паспорта; гражданство; данные об образовании и квалификации; сведения о трудовой деятельности и занятости; семейное положение; отношение к воинской обязанности; сведения о доп. образовании; место жительства; сведения о ближайших родственниках (степень родства, контакты); ИНН; сведения об ИП/долях в ООО; номер телефона; e-mail; ссылки на соцсети/мессенджеры; сведения о судимости; фото; разрешительные документы для иностранных граждан (патент, РВП, ВНЖ).
Срок хранения: До достижения цели обработки или до отзыва согласия.
Цель №2: Формирование и ведение кадрового реестра/резерва в целях подбора кандидатов.
Субъекты: Соискатели; рекомендатели; члены семьи и родственники соискателей; участники кадрового резерва.
Основание: Согласие субъекта ПДн.Особенности: Передача данных осуществляется по сети Интернет.Состав ПДн: ФИО (в т.ч. предыдущие); пол; дата и место рождения; данные паспорта; гражданство; данные об образовании и квалификации; сведения о трудовой деятельности; семейное положение; воинский учет; доп. образование; место жительства; ИНН; телефон; e-mail; ссылки на соцсети/мессенджеры.
Срок хранения: До достижения цели обработки или до отзыва согласия.
Цель №3: Проверка благонадежности соискателей (управление рисками, комплаенс, проверка достоверности сведений).Субъекты: Соискатели на замещение вакантных должностей.Основание: Согласие субъекта; выполнение возложенных законодательством РФ на Компанию функций и обязанностей.Состав ПДн: Весь состав Цели №1 + сведения о наградах, поощрениях, взысканиях; социальные гарантии/льготы; адрес регистрации; СНИЛС; сведения об инвалидности (не связанные со здоровьем); сведения об исполнительных листах/судебных приказах (в т.ч. алименты).
Срок хранения: До достижения цели обработки.Блок Б. Кадровый учет и трудовые отношения
Цель №4: Управление трудовыми взаимоотношениями, оформление ЭП, доверенностей, организация командировок и служебных поездок (включая бронирование и путевые листы).Субъекты: Работники; уволенные работники; стажеры (практиканты); родственники работников.
Основание: Согласие субъекта; выполнение возложенных законодательством РФ на ИП функций и обязанностей.Состав ПДн: ФИО (в т.ч. предыдущие); пол; дата и место рождения; паспортные данные; гражданство; образование; занимаемая должность; сведения о трудовой деятельности; семейное положение; воинский учет; банковские реквизиты; данные о вознаграждениях; доп. образование; награды/взыскания; сведения об отпусках; льготы; адрес регистрации и места жительства; дееспособность/временная нетрудоспособность; данные о родственниках (родство, место работы/учебы); ИНН; СНИЛС; налоговый статус; телефон; e-mail; ссылки на соцсети; судимости; фото; документы иностранных граждан (патент, РВП, ВНЖ); реквизиты полиса ДМС; водительское удостоверение.Срок хранения: Для кадровых документов по личному составу: 75 лет (для исполненных до 01.01.2003) и 50 лет (для исполненных после 01.01.2003).
Цель №5: Планирование работы персонала, управление производительностью, мониторинг количества и качества работы, рационального использования времени, оценка исполнения обязанностей.
Субъекты: Работники Компании; стажеры (практиканты).
Основание: Согласие субъекта ПДн.
Состав ПДн: ФИО; данные о должности; сведения о трудовой деятельности; данные о начислениях/выплатах; сведения о доп. образовании; награды и взыскания; данные об отпусках; дееспособность/временная нетрудоспособность.
Срок хранения: До достижения цели обработки.
Цель №6: Рассмотрение и разрешение трудовых споров, конфликтов, контроль дисциплины и безопасности, сохранность активов, привлечение к ответственности, судебное и внесудебное урегулирование.
Субъекты: Работники; уволенные работники; внештатный персонал; стажеры.
Основание: Согласие субъекта ПДн.
Состав ПДн: ФИО (в т.ч. предыдущие); пол; дата и место рождения; паспортные данные; гражданство; образование; должность; трудовая деятельность; семейное положение; банковские реквизиты; начисления/выплаты; доп. образование; награды/взыскания; отпуска; льготы; адрес регистрации и жительства; дееспособность/нетрудоспособность; данные о родственниках; ИНН; СНИЛС; телефон; e-mail; ссылки на соцсети; фотоматериалы.
Срок хранения: До достижения цели обработки.
Цель №7: Расчет и выплата заработной платы, премий, бонусов, пособий, компенсаций, матпомощи, предоставление налоговых вычетов, удержания по закону.
Субъекты: Работники; уволенные работники; внештатный персонал; стажеры; выгодоприобретатели/получатели выплат работников.
Основание: Согласие субъекта; исполнение договора (стороной/бенефициаром которого является субъект) или заключение договора по инициативе субъекта.
Состав ПДн: ФИО; данные о должности и трудовой деятельности; банковские реквизиты; данные о начислениях и выплатах; награды/взыскания; отпуска; льготы; дееспособность/нетрудоспособность; телефон; e-mail.
Срок хранения: До достижения цели обработки.
Цель №8: Информационное обеспечение, повышение эффективности коммуникаций (визитки, внутренний справочник), организация рабочих, развлекательных, общественных и благотворительных мероприятий.
Субъекты: Работники; внештатный персонал; стажеры; работники ГК и аффилированных лиц; представители контрагентов; контрагенты (физлица).
Основание: Согласие субъекта ПДн.
Состав ПДн: ФИО; данные о должности; e-mail; номер телефона; ссылки на соцсети/мессенджеры.
Срок хранения: До достижения цели обработки.
Субъекты: Работники Компании; стажеры (практиканты).
Основание: Согласие субъекта ПДн.
Состав ПДн: ФИО; данные о должности; сведения о трудовой деятельности; данные о начислениях/выплатах; сведения о доп. образовании; награды и взыскания; данные об отпусках; дееспособность/временная нетрудоспособность.
Срок хранения: До достижения цели обработки.
Цель №6: Рассмотрение и разрешение трудовых споров, конфликтов, контроль дисциплины и безопасности, сохранность активов, привлечение к ответственности, судебное и внесудебное урегулирование.
Субъекты: Работники; уволенные работники; внештатный персонал; стажеры.
Основание: Согласие субъекта ПДн.
Состав ПДн: ФИО (в т.ч. предыдущие); пол; дата и место рождения; паспортные данные; гражданство; образование; должность; трудовая деятельность; семейное положение; банковские реквизиты; начисления/выплаты; доп. образование; награды/взыскания; отпуска; льготы; адрес регистрации и жительства; дееспособность/нетрудоспособность; данные о родственниках; ИНН; СНИЛС; телефон; e-mail; ссылки на соцсети; фотоматериалы.
Срок хранения: До достижения цели обработки.
Цель №7: Расчет и выплата заработной платы, премий, бонусов, пособий, компенсаций, матпомощи, предоставление налоговых вычетов, удержания по закону.
Субъекты: Работники; уволенные работники; внештатный персонал; стажеры; выгодоприобретатели/получатели выплат работников.
Основание: Согласие субъекта; исполнение договора (стороной/бенефициаром которого является субъект) или заключение договора по инициативе субъекта.
Состав ПДн: ФИО; данные о должности и трудовой деятельности; банковские реквизиты; данные о начислениях и выплатах; награды/взыскания; отпуска; льготы; дееспособность/нетрудоспособность; телефон; e-mail.
Срок хранения: До достижения цели обработки.
Цель №8: Информационное обеспечение, повышение эффективности коммуникаций (визитки, внутренний справочник), организация рабочих, развлекательных, общественных и благотворительных мероприятий.
Субъекты: Работники; внештатный персонал; стажеры; работники ГК и аффилированных лиц; представители контрагентов; контрагенты (физлица).
Основание: Согласие субъекта ПДн.
Состав ПДн: ФИО; данные о должности; e-mail; номер телефона; ссылки на соцсети/мессенджеры.
Срок хранения: До достижения цели обработки.
Цель №9: Организация и проведение обучения, повышения квалификации, переподготовки, аттестация, проверка знаний, проведение интервью.
Субъекты: Работники ИП ; стажеры (практиканты).
Основание: Исполнение договора (стороной/бенефициаром которого является субъект) или заключение договора по инициативе субъекта.
Состав ПДн: ФИО; данные об образовании; данные о должности; данные о доп. образовании; e-mail; номер телефона.
Срок хранения: До достижения цели обработки.
Цель №10: Организация медосмотров, экспертиз профпригодности, освидетельствований, расследование и предупреждение профзаболеваний и производственного травматизма.
Субъекты: Работники ИП .
Основание: Выполнение возложенных законодательством РФ на ИП функций, полномочий и обязанностей.
Состав ПДн: ФИО; пол; дата и место рождения; паспортные данные; должность; дееспособность/временная нетрудоспособность; данные полиса ОМС; e-mail; телефон; сведения об инвалидности (не связанные с состоянием здоровья).
Срок хранения: До достижения цели обработки.
Блок В. Обеспечение безопасности и хозяйственная деятельность
Цель №11: Обеспечение внутриобъектового и пропускного режима на объектах недвижимости.
Субъекты: Работники ИП ; посетители объектов.
Основание: Осуществление прав и законных интересов оператора или третьих лиц.
Состав ПДн: ФИО; данные документа, удостоверяющего личность; номер и марка автомобиля.
Срок хранения: До достижения цели обработки.
Цель №12: Ведение договорной работы (заключение, исполнение, прекращение договоров с контрагентами), расчеты, бухгалтерский и налоговый учет, делопроизводство, документооборот, юридическая переписка.
Субъекты: Внештатный персонал; представители контрагентов; контрагенты (физлица).
Основание: Исполнение договора (стороной/бенефициаром которого является субъект) или заключение договора по инициативе субъекта.
Состав ПДн: ФИО; паспортные данные; должность; банковские реквизиты; данные о начислениях/выплатах; адрес регистрации; ИНН; данные об ИП/долях в юрлицах; телефон; e-mail.
Срок хранения: До достижения цели обработки.
Блок Г. Взаимодействие с клиентами, маркетинг и работа ИТ-ресурсов
Цель №13: Обеспечение корректной работы веб-сайта и мобильного приложения, персонализация пользовательского опыта, предоставление адаптированных предложений.
Субъекты: Посетители сайтов; участники маркетинговых программ/программ лояльности; клиенты.
Основание: Согласие субъекта ПДн.
Состав ПДн: ФИО; пол; дата рождения; телефон; e-mail; технические cookie-файлы (IP, mac-адрес…); функциональные cookie-файлы (модель устройства, разрешение экрана…); статистические cookie-файлы (паттерны поведения, источники трафика…); маркетинговые cookie-файлы (данные веб-аналитики…).
Срок хранения: До достижения цели обработки.
Цель №14: Продвижение собственных товаров, работ, услуг и бренда (маркетинговые коммуникации, акции, выдача призов, опросы, оценка эффективности рекламных кампаний).
Субъекты: Посетители сайтов; участники маркетинговых программ/лояльности; лица, оставившие обратную связь; участники мероприятий; посетители объектов; клиенты.
Основание: Согласие субъекта ПДн.
Состав ПДн: ФИО; пол; дата рождения; телефон; e-mail; ссылки на соцсети/мессенджеры; все виды cookie-файлов (технические, функциональные, статистические, маркетинговые).
Срок хранения: До достижения цели обработки.
Цель №15: Информационное взаимодействие (информационные сообщения, обработка входящих запросов, поддержка, анализ обращений, оценка удовлетворенности).
Субъекты: Посетители сайтов; лица, оставившие обратную связь; участники мероприятий; клиенты.
Основание: Согласие субъекта ПДн.
Состав ПДн: ФИО; телефон; e-mail; ссылка на соцсети/мессенджеры; данные, полученные от субъекта и/или необходимые для рассмотрения обращения.
Срок хранения: До достижения цели обработки.
Цель №16: Предоставление товаров, работ или услуг клиентам/потенциальным клиентам (включая сопровождение, информирование, ответы на обращения).
Субъекты: Клиенты.Основание: Согласие субъекта; исполнение договора, стороной которого является субъект ПДн (п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ).Состав ПДн: ФИО; дата рождения; паспортные данные; телефон; e-mail; банковские реквизиты; ссылка на соцсети/мессенджеры; адрес доставки; данные, полученные от субъекта и/или необходимые для рассмотрения обращения.
Срок хранения: До достижения цели обработки.Поручение обработки (передача третьим лицам): В целях исполнения обязательств по доставке заказов ИП вправе передавать ПДн клиентов (ФИО, телефон, адрес доставки) Службам доставки на основании договора. Договор со Службой доставки в обязательном порядке содержит требования к конфиденциальности и безопасности ПДн в соответствии с ч. 3 ст. 6 ФЗ № 152-ФЗ.5.
Субъекты: Работники ИП ; стажеры (практиканты).
Основание: Исполнение договора (стороной/бенефициаром которого является субъект) или заключение договора по инициативе субъекта.
Состав ПДн: ФИО; данные об образовании; данные о должности; данные о доп. образовании; e-mail; номер телефона.
Срок хранения: До достижения цели обработки.
Цель №10: Организация медосмотров, экспертиз профпригодности, освидетельствований, расследование и предупреждение профзаболеваний и производственного травматизма.
Субъекты: Работники ИП .
Основание: Выполнение возложенных законодательством РФ на ИП функций, полномочий и обязанностей.
Состав ПДн: ФИО; пол; дата и место рождения; паспортные данные; должность; дееспособность/временная нетрудоспособность; данные полиса ОМС; e-mail; телефон; сведения об инвалидности (не связанные с состоянием здоровья).
Срок хранения: До достижения цели обработки.
Блок В. Обеспечение безопасности и хозяйственная деятельность
Цель №11: Обеспечение внутриобъектового и пропускного режима на объектах недвижимости.
Субъекты: Работники ИП ; посетители объектов.
Основание: Осуществление прав и законных интересов оператора или третьих лиц.
Состав ПДн: ФИО; данные документа, удостоверяющего личность; номер и марка автомобиля.
Срок хранения: До достижения цели обработки.
Цель №12: Ведение договорной работы (заключение, исполнение, прекращение договоров с контрагентами), расчеты, бухгалтерский и налоговый учет, делопроизводство, документооборот, юридическая переписка.
Субъекты: Внештатный персонал; представители контрагентов; контрагенты (физлица).
Основание: Исполнение договора (стороной/бенефициаром которого является субъект) или заключение договора по инициативе субъекта.
Состав ПДн: ФИО; паспортные данные; должность; банковские реквизиты; данные о начислениях/выплатах; адрес регистрации; ИНН; данные об ИП/долях в юрлицах; телефон; e-mail.
Срок хранения: До достижения цели обработки.
Блок Г. Взаимодействие с клиентами, маркетинг и работа ИТ-ресурсов
Цель №13: Обеспечение корректной работы веб-сайта и мобильного приложения, персонализация пользовательского опыта, предоставление адаптированных предложений.
Субъекты: Посетители сайтов; участники маркетинговых программ/программ лояльности; клиенты.
Основание: Согласие субъекта ПДн.
Состав ПДн: ФИО; пол; дата рождения; телефон; e-mail; технические cookie-файлы (IP, mac-адрес…); функциональные cookie-файлы (модель устройства, разрешение экрана…); статистические cookie-файлы (паттерны поведения, источники трафика…); маркетинговые cookie-файлы (данные веб-аналитики…).
Срок хранения: До достижения цели обработки.
Цель №14: Продвижение собственных товаров, работ, услуг и бренда (маркетинговые коммуникации, акции, выдача призов, опросы, оценка эффективности рекламных кампаний).
Субъекты: Посетители сайтов; участники маркетинговых программ/лояльности; лица, оставившие обратную связь; участники мероприятий; посетители объектов; клиенты.
Основание: Согласие субъекта ПДн.
Состав ПДн: ФИО; пол; дата рождения; телефон; e-mail; ссылки на соцсети/мессенджеры; все виды cookie-файлов (технические, функциональные, статистические, маркетинговые).
Срок хранения: До достижения цели обработки.
Цель №15: Информационное взаимодействие (информационные сообщения, обработка входящих запросов, поддержка, анализ обращений, оценка удовлетворенности).
Субъекты: Посетители сайтов; лица, оставившие обратную связь; участники мероприятий; клиенты.
Основание: Согласие субъекта ПДн.
Состав ПДн: ФИО; телефон; e-mail; ссылка на соцсети/мессенджеры; данные, полученные от субъекта и/или необходимые для рассмотрения обращения.
Срок хранения: До достижения цели обработки.
Цель №16: Предоставление товаров, работ или услуг клиентам/потенциальным клиентам (включая сопровождение, информирование, ответы на обращения).
Субъекты: Клиенты.Основание: Согласие субъекта; исполнение договора, стороной которого является субъект ПДн (п. 5 ч. 1 ст. 6 ФЗ № 152-ФЗ).Состав ПДн: ФИО; дата рождения; паспортные данные; телефон; e-mail; банковские реквизиты; ссылка на соцсети/мессенджеры; адрес доставки; данные, полученные от субъекта и/или необходимые для рассмотрения обращения.
Срок хранения: До достижения цели обработки.Поручение обработки (передача третьим лицам): В целях исполнения обязательств по доставке заказов ИП вправе передавать ПДн клиентов (ФИО, телефон, адрес доставки) Службам доставки на основании договора. Договор со Службой доставки в обязательном порядке содержит требования к конфиденциальности и безопасности ПДн в соответствии с ч. 3 ст. 6 ФЗ № 152-ФЗ.5.
5.1. Достижение целей обработки.
5. 2. Истечение срока действия согласия.
5. 3. Отзыв согласия субъектом ПД.
5. 4. Выявление неправомерной обработки данных.
5.5. Если субъект отзывает свое согласие, Компания может продолжить обработку без него, если:
5. 6. Это необходимо для исполнения договора, где субъект является стороной, выгодоприобретателем или поручителем.
5.7. Это предусмотрено иным соглашением между сторонами.
5.8. У Компании есть другие законные основания для обработки в соответствии с ФЗ № 152 или иными федеральными законами.
5. 2. Истечение срока действия согласия.
5. 3. Отзыв согласия субъектом ПД.
5. 4. Выявление неправомерной обработки данных.
5.5. Если субъект отзывает свое согласие, Компания может продолжить обработку без него, если:
5. 6. Это необходимо для исполнения договора, где субъект является стороной, выгодоприобретателем или поручителем.
5.7. Это предусмотрено иным соглашением между сторонами.
5.8. У Компании есть другие законные основания для обработки в соответствии с ФЗ № 152 или иными федеральными законами.
6.1. Базовые условия передачи
Индивидуальный предприниматель может передавать ПД за рубеж исключительно при соблюдении двух условий:
1. Получено согласие субъекта ПД.
2. Выполнены все требования законодательства.
6.2. Классификация стран и правила начала передачи
До начала передачи Индивидуальный предприниматель обязан убедиться, что принимающее государство обеспечивает адекватную защиту прав субъектов. Страны с адекватной защитой (участники Конвенции Совета Европы или государства из утвержденного перечня Роскомнадзора).
Правило: Передачу можно начинать сразу после отправки уведомления** в контролирующий орган (до принятия решения о запрете, если таковое последует). Страны БЕЗ адекватной защиты (все остальные).
Правило: Передача запрещена до истечения срока рассмотрения уведомления. Исключение: Жизненно важные интересы (защита жизни, здоровья субъекта или других лиц).
6.3. Обязательный подготовительный этап (До подачи уведомления) Индивидуальный предприниматель обязан заранее запросить и получить от зарубежного получателя (властей, физлиц или юрлиц) следующие сведения:
1. Контакты: Наименование/ФИО, телефоны, почтовые и электронные адреса.
2. Меры безопасности: Сведения о защите ПД и условиях прекращения их обработки.
3. Правовое регулирование: Информация о законодательстве страны получателя (требуется только для стран, не обеспечивающих адекватную защиту)*.
6.4. Взаимодействие с контролирующим органом
Уведомление: Индивидуальный предприниматель обязан направить уведомление о своем намерении осуществлять трансграничную передачу в уполномоченный орган (Роскомнадзор) до начала этой деятельности.
Запрос доп. сведений: По запросу регулятора Индивидуальный предприниматель обязан предоставить собранные данные в течение 10 рабочих дней.
Продление срока: Срок ответа можно продлить максимум на 5 рабочих дней, направив мотивированное уведомление с указанием причин.
6.5. Ограничения, запреты и ликвидация данных
Основания для запрета: Государство может ограничить или запретить передачу ПД в целях защиты конституционного строя РФ, обороны, безопасности, нравственности, здоровья граждан, а также экономических и дипломатических интересов страны.
Действие запрета: Ограничения вступают в силу с даты принятия решения уполномоченным органом.
Последствия запрета: Если регулятор вынес решение о запрете или ограничении, Индивидуальный предприниматель обязан обеспечить уничтожение зарубежным получателем всех ранее переданных ему персональных данных.
1. Получено согласие субъекта ПД.
2. Выполнены все требования законодательства.
6.2. Классификация стран и правила начала передачи
До начала передачи Индивидуальный предприниматель обязан убедиться, что принимающее государство обеспечивает адекватную защиту прав субъектов. Страны с адекватной защитой (участники Конвенции Совета Европы или государства из утвержденного перечня Роскомнадзора).
Правило: Передачу можно начинать сразу после отправки уведомления** в контролирующий орган (до принятия решения о запрете, если таковое последует). Страны БЕЗ адекватной защиты (все остальные).
Правило: Передача запрещена до истечения срока рассмотрения уведомления. Исключение: Жизненно важные интересы (защита жизни, здоровья субъекта или других лиц).
6.3. Обязательный подготовительный этап (До подачи уведомления) Индивидуальный предприниматель обязан заранее запросить и получить от зарубежного получателя (властей, физлиц или юрлиц) следующие сведения:
1. Контакты: Наименование/ФИО, телефоны, почтовые и электронные адреса.
2. Меры безопасности: Сведения о защите ПД и условиях прекращения их обработки.
3. Правовое регулирование: Информация о законодательстве страны получателя (требуется только для стран, не обеспечивающих адекватную защиту)*.
6.4. Взаимодействие с контролирующим органом
Уведомление: Индивидуальный предприниматель обязан направить уведомление о своем намерении осуществлять трансграничную передачу в уполномоченный орган (Роскомнадзор) до начала этой деятельности.
Запрос доп. сведений: По запросу регулятора Индивидуальный предприниматель обязан предоставить собранные данные в течение 10 рабочих дней.
Продление срока: Срок ответа можно продлить максимум на 5 рабочих дней, направив мотивированное уведомление с указанием причин.
6.5. Ограничения, запреты и ликвидация данных
Основания для запрета: Государство может ограничить или запретить передачу ПД в целях защиты конституционного строя РФ, обороны, безопасности, нравственности, здоровья граждан, а также экономических и дипломатических интересов страны.
Действие запрета: Ограничения вступают в силу с даты принятия решения уполномоченным органом.
Последствия запрета: Если регулятор вынес решение о запрете или ограничении, Индивидуальный предприниматель обязан обеспечить уничтожение зарубежным получателем всех ранее переданных ему персональных данных.
7.1. Основания для обработки данных ИП осуществляет обработку персональных данных (ПД) как с согласия субъекта ПД, так и без него в следующих случаях:
Исполнение и заключение договоров: если обработка необходима для заключения или исполнения договора, в котором субъект ПД является стороной, выгодоприобретателем или поручителем.
Защита интересов: если обработка требуется для реализации прав и законных интересов Компании (Оператора) или третьих лиц.
Требования закона: в иных случаях, прямо предусмотренных законодательством РФ в области персональных данных.
7.2. Поручение обработки третьим лицам
Внешние поручения: ИП вправе обрабатывать ПД по поручению других операторов (при наличии согласия субъектов).
Передача обработки третьим лицам: Компания вправе поручить обработку ПД третьему лицу с согласия субъекта. Такая обработка возможна только на основании договора.
В этом договоре обязательно фиксируются:
Цели обработки, перечень ПД и список действий (операций) с ними.Обязанность третьего лица соблюдать конфиденциальность и обеспечивать безопасность ПД в соответствии со ст. 19 Закона № 152-ФЗ.Требования по локализации данных в РФ (ч. 5 ст. 18) и назначению ответственных лиц (ст. 18.1).Обязанность предоставлять ИП документы и информацию, подтверждающие выполнение мер безопасности (включая период до начала обработки).Требование незамедлительно уведомлять ИП об утечках данных (ч. 3.1 ст. 21 Закона № 152-ФЗ).
Важно: Компания несет полную ответственность перед субъектом ПД за действия лиц, которым поручена обработка его данных.
7.3 Доступ к данным и передача третьим лицам Внутренний доступ: Доступ к ПД предоставляется исключительно сотрудникам ИП, которым данные необходимы для выполнения должностных обязанностей, с соблюдением принципа персональной ответственности.Государственные органы: Передача ПД в государственные органы осуществляется строго в рамках их полномочий и в соответствии с законодательством РФ.Локализация баз данных: При хранении ПД ИП использует базы данных, находящиеся исключительно на территории Российской Федерации (в соответствии с ч. 5 ст. 18 Закона № 152-ФЗ).6.4. Актуализация, прекращение обработки и уничтожение ПДПри неточности или неправомерности: Если выявлен факт неточности данных или неправомерности их обработки, ИП обязан актуализировать ПД или немедленно прекратить их обработку.Уничтожение данных: При достижении целей обработки или в случае отзыва согласия субъектом, ПД подлежат уничтожению. Исключения, при которых Компания вправе продолжить обработку без согласия:Это предусмотрено действующим договором с субъектом (где он — сторона, выгодоприобретатель или поручитель).
Это зафиксировано в ином соглашении между Компанией и субъектом.У ИП есть иные законные основания для обработки, предусмотренные Законом № 152-ФЗ или другими федеральными законами.
7.4. Права субъекта на информацию По запросу субъекта персональных данных (или его законного представителя) ИП обязан предоставить полную информацию об осуществляемой ею обработке данных данного субъекта.
Защита интересов: если обработка требуется для реализации прав и законных интересов Компании (Оператора) или третьих лиц.
Требования закона: в иных случаях, прямо предусмотренных законодательством РФ в области персональных данных.
7.2. Поручение обработки третьим лицам
Внешние поручения: ИП вправе обрабатывать ПД по поручению других операторов (при наличии согласия субъектов).
Передача обработки третьим лицам: Компания вправе поручить обработку ПД третьему лицу с согласия субъекта. Такая обработка возможна только на основании договора.
В этом договоре обязательно фиксируются:
Цели обработки, перечень ПД и список действий (операций) с ними.Обязанность третьего лица соблюдать конфиденциальность и обеспечивать безопасность ПД в соответствии со ст. 19 Закона № 152-ФЗ.Требования по локализации данных в РФ (ч. 5 ст. 18) и назначению ответственных лиц (ст. 18.1).Обязанность предоставлять ИП документы и информацию, подтверждающие выполнение мер безопасности (включая период до начала обработки).Требование незамедлительно уведомлять ИП об утечках данных (ч. 3.1 ст. 21 Закона № 152-ФЗ).
Важно: Компания несет полную ответственность перед субъектом ПД за действия лиц, которым поручена обработка его данных.
7.3 Доступ к данным и передача третьим лицам Внутренний доступ: Доступ к ПД предоставляется исключительно сотрудникам ИП, которым данные необходимы для выполнения должностных обязанностей, с соблюдением принципа персональной ответственности.Государственные органы: Передача ПД в государственные органы осуществляется строго в рамках их полномочий и в соответствии с законодательством РФ.Локализация баз данных: При хранении ПД ИП использует базы данных, находящиеся исключительно на территории Российской Федерации (в соответствии с ч. 5 ст. 18 Закона № 152-ФЗ).6.4. Актуализация, прекращение обработки и уничтожение ПДПри неточности или неправомерности: Если выявлен факт неточности данных или неправомерности их обработки, ИП обязан актуализировать ПД или немедленно прекратить их обработку.Уничтожение данных: При достижении целей обработки или в случае отзыва согласия субъектом, ПД подлежат уничтожению. Исключения, при которых Компания вправе продолжить обработку без согласия:Это предусмотрено действующим договором с субъектом (где он — сторона, выгодоприобретатель или поручитель).
Это зафиксировано в ином соглашении между Компанией и субъектом.У ИП есть иные законные основания для обработки, предусмотренные Законом № 152-ФЗ или другими федеральными законами.
7.4. Права субъекта на информацию По запросу субъекта персональных данных (или его законного представителя) ИП обязан предоставить полную информацию об осуществляемой ею обработке данных данного субъекта.
8.1. Права субъекта персональных данных
В соответствии с Федеральным законом № 152-ФЗ «О персональных данных», субъект имеет право: Свобода волеизъявления: предоставлять свои персональные данные и давать согласие на их обработку свободно, своей волей и в своем интересе. Доступ к информации: направлять Индивидуальному предпринимателю обращения (в том числе повторные) и получать информацию об обработке своих персональных данных в порядке, форме, объеме и сроки, установленные законодательством РФ. Актуализация и защита данных: требовать от Индивидуального предпринимателя уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не требуются для заявленной цели обработки. Прекращение обработки: отзывать предоставленное согласие на обработку, а также обращаться с требованием полностью прекратить обработку персональных данных. Защита интересов: принимать предусмотренные законом меры по защите своих прав, включая право на возмещение убытков и (или) компенсацию морального вреда в судебном порядке. Иные права, предусмотренные законодательством Российской Федерации.
8.2. Обязанности Индивидуального предпринимателя
В соответствии с требованиями Закона № 152-ФЗ, Индивидуальный предприниматель обязан: Работа с запросами: предоставлять субъекту по его запросу информацию об обработке его данных либо направлять мотивированный и законный отказ. Реагирование на нарушения: по требованию субъекта уточнять, блокировать или удалять неполные, устаревшие, неточные, незаконно полученные или избыточные персональные данные. Регистрация обращений: вести обязательный учет всех обращений, поступающих от субъектов персональных данных. Конфиденциальность: не раскрывать и не распространять персональные данные третьим лицам без согласия субъекта (за исключением случаев, предусмотренных законодательством РФ). Информирование при получении данных от третьих лиц: если данные получены не от самого субъекта, Индивидуальный предприниматель (до начала обработки) обязан предоставить ему информацию, предусмотренную Законом № 152-ФЗ (с учетом установленных законом исключений). Разъяснение последствий: информировать субъекта о юридических последствиях отказа предоставить данные или дать согласие на их обработку, если такая обязанность Индивидуального предпринимателя закреплена законодательно. Обеспечение безопасности: принимать необходимые правовые, организационные и технические меры для защиты персональных данных от случайного или неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных незаконных действий.
Взаимодействие с государственными органами:
- Сообщать в Роскомнадзор необходимую информацию по запросу этого органа.
- Уведомлять Роскомнадзор в установленные сроки при выявлении фактов неправомерной или случайной передачи (утечки) персональных данных, повлекшей нарушение прав субъектов.
- Взаимодействовать с ГосСОПКА (государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак) в порядке, определенном уполномоченным органом исполнительной власти по безопасности.
Прекращение обработки и уничтожение данных: своевременно уничтожать данные или прекращать их обработку в следующих случаях:
- достижение целей обработки или утрата необходимости в их достижении (если иное не предусмотрено законом);
- отзыв субъектом согласия на обработку данных;
- предъявление субъектом законного требования о прекращении обработки;
- выявление неправомерной обработки данных Индивидуальным предпринимателем (при невозможности устранить нарушения и обеспечить правомерность).
Иные обязанности, предусмотренные законодательством Российской Федерации.
В соответствии с Федеральным законом № 152-ФЗ «О персональных данных», субъект имеет право: Свобода волеизъявления: предоставлять свои персональные данные и давать согласие на их обработку свободно, своей волей и в своем интересе. Доступ к информации: направлять Индивидуальному предпринимателю обращения (в том числе повторные) и получать информацию об обработке своих персональных данных в порядке, форме, объеме и сроки, установленные законодательством РФ. Актуализация и защита данных: требовать от Индивидуального предпринимателя уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не требуются для заявленной цели обработки. Прекращение обработки: отзывать предоставленное согласие на обработку, а также обращаться с требованием полностью прекратить обработку персональных данных. Защита интересов: принимать предусмотренные законом меры по защите своих прав, включая право на возмещение убытков и (или) компенсацию морального вреда в судебном порядке. Иные права, предусмотренные законодательством Российской Федерации.
8.2. Обязанности Индивидуального предпринимателя
В соответствии с требованиями Закона № 152-ФЗ, Индивидуальный предприниматель обязан: Работа с запросами: предоставлять субъекту по его запросу информацию об обработке его данных либо направлять мотивированный и законный отказ. Реагирование на нарушения: по требованию субъекта уточнять, блокировать или удалять неполные, устаревшие, неточные, незаконно полученные или избыточные персональные данные. Регистрация обращений: вести обязательный учет всех обращений, поступающих от субъектов персональных данных. Конфиденциальность: не раскрывать и не распространять персональные данные третьим лицам без согласия субъекта (за исключением случаев, предусмотренных законодательством РФ). Информирование при получении данных от третьих лиц: если данные получены не от самого субъекта, Индивидуальный предприниматель (до начала обработки) обязан предоставить ему информацию, предусмотренную Законом № 152-ФЗ (с учетом установленных законом исключений). Разъяснение последствий: информировать субъекта о юридических последствиях отказа предоставить данные или дать согласие на их обработку, если такая обязанность Индивидуального предпринимателя закреплена законодательно. Обеспечение безопасности: принимать необходимые правовые, организационные и технические меры для защиты персональных данных от случайного или неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных незаконных действий.
Взаимодействие с государственными органами:
- Сообщать в Роскомнадзор необходимую информацию по запросу этого органа.
- Уведомлять Роскомнадзор в установленные сроки при выявлении фактов неправомерной или случайной передачи (утечки) персональных данных, повлекшей нарушение прав субъектов.
- Взаимодействовать с ГосСОПКА (государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак) в порядке, определенном уполномоченным органом исполнительной власти по безопасности.
Прекращение обработки и уничтожение данных: своевременно уничтожать данные или прекращать их обработку в следующих случаях:
- достижение целей обработки или утрата необходимости в их достижении (если иное не предусмотрено законом);
- отзыв субъектом согласия на обработку данных;
- предъявление субъектом законного требования о прекращении обработки;
- выявление неправомерной обработки данных Индивидуальным предпринимателем (при невозможности устранить нарушения и обеспечить правомерность).
Иные обязанности, предусмотренные законодательством Российской Федерации.
Законодательные ограничения: Доступ к персональным данным ограничивается в соответствии с законодательством Российской Федерации.
Внутренний доступ: Доступ к обрабатываемым персональным данным предоставляется только тем сотрудникам Индивидуального предпринимателя, которым он необходим в связи с исполнением ими своих трудовых обязанностей и определен приказом Индивидуального предпринимателя.
Обязательства сотрудников:
Сотрудники Индивидуального предпринимателя, получившие доступ к персональным данным, принимают на себя обязательства по обеспечению конфиденциальности и безопасности обрабатываемых данных.
Неразглашение данных:
Индивидуальный предприниматель не раскрывает третьим лицам и не распространяет персональные данные без согласия на это субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.
Обязанности третьих лиц: Третьи лица, получившие доступ к персональным данным или осуществляющие их обработку по поручению Индивидуального предпринимателя, обязуются соблюдать требования договоров и соглашений с Индивидуальным предпринимателем в части обеспечения конфиденциальности и безопасности персональных данных.
Внутренний доступ: Доступ к обрабатываемым персональным данным предоставляется только тем сотрудникам Индивидуального предпринимателя, которым он необходим в связи с исполнением ими своих трудовых обязанностей и определен приказом Индивидуального предпринимателя.
Обязательства сотрудников:
Сотрудники Индивидуального предпринимателя, получившие доступ к персональным данным, принимают на себя обязательства по обеспечению конфиденциальности и безопасности обрабатываемых данных.
Неразглашение данных:
Индивидуальный предприниматель не раскрывает третьим лицам и не распространяет персональные данные без согласия на это субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.
Обязанности третьих лиц: Третьи лица, получившие доступ к персональным данным или осуществляющие их обработку по поручению Индивидуального предпринимателя, обязуются соблюдать требования договоров и соглашений с Индивидуальным предпринимателем в части обеспечения конфиденциальности и безопасности персональных данных.
10.1. Организация защиты данных
Ответственные лица: У Индивидуального предпринимателя соответствующими распорядительными документами назначены лица, ответственные за организацию обработки и обеспечение безопасности персональных данных.
Система защиты: Безопасность персональных данных Индивидуального предпринимателя обеспечивается с помощью системы защиты, включающей организационные и технические меры, в соответствии с Положением об обработке и защите персональных данных.
10.2. Комплекс обеспечиваемых мероприятий
В целях обеспечения безопасности персональных данных Индивидуальным предпринимателем выполняются следующие мероприятия:
Анализ рисков и угроз:
- Систематическая оценка угроз безопасности персональных данных при их обработке в информационных системах.
- Оценка возможного вреда и (или) нанесения ущерба субъектам персональных данных в случае нарушения законодательства.
- Определение необходимого уровня защищенности персональных данных в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119.
Контроль доступа и учет:
- Разграничение доступа к информационным системам, бумажным документам и съемным (машинным) носителям персональных данных.
- Регистрация и учет действий пользователей и администраторов в информационных системах, а также учет съемных носителей и средств защиты информации.
- Исключение возможности бесконтрольного прохода в помещения Индивидуального предпринимателя, где размещены технические средства обработки или хранятся носители данных.
Техническая защита и ИТ-безопасность:
- Предотвращение внедрения в информационные системы Индивидуального предпринимателя вредоносных программ.
- Использование защищенных каналов связи.
- Резервирование и восстановление работоспособности технических средств, программного обеспечения, баз данных и средств защиты.
Контроль, реагирование и обучение:
- Выявление инцидентов, связанных с нарушением требований безопасности, и оперативное реагирование на них.
- Повышение уровня знаний сотрудников Индивидуального предпринимателя в сфере обработки и обеспечения безопасности персональных данных.
- Проведение внутренних и внешних проверок (аудитов) соответствия безопасности данных требованиям Политики, локальных актов Индивидуального предпринимателя и законодательства РФ.
- Регулярная оценка эффективности принимаемых мер и последующее совершенствование системы защиты персональных данных.
Ответственные лица: У Индивидуального предпринимателя соответствующими распорядительными документами назначены лица, ответственные за организацию обработки и обеспечение безопасности персональных данных.
Система защиты: Безопасность персональных данных Индивидуального предпринимателя обеспечивается с помощью системы защиты, включающей организационные и технические меры, в соответствии с Положением об обработке и защите персональных данных.
10.2. Комплекс обеспечиваемых мероприятий
В целях обеспечения безопасности персональных данных Индивидуальным предпринимателем выполняются следующие мероприятия:
Анализ рисков и угроз:
- Систематическая оценка угроз безопасности персональных данных при их обработке в информационных системах.
- Оценка возможного вреда и (или) нанесения ущерба субъектам персональных данных в случае нарушения законодательства.
- Определение необходимого уровня защищенности персональных данных в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119.
Контроль доступа и учет:
- Разграничение доступа к информационным системам, бумажным документам и съемным (машинным) носителям персональных данных.
- Регистрация и учет действий пользователей и администраторов в информационных системах, а также учет съемных носителей и средств защиты информации.
- Исключение возможности бесконтрольного прохода в помещения Индивидуального предпринимателя, где размещены технические средства обработки или хранятся носители данных.
Техническая защита и ИТ-безопасность:
- Предотвращение внедрения в информационные системы Индивидуального предпринимателя вредоносных программ.
- Использование защищенных каналов связи.
- Резервирование и восстановление работоспособности технических средств, программного обеспечения, баз данных и средств защиты.
Контроль, реагирование и обучение:
- Выявление инцидентов, связанных с нарушением требований безопасности, и оперативное реагирование на них.
- Повышение уровня знаний сотрудников Индивидуального предпринимателя в сфере обработки и обеспечения безопасности персональных данных.
- Проведение внутренних и внешних проверок (аудитов) соответствия безопасности данных требованиям Политики, локальных актов Индивидуального предпринимателя и законодательства РФ.
- Регулярная оценка эффективности принимаемых мер и последующее совершенствование системы защиты персональных данных.
Плановый пересмотр: Пересмотр и обновление Политики осуществляются не реже 1 (одного) раза в год.
Внеплановый пересмотр: Документ актуализируется в следующих случаях:
- при изменении законодательства Российской Федерации в области персональных данных;
- при получении предписаний контролирующих органов на устранение несоответствий;
- по решению Индивидуального предпринимателя;
- при изменении целей, принципов или условий обработки персональных данных у Индивидуального предпринимателя.
11.2. Контроль и ответственность
Внутренний контроль: Контроль исполнения требований настоящей Политики осуществляется лицами, назначенными ответственными за организацию обработки и обеспечение безопасности персональных данных у Индивидуального предпринимателя.
Ответственность работников: Все сотрудники Индивидуального предпринимателя, имеющие доступ к персональным данным, за невыполнение требований Политики несут дисциплинарную и иную ответственность в соответствии с законодательством РФ.
Общая ответственность: Лица, виновные в нарушении требований законодательства в области персональных данных, несут гражданско-правовую, административную или уголовную ответственность, предусмотренную законодательством Российской Федерации.
11.3. Порядок направления обращений субъектами данных
Субъекты данных, чьи персональные данные обрабатываются Индивидуальным предпринимателем, могут получить разъяснения, а также реализовать свои права, направив официальное обращение:
Требования к содержанию обращения
Направляемый запрос (от субъекта или его законного представителя) должен содержать сведения, позволяющие идентифицировать заявителя и установить характер его отношений с Индивидуальным предпринимателем, а именно:
Фамилию, имя и отчество (при наличии) субъекта персональных данных или его представителя.
Паспортные данные (серию, номер документа, удостоверяющего личность, дату выдачи и наименование выдавшего органа).
Сведения, подтверждающие участие в отношениях с Индивидуальным предпринимателем (например, номер договора, логин в системе и т.д.).
Личную (или электронную цифровою) подпись субъекта персональных данных либо его представителя.
В случае направления запроса представителем: к обращению в обязательном порядке должна быть приложена копия документа, подтверждающего полномочия данного представителя (например, доверенность).
Внеплановый пересмотр: Документ актуализируется в следующих случаях:
- при изменении законодательства Российской Федерации в области персональных данных;
- при получении предписаний контролирующих органов на устранение несоответствий;
- по решению Индивидуального предпринимателя;
- при изменении целей, принципов или условий обработки персональных данных у Индивидуального предпринимателя.
11.2. Контроль и ответственность
Внутренний контроль: Контроль исполнения требований настоящей Политики осуществляется лицами, назначенными ответственными за организацию обработки и обеспечение безопасности персональных данных у Индивидуального предпринимателя.
Ответственность работников: Все сотрудники Индивидуального предпринимателя, имеющие доступ к персональным данным, за невыполнение требований Политики несут дисциплинарную и иную ответственность в соответствии с законодательством РФ.
Общая ответственность: Лица, виновные в нарушении требований законодательства в области персональных данных, несут гражданско-правовую, административную или уголовную ответственность, предусмотренную законодательством Российской Федерации.
11.3. Порядок направления обращений субъектами данных
Субъекты данных, чьи персональные данные обрабатываются Индивидуальным предпринимателем, могут получить разъяснения, а также реализовать свои права, направив официальное обращение:
Требования к содержанию обращения
Направляемый запрос (от субъекта или его законного представителя) должен содержать сведения, позволяющие идентифицировать заявителя и установить характер его отношений с Индивидуальным предпринимателем, а именно:
Фамилию, имя и отчество (при наличии) субъекта персональных данных или его представителя.
Паспортные данные (серию, номер документа, удостоверяющего личность, дату выдачи и наименование выдавшего органа).
Сведения, подтверждающие участие в отношениях с Индивидуальным предпринимателем (например, номер договора, логин в системе и т.д.).
Личную (или электронную цифровою) подпись субъекта персональных данных либо его представителя.
В случае направления запроса представителем: к обращению в обязательном порядке должна быть приложена копия документа, подтверждающего полномочия данного представителя (например, доверенность).