Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее – Политика) разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Политика действует в отношении всех персональных данных, которые обрабатывает [Оператор: наименование организации или Ф.И.О. индивидуального предпринимателя] (далее – Оператор).

1.3. Политика распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики.

1.4. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте Оператора http://razvivalochka-nn.ru.

1.5. Основные понятия, используемые в Политике, соответствуют определениям, данным в ст. 3 Закона о персональных данных:

• персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• оператор персональных данных – лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных, действия (операции), совершаемые с персональными данными;
• обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования (включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение);
• автоматизированная обработка – обработка с помощью средств вычислительной техники;
• распространение – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• предоставление – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• блокирование – временное прекращение обработки (кроме случаев, когда обработка необходима для уточнения);
• уничтожение – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются материальные носители;
• обезличивание – действия, в результате которых без использования дополнительной информации невозможно определить принадлежность персональных данных конкретному субъекту;
• информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

1.6. Основные права и обязанности Оператора.

1.6.1. Оператор имеет право:

• самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных;
• поручать обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании договора;
• в случае отзыва субъектом персональных данных согласия на обработку продолжать обработку при наличии оснований, указанных в Законе о персональных данных.

1.6.2. Оператор обязан:

• организовывать обработку персональных данных в соответствии с требованиями Закона о персональных данных;
• отвечать на обращения и запросы субъектов персональных данных и их законных представителей;
• сообщать в уполномоченный орган (Роскомнадзор) по его запросу необходимую информацию в течение 10 рабочих дней (с возможностью продления не более чем на 5 рабочих дней);
• взаимодействовать с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак в порядке, установленном федеральным органом в области обеспечения безопасности, информировать о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных.

1.7. Основные права субъекта персональных данных. Субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами;
• требовать от Оператора уточнения, блокирования или уничтожения его персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• давать предварительное согласие на обработку персональных данных в целях продвижения товаров, работ, услуг;
• обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействие Оператора.

1.8. Контроль за исполнением требований настоящей Политики осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных у Оператора.

1.9. Ответственность за нарушение требований законодательства Российской Федерации и локальных актов Оператора в сфере обработки и защиты персональных данных определяется в соответствии с законодательством Российской Федерации.

2. Цели сбора персональных данных

2.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка, несовместимая с целями сбора.

2.2. Обработке подлежат только те персональные данные, которые отвечают целям их обработки.

2.3. Обработка персональных данных Оператором осуществляется в следующих целях:

• осуществление своей деятельности [Оператор: вид деятельности, например, оказание услуг по развитию детей] , в том числе заключение и исполнение договоров с контрагентами;
• исполнение трудового законодательства в рамках трудовых и непосредственно связанных с ними отношений (содействие работникам в трудоустройстве, получении образования, продвижении по службе, привлечение и отбор кандидатов, обеспечение личной безопасности, контроль количества и качества работы, ведение кадрового и бухгалтерского учета, заполнение и передача отчетности в уполномоченные органы, организация постановки на индивидуальный (персонифицированный) учет в системах обязательного пенсионного и социального страхования);
• осуществление пропускного режима (при наличии).

2.4. Обработка персональных данных работников осуществляется исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов.

3. Правовые основания обработки персональных данных

3.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых Оператор осуществляет обработку, в том числе:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 08.02.1998 № 14-ФЗ «Об обществах с ограниченной ответственностью» (если Оператор – ООО);
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
• Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
• иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.

3.2. Правовым основанием обработки персональных данных также являются:

• договоры, заключаемые между Оператором и субъектами персональных данных;
• согласие субъектов персональных данных на обработку их персональных данных.

4. Объем и категории обрабатываемых персональных данных, категории субъектов

4.1. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки (раздел 2). Обрабатываемые данные не должны быть избыточными.

4.2. Оператор может обрабатывать персональные данные следующих категорий субъектов.

4.2.1. Кандидаты для приема на работу – для целей исполнения трудового законодательства и пропускного режима:

• фамилия, имя, отчество;
• пол;
• гражданство;
• дата и место рождения;
• контактные данные;
• сведения об образовании, опыте работы, квалификации;
• иные данные, сообщаемые кандидатами в резюме и сопроводительных письмах.

4.2.2. Работники и бывшие работники Оператора – для целей исполнения трудового законодательства и пропускного режима:

• фамилия, имя, отчество;
• пол;
• гражданство;
• дата и место рождения;
• изображение (фотография);
• паспортные данные;
• адрес регистрации и фактического проживания;
• контактные данные;
• ИНН, СНИЛС;
• сведения об образовании, квалификации, повышении квалификации;
• семейное положение, наличие детей, родственные связи;
• сведения о трудовой деятельности, поощрениях, награждениях, взысканиях;
• данные о регистрации брака, воинском учете, инвалидности, удержании алиментов, доходе с предыдущего места работы;
• иные данные, предоставляемые в соответствии с трудовым законодательством.

4.2.3. Члены семьи работников Оператора – для целей исполнения трудового законодательства:

• фамилия, имя, отчество;
• степень родства;
• год рождения;
• иные данные, предоставляемые работниками.

4.2.4. Клиенты и контрагенты (физические лица) – для целей осуществления деятельности Оператора и пропускного режима:

• фамилия, имя, отчество;
• дата и место рождения;
• паспортные данные;
• адрес регистрации;
• контактные данные;
• замещаемая должность;
• ИНН, номер расчетного счета;
• иные данные, необходимые для заключения и исполнения договоров.

4.2.5. Представители (работники) клиентов и контрагентов (юридических лиц) – для целей осуществления деятельности Оператора и пропускного режима:

• фамилия, имя, отчество;
• паспортные данные;
• контактные данные;
• замещаемая должность;
• иные данные, необходимые для заключения и исполнения договоров.

4.3. Обработка биометрических персональных данных (сведений, характеризующих физиологические и биологические особенности человека, на основании которых можно установить его личность) осуществляется в соответствии с законодательством РФ.

4.4. Оператором не осуществляется обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, за исключением случаев, предусмотренных законодательством РФ.

5. Порядок и условия обработки персональных данных

5.1. Обработка персональных данных осуществляется Оператором в соответствии с требованиями законодательства РФ.

5.2. Обработка осуществляется с согласия субъектов персональных данных либо без такового в случаях, предусмотренных законодательством РФ.

5.3. Оператор осуществляет обработку для каждой цели следующими способами:

• неавтоматизированная обработка;
• автоматизированная обработка (с передачей по информационно-телекоммуникационным сетям или без);
• смешанная обработка.

5.4. К обработке персональных данных допускаются работники Оператора, в должностные обязанности которых это входит.

5.5. Обработка для каждой цели, указанной в п. 2.3, осуществляется путем:

• получения персональных данных в устной и письменной форме непосредственно от субъектов;
• внесения персональных данных в журналы, реестры и информационные системы Оператора;
• использования иных способов обработки.

5.6. Не допускается раскрытие третьим лицам и распространение персональных данных без согласия субъекта, если иное не предусмотрено федеральным законом. Согласие на распространение оформляется отдельно от иных согласий в соответствии с Приказом Роскомнадзора от 24.02.2021 № 18.

5.7. Передача персональных данных в органы дознания и следствия, ФНС, Социальный фонд России и иные уполномоченные органы осуществляется в соответствии с законодательством РФ.

5.8. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных, в том числе:

• определяет угрозы безопасности;
• принимает локальные нормативные акты;
• назначает ответственных за обеспечение безопасности;
• создает условия для работы с персональными данными;
• организует учет документов, содержащих персональные данные;
• организует работу с информационными системами;
• обеспечивает сохранность и исключение неправомерного доступа;
• организует обучение работников.

5.9. Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта, не дольше, чем требует каждая цель обработки, если срок хранения не установлен федеральным законом или договором.

5.9.1. Персональные данные на бумажных носителях хранятся в течение сроков хранения документов, предусмотренных законодательством об архивном деле (Федеральный закон от 22.10.2004 № 125-ФЗ, Перечень типовых управленческих архивных документов, утв. Приказом Росархива от 20.12.2019 № 236).

5.9.2. Срок хранения персональных данных в информационных системах соответствует сроку хранения на бумажных носителях.

5.10. Оператор прекращает обработку персональных данных в следующих случаях:

• выявлен факт неправомерной обработки – в течение 3 рабочих дней с даты выявления;
• достигнута цель обработки;
• истек срок или отозвано согласие субъекта, когда обработка допускалась только с согласия.

5.11. При достижении целей обработки или отзыве согласия Оператор прекращает обработку, если иное не предусмотрено договором с субъектом, законом или другим соглашением.

5.12. При обращении субъекта с требованием о прекращении обработки Оператор прекращает обработку в течение 10 рабочих дней (с возможностью продления не более чем на 5 рабочих дней с мотивированным уведомлением).

5.13. При сборе персональных данных, в том числе через сеть Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение, извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ, за исключением случаев, указанных в Законе о персональных данных.

6. Актуализация, исправление, удаление, уничтожение персональных данных, ответы на запросы

6.1. Подтверждение факта обработки, правовые основания, цели и иные сведения, указанные в ч. 7 ст. 14 Закона о персональных данных, предоставляются субъекту или его представителю в течение 10 рабочих дней с момента обращения (с возможностью продления не более чем на 5 рабочих дней с мотивированным уведомлением). В предоставляемых сведениях не содержатся персональные данные других субъектов, за исключением случаев законного раскрытия.

Запрос должен содержать:

• номер основного документа, удостоверяющего личность субъекта или его представителя, дату выдачи и орган, выдавший документ;
• сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора, дата, условное обозначение и т.п.);
• подпись субъекта или его представителя.

Запрос может быть направлен в форме электронного документа, подписанного электронной подписью.

Если в обращении не отражены все необходимые сведения или субъект не имеет права доступа, направляется мотивированный отказ. Право на доступ может быть ограничено в соответствии с ч. 8 ст. 14 Закона о персональных данных (в том числе при нарушении прав третьих лиц).

6.2. При выявлении неточных персональных данных по обращению субъекта или запросу Роскомнадзора Оператор блокирует данные на период проверки (если блокирование не нарушает права и законные интересы). При подтверждении неточности Оператор уточняет данные в течение 7 рабочих дней со дня представления сведений и снимает блокирование.

6.3. При выявлении неправомерной обработки по обращению субъекта или запросу Роскомнадзора Оператор блокирует неправомерно обрабатываемые данные с момента обращения или получения запроса.

6.4. При выявлении факта неправомерной или случайной передачи (доступа), повлекшей нарушение прав субъектов, Оператор:

• в течение 24 часов уведомляет Роскомнадзор об инциденте, предполагаемых причинах, вреде и принятых мерах, а также предоставляет сведения об уполномоченном лице;
• в течение 72 часов уведомляет о результатах внутреннего расследования и лицах, действия которых стали причиной (при наличии).

6.5. Порядок уничтожения персональных данных.

6.5.1. Условия и сроки уничтожения:

• достижение цели обработки либо утрата необходимости – в течение 30 дней;
• достижение максимальных сроков хранения документов – в течение 30 дней;
• предоставление субъектом подтверждения незаконного получения или ненужности для цели – в течение 7 рабочих дней;
• отзыв согласия, если сохранение данных более не требуется – в течение 30 дней.

6.5.2. При достижении цели обработки или отзыве согласия персональные данные подлежат уничтожению, если иное не предусмотрено договором с субъектом, законом или другим соглашением.

6.5.3. Уничтожение персональных данных осуществляется комиссией, созданной приказом Оператора.

6.5.4. Способы уничтожения персональных данных устанавливаются в локальных нормативных актах Оператора.