Политика обработки персональных данных

1. Общие положения

1.1. Политика обработки персональных данных в ООО «Русское руно» (далее – «Политика») определяет понятие и состав персональных данных, основные принципы, условия и порядок обработки персональных данных, а также подходы к обеспечению безопасности персональных данных в ООО «Русское руно» (далее – «Общество»).

1.2. Настоящая Политика разработана с учетом требований:

Конституции Российской Федерации;
Трудового кодекса Российской Федерации;
Налогового кодекса Российской Федерации;
Гражданского кодекса Российской Федерации;
Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – «Федеральный закон «О персональных данных»);
Федерального закона от 19.12.2005 № 160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных»;
Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Постановления Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
Постановления Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
Распоряжения Правительства Российской Федерации от 21.03.1994 № 358-р «Об обеспечении сохранности документов по личному составу»;
Приказа Федеральной службы по техническому и экспортному контролю (ФСТЭК России) от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
Приказа Федеральной службы безопасности Российской Федерации (ФСБ России) от 10.07.2014 № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности»;
иных нормативных правовых актов, действующих на территории Российской Федерации, а также внутренних нормативных документов Общества в области обеспечения информационной безопасности.

1.3. Цель настоящей Политики – реализация требований законодательства в области обработки и защиты персональных данных и обеспечение защиты прав и свобод субъекта персональных данных при обработке его персональных данных в Обществе, в том числе защиты прав на неприкосновенность частной жизни, личной и семейной тайны.

1.4. Настоящая Политика определяет основные принципы, условия обработки, состав, цели и сроки обработки персональных данных, условия доступа и способы обработки персональных данных, права субъекта персональных данных, а также обязанности Общества по обеспечению безопасности персональных данных при обработке персональных данных.

1.5. Действие настоящей Политики распространяется на все процессы Общества, связанные с обработкой персональных данных, на все подразделения Общества вне зависимости от их организационной структуры и территориального расположения.

1.6. Неограниченный доступ к настоящей Политике обеспечивается ее опубликованием на сайте pticaopt.ru

2. Термины и определения

2.1. В настоящей Политике используются следующие термины и определения, используемые в локальных нормативных актах Общества, регламентирующих вопросы обработки персональных данных:

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

Общество – ООО «Русское руно», являющееся в рамках Федерального закона «О персональных данных» оператором персональных данных.

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных).

Защита персональных данных – деятельность Общества по обеспечению конфиденциальности персональных данных с помощью локального регулирования порядка обработки персональных данных и принятия правовых, организационно-технических мер по их защите.

Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств, а также совокупность информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств.

Конфиденциальность персональных данных – обязательное для соблюдения Обществом требование не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством.

Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. В рамках настоящей Политики под оператором понимается Общество.

Ответственный за организацию обработки персональных данных – работник Общества, осуществляющий контроль и принятие правовых, организационных и технических мер в целях обеспечения надлежащего выполнения функций по организации обработки персональных данных в Обществе в соответствии с требованиями Федерального закона «О персональных данных».

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

3. Принципы обработки персональных данных

3.1. Обработка персональных данных в Обществе осуществляется с учетом необходимости обеспечения защиты прав и свобод работников Общества и других субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну, на основе следующих принципов:

обработка персональных данных осуществляется на законной и справедливой основе;
обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
при обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Общество принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных;
не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом либо договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Федеральным законом «О персональных данных».

4. Условия обработки персональных данных

4.1. Обработка персональных данных осуществляется с соблюдением принципов и правил, предусмотренных настоящей Политикой и Федеральным законом «О персональных данных».

Обработка персональных данных допускается в следующих случаях:

обработка персональных данных в Обществе осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
обработка персональных данных необходима для достижения Обществом целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Общество функций, полномочий и обязанностей;
обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
обработка персональных данных необходима для осуществления прав и законных интересов Общества или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе (далее – «общедоступные персональные данные»);
осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством РФ.

4.2. Обработка персональных данных субъектов персональных данных, содержащихся в архивных документах, производится в Обществе в соответствии с законодательством РФ.

4.3. Обработка персональных данных субъектов персональных данных, осуществляющих операции с денежными средствами или иным имуществом с помощью Общества, производится в соответствии с Федеральным законом от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма».

4.4. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются Обществом.

4.5. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Общество вправе продолжить обработку персональных данных без его согласия только при наличии оснований, установленных Федеральным законом «О персональных данных», а также иными нормативно-правовыми актами Российской Федерации.

4.6. Общество вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных (в том числе Общество может осуществлять обработку персональных данных на основании такого поручения другого оператора), если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (далее – «поручение Общества»).

Лицо, осуществляющее обработку персональных данных по поручению Общества, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом «О персональных данных», а также заключаемым для исполнения поручения обработки персональных данных с Обществом договором.

В поручении Общества определяются перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, устанавливается обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также указываются требования к защите обрабатываемых персональных данных в соответствии со ст. 19 Федерального закона «О персональных данных».

4.7. Лицо, осуществляющее обработку персональных данных по поручению Общества, не обязано получать согласие субъекта персональных данных на обработку его персональных данных.

4.8. Общество не обязано получать согласие субъекта персональных данных на обработку его персональных данных в случае, если Общество осуществляет обработку таких персональных данных по поручению третьих лиц.

4.9. В случае если Общество поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Общество. Лицо, осуществляющее обработку персональных данных по поручению Общества, несет ответственность перед Обществом.

4.10. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда субъекту персональных данных, затруднения реализации его прав и свобод.

5. Состав персональных данных

5.1. В Обществе осуществляется обработка персональных данных следующих категорий субъектов персональных данных:

а) Клиенты, в данную категорию включаются:

физические лица и их Представители (лица, действующие по доверенности физических лиц и др.), имеющие договорные отношения с Обществом о предоставлении им услуг, выполнении работ или купле-продаже (поставке) товаров, их поручители, выгодоприобретатели и т.п., а также потенциальные клиенты на этапе преддоговорных отношений с Обществом (действий в целях заключения договора);
руководители, представители и работники юридических лиц, имеющих договорные отношения с Обществом о предоставлении им услуг, выполнении работ или о купле-продаже (поставке) товаров или находящихся на этапе преддоговорных отношений с Обществом;
руководители, представители и работники юридических лиц, имеющих договорные отношения с Обществом, отличные от предоставления им услуг, выполнении работ или продаже (поставке) товаров или находящихся на преддоговорном этапе установления соответствующих отношений.
персонал Общества (работники, имеющие трудовые отношения с Обществом), кандидаты на работу в Обществе и лица, имевшие ранее трудовые отношения с Обществом;
лица, имеющие гражданско-правовой характер договорных отношений с Обществом или находящиеся на этапе преддоговорных отношений подобного характера;
лица, проходящие различного рода практику (стажировку) в Обществе.
представители (должностные лица) государственных органов законодательной, исполнительной и судебной власти и управления;
представители общественных организаций, коммерческих и некоммерческих структур и иных объединений (в т.ч. иностранных);
иные субъекты персональных данных, которые не вошли в вышеперечисленные категории и обработка персональных данных которых не противоречит законодательству Российской Федерации, в т.ч.:
акционеры и иные аналогичные лица, а также прочие лица.

б) Работники, в данную категорию включаются:

в) Посетители, в данную категорию включаются:

5.2. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, в Обществе не осуществляется.

5.3. Состав обрабатываемых в Обществе персональных данных формируется в соответствии с Федеральным законом «О персональных данных», Уставом Общества и требованиями внутренних нормативных документов Общества.

6. Цели обработки персональных данных

6.1. Целями обработки персональных данных в Обществе являются:

осуществление возложенных на Общество законодательством Российской Федерации функций, в частности Федеральным законом «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и защите информации», а также иными федеральными законами, Уставом и внутренними нормативными документами Общества;
заключение, исполнение и прекращение договоров с физическими, юридическими лицами, индивидуальными предпринимателями и иными лицами в случаях, предусмотренных законодательством Российской Федерации и Уставом Общества;
организация кадрового учета и кадрового делопроизводства по работникам Общества, обеспечение соблюдения трудового законодательства и иных нормативно-правовых актов, содержащих нормы трудового права, заключение трудовых договоров и исполнение обязательств по ним, содействие в трудоустройстве, повышение квалификации работников и продвижение их по службе, пользование различного вида льготами, исполнение требований налогового законодательства в связи с исчислением и уплатой налога на доходы физических лиц, пенсионного законодательства при формировании и представлении персонифицированных данных о каждом получателе доходов, учитываемых при начислении страховых взносов на обязательное пенсионное страхование, и обеспечение заполнения первичной статистической документации в соответствии в том числе с Трудовым кодексом Российской Федерации, Налоговым кодексом Российской Федерации, федеральным законодательством, в частности Федеральным законом от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования» и Федеральным законом «О персональных данных», а также Уставом Общества и внутренними нормативными документами Общества;
иные предусмотренные законодательством Российской Федерации цели.

7. Сроки обработки персональных данных

7.1. Сроки обработки персональных данных определяются в соответствии со сроками, установленными Федеральным законом «О персональных данных», иными нормативными актами законодательства Российской Федерации, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, сроками действия документов, установленными Приказом Министерства культуры Российской Федерации от 25.08.2010 № 558 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения», сроком исковой давности, согласием субъекта персональных данных на обработку его персональных данных, а также иными требованиями законодательства Российской Федерации и внутренними нормативными документами Общества.

7.2. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Общество обязано прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных (достижения цели обработки персональных данных), уничтожить либо обезличить персональные данные или обеспечить их уничтожение либо обезличивание (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва, если иное не предусмотрено законодательством РФ или договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Обществом и субъектом персональных данных, либо если Общество не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных в соответствии с федеральными законами.

8. Доступ к персональным данным

8.1. Доступ к персональным данным предоставляется только работникам Общества, указанным в соответствующих локальных нормативных актах Общества, либо третьим лицам с учетом требований законодательства Российской Федерации, а также нормативных, организационно-правовых документов Общества.

8.2. Представители органов государственной власти и управления (в том числе контролирующих, надзорных, правоохранительных и иных органов) получают доступ к персональным данным, обрабатываемым в Обществе, в объеме, порядке и на условиях, установленных законодательством Российской Федерации.

8.3. Представители сторонних организаций могут получить доступ к персональным данным субъектов персональных данных только при наличии у Общества письменного согласия субъекта персональных данных на предоставление его персональных данных сторонней организации, если иное не предусмотрено законодательством Российской Федерации.

9. Способы обработки персональных данных

9.1. В Обществе осуществляется автоматизированная и неавтоматизированная обработка (без использования средств автоматизации) персональных данных, а также смешанная обработка персональных данных (производится как при помощи средств вычислительной техники, так и без них).

10. Права субъекта персональных данных

10.1. Субъект персональных данных имеет право на:

получение информации, касающейся обработки его персональных данных, в том числе содержащей:
подтверждение факта обработки персональных данных Обществом;
правовые основания и цели обработки персональных данных;
цели и применяемые Обществом способы обработки персональных данных;
наименование и место нахождения Общества, сведения о лицах (за исключением работников Общества), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Обществом или на основании федерального закона;
перечень обрабатываемых в Обществе персональных данных субъекта персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен законодательством Российской Федерации;
сроки обработки персональных данных, в том числе сроки их хранения;
порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом «О персональных данных»;
информацию об осуществленной или о предполагаемой трансграничной передаче персональных данных;
наименование или имя, отчество, фамилию и адрес лица, осуществляющего обработку персональных данных по поручению Общества, если обработка поручена или будет поручена такому лицу;
иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами;
определение представителей в целях защиты своих персональных данных;
требование об уточнении своих персональных данных, их блокировании или уничтожении в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
отзыв согласия на обработку своих персональных данных за исключением случаев, предусмотренных Федеральным законом «О персональных данных», а также иными нормативными правовыми актами Российской Федерации;
обжалование в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке любых неправомерных действий или бездействия Общества при обработке и защите его персональных данных;
иные права, установленные Федеральным законом «О персональных данных».

10.2. Право субъекта персональных данных на получение информации, касающейся обработки его персональных данных, может быть ограничено в случаях, установленных Федеральным законом «О персональных данных».

11. Обязанности ООО «Русское руно»

11.1. Общество как оператор персональных данных обязан:

не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации;
по требованию субъекта персональных данных прекратить обработку его персональных данных за исключением случаев, предусмотренных законодательством Российской Федерации;
принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и иными законодательными актами Российской Федерации;
предоставить субъекту персональных данных или его законному представителю при обращении либо при получении запроса от субъекта персональных данных или его представителя полную информацию о составе и обработке Обществом персональных данных субъекта персональных данных, за исключением случаев и условий, предусмотренных законодательством Российской Федерации;
осуществлять передачу персональных данных субъекта персональных данных третьим лицам только в соответствии с требованиями Федерального закона «О персональных данных», а также положениями настоящей Политики и внутренних нормативных документов Общества;
вести учет передачи персональных данных субъекта персональных данных третьим лицам;
обеспечить защиту персональных данных субъекта персональных данных от неправомерной их обработки и передачи в порядке, установленном законодательством Российской Федерации и внутренними нормативными документами Общества;
при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, предусмотренных Федеральным законом «О персональных данных»;
в случае реорганизации или ликвидации Общества вести учет и обеспечивать сохранность документов, содержащих персональные данные субъектов персональных данных, осуществлять передачу их на государственное хранение в соответствии с правилами, предусмотренными законодательством Российской Федерации и учредительными документами Общества.

12. Обеспечение безопасности персональных данных

12.1. Защита персональных данных является составной частью деятельности Общества.

12.2. Безопасность персональных данных при их обработке в информационных системах персональных данных обеспечивается принятием в Обществе необходимых правовых, организационных и технических мер по защите персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.

12.3. Обеспечение безопасности персональных данных достигается, в частности:

определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных Общества;
применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации и определенные для каждой информационной системы персональных данных Общества уровни защищенности персональных данных с учетом актуальности угроз безопасности персональных данных;
применением прошедшей в установленном порядке процедуры оценки соответствия средств защиты информации;
оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных в информационных системах персональных данных;
учетом машинных носителей персональных данных;
обнаружением фактов несанкционированного доступа к персональным данным;
восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных
раздельным хранением персональных данных, обработка которых осуществляется в различных целях;
включением положений по обеспечению безопасности персональных данных в договоры с третьими лицами, которым передаются персональные данные и поручается обработка персональных данных, в том числе требования не раскрывать и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.

12.4. В целях организации и проведения работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных Общество назначает ответственное лицо.

13. Ответственность

13.1. Ответственность за соблюдение требований законодательства Российской Федерации и нормативных документов в области персональных данных в Обществе во всех подразделениях Общества вне зависимости от их организационной структуры и территориального расположения, а также за обеспечение конфиденциальности и безопасности персональных данных в указанных подразделениях несут работники Общества в порядке, установленном законодательством Российской Федерации.