ПОЛИТИКА

в области обработки персональных данных в ООО «АРИВЕС»

1. Термины и определения

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

Биометрические персональные данные – сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются для установления личности субъекта персональных данных.

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Закон - Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных».

Законодательство РФ – совокупность положений нормативных правовых актов РФ, которыми определены случаи и особенности обработки персональных данных, а также установлены требования к обработке персональных данных.

Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Конфиденциальность персональных данных – обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их раскрытие третьим лицам или их распространение без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Надзорный орган – орган, уполномоченный на осуществление государственного контроля (надзора) за соответствием обработки персональных данных требованиям Законодательства РФ о персональных данных (Роскомнадзор).

Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Специальные категории персональных данных – персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья и интимной жизни.

Субъект персональных данных – физическое лицо, которое прямо или косвенно определено, или определяемо с помощью персональных данных.

Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

2. Общие положения

2.1. Настоящая Политика в области обработки персональных данных в ООО «АРИВЕС» (далее – Политика), определяет цели, содержание, порядок и политику обработки персональных данных, меры, направленные на защиту персональных данных, а также процедуры выявления и предотвращения нарушений законодательства Российской Федерации в области персональных данных ООО «АРИВЕС», зарегистрированному по адресу: 141504, Московская область, г.о. Солнечногорск, г. Солнечногорск, туп. Славянский, д. 2 (далее – Оператор).

2.2. Обработка персональных данных работников Оператора осуществляется в соответствии с правилами, установленными Главой 14 Трудового кодекса РФ. Политика обязательна для исполнения всеми работниками Оператора, непосредственно участвующими в обработке персональных данных.

2.3. Все работники Оператора, имеющие доступ к персональным данным, должны подписать «Обязательство о неразглашении информации ограниченного доступа».

2.4. Политика размещается (публикуется) Оператором в открытом

(неограниченном) доступе на сайте по адресу https://stillbloom.ru .

2.5. Запрещено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением случаев, установленных ч.2 ст. 16 Закона.

Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.

2.6. Настоящая Политика разработана в соответствии с Законом, Федеральным законом от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации», постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и иным действующим законодательством РФ.

2.7. Оператор обрабатывает персональные данные в исполнение и в соответствии со следующими нормативными и правовыми актами, не ограничиваясь:

ст. ст. 23-24 Конституции Российской Федерации;

ст. ст. 65, 86-90 Трудового кодекса Российской Федерации, иные нормативные правовые акты, содержащие нормы трудового права;

Федерального закона от 06.12.2011 N 402-ФЗ "О бухгалтерском учете";

Постановления Правительства РФ от 27.11.2006 N 719 "Об утверждении Положения о воинском учете";

Налоговым кодексом Российской Федерации;

Гражданским кодексом Российской Федерации п.2 Постановлением Госкомстата РФ от 5 января 2004 г. № 1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты»;

ст. 22.1 Федерального закона № 125-ФЗ «Об архивном деле в Российской Федерации»;

Приказом от 25 августа 2010 г. № 558 Об утверждении «Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций с указанием сроков хранения»; а также:

Согласиями на обработку персональных данных;

Договором, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных;

Уставом и иными внутренними нормативными документами Оператора.

2.8. Настоящая Политика не распространяется на следующие случаи:

хранения, комплектования, учета и использования архивных документов, содержащих персональные данные, в соответствии с законодательством об архивном деле в Российской Федерации;

обработки персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.

Настоящая Политика вводится в действие и становится обязательной для исполнения всеми Работниками Оператора с момента ее утверждения.

Настоящая Политика может быть изменена в любой момент времени по усмотрению Оператора.

В случае, если по тем или иным причинам одно или несколько положений настоящей Политики будут признаны недействительными или не имеющими юридической силы, данные обстоятельства не оказывают влияния на действительность или применимость остальных положений Политики.

3. Принципы обработки персональных данных

3.1. Обработка персональных данных осуществляется с соблюдением следующих принципов и правил:

обработка персональных данных осуществляется на законной и справедливой основе;

обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;

не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;

не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

обработке подлежат только персональные данные, которые отвечают целям их обработки;

содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки персональных данных и не должны быть избыточными по отношению к заявленным целям их обработки;

при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. ООО «АРИВЕС» принимает необходимые меры по удалению или уточнению неполных и (или) неточных данных;

хранение персональных данных в форме, позволяющей определить субъекта персональных данных, осуществляется не дольше, чем этого требуют цели их обработки, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого является субъект персональных данных;

обрабатываемые персональные данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Законом.

3.2. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством РФ, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных;

4. Права и обязанности Оператора, права Субъекта персональных данных

4.1. Оператор обязан:

при обработке персональных данных соблюдать требования Законодательства РФ в отношении обработки и защиты персональных данных, в том числе требования, предусмотренные для сбора персональных данных;

при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных Субъектов персональных данных (граждан РФ) с использованием баз данных, находящихся на территории РФ, за исключением случаев, предусмотренных Законодательством РФ;

при сборе персональных данных с использованием информационно-телекоммуникационных сетей, опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего Оператору сайта в информационно-телекоммуникационной сети «Интернет», с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;

в случае, если предоставление персональных данных и/или согласия на их обработку является обязательным в соответствии с требованиями Законодательства РФ и Субъект персональных данных отказывается предоставить персональные данные и/или предоставить согласие на их обработку, разъяснить юридические последствия непредоставления персональных данных и/или согласия на их обработку;

в случае получения персональных данных не от Субъекта персональных данных до начала обработки персональных данных предоставить Субъекту персональных данных информацию, предусмотренную Законом, с учетом установленных Законодательством РФ исключений;

выполнять обязанности, предусмотренные для Операторов персональных данных, при получении запросов и/или обращений по вопросам персональных данных от Субъекта персональных данных и/или его представителя (обладающего полномочиями на представление интересов Субъекта персональных данных), и/или от Надзорного органа;

принимать меры, направленные на обеспечение выполнения требований Закона;

принимать меры по обеспечению безопасности персональных данных при их обработке;

выполнять обязанности по устранению нарушений Законодательства РФ, если такие нарушения были допущены при обработке персональных данных, а также выполнять обязанности по уточнению, блокированию, уничтожению персональных данных в случаях, предусмотренных Законодательством РФ;

выполнять обязанности, установленные Законом для Операторов персональных данных, в случае получения от Субъекта персональных данных требования о прекращении обработки персональных данных и/или отзыва согласия на обработку персональных данных;

взаимодействовать с Надзорным органом по вопросам, связанным с обработкой и защитой персональных данных, в случаях, предусмотренных Законом;

обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения;

опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения, не позднее трех рабочих дней с момента получения соответствующего согласия субъекта персональных данных, разрешенных субъектом персональных данных для распространения;

разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов, рассмотреть указанное возражение в течение тридцати дней со дня его получения и уведомить субъекта персональных данных о результатах рассмотрения такого возражения;

разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку, если в соответствии с федеральным законом предоставление персональных данных и (или) получение оператором согласия на обработку персональных данных являются обязательными;

выполнять иные обязанности, предусмотренные Законодательством РФ.

4.2. Оператор имеет право:

обрабатывать персональные данные Субъектов персональных данных в отсутствие согласия на обработку персональных данных в случаях, предусмотренных Законом;

осуществлять передачу персональных данных Субъектов персональных данных Третьим лицам/Партнерам, государственным органам, муниципальным органам власти, государственным учреждениям, государственным внебюджетным фондам, иным лицам (если применимо), а также поручить обработку персональных данных Субъектов персональных данных Третьим лицам/Партнерам, иным лицам при наличии соответствующих правовых оснований и соблюдении требований Закона;

отказать Субъекту персональных данных в предоставлении сведений об обработке его персональных данных в случаях, предусмотренных Законом;

самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законодательством РФ;

самостоятельно, с учетом требований Закона, определять перечень необходимых правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных на основании проведенной оценки актуальных угроз безопасности персональных данных, а также определять порядок реализации указанных мер и проводить оценку эффективности принимаемых мер в соответствии с Законодательством РФ;

реализовывать иные права, предусмотренные Законодательством РФ.

4.3. Субъект персональных данных имеет право:

свободно, своей волей и в своем интересе предоставлять согласие на обработку персональных данных с учетом требований Закона к форме и содержанию согласий на обработку персональных данных;

направлять запросы и/или обращения, в том числе повторные, и получать информацию по вопросам обработки персональных данных, принадлежащих Субъекту персональных данных, в порядке, форме, объеме и в сроки, установленные Законодательством РФ;

требовать от Оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные Законодательством РФ меры по защите своих прав с учетом исключений, установленных Законом;

обратиться с требованием к Оператору прекратить обработку своих персональных данных, а также отозвать предоставленное согласие на обработку персональных данных;

осуществлять иные права, предусмотренные Законодательством РФ.

5. Цели обработки, категории и перечень обрабатываемых персональных данных, категории субъектов, способы, сроки их обработки

5.1. Оператор определяет процессы, в рамках реализации которых обрабатываются персональные данные. В рамках каждого процесса обработки персональных данных Оператор определяет цели обработки персональных данных.

5.2. Персональные денные обрабатываются Оператором в следующих целях:

5.2.1. Ведение кадрового документооборота:

− Категории обрабатываемых персональных данных: иные персональные данные.

− Перечень обрабатываемых персональных данных:

фамилия, имя, отчество, пол, возраст, дата рождения, должность, паспортные данные (серия, номер паспорта, данные о зарегистрировавшем органе, код зарегистрировавшего подразделения, дата выдачи) адрес регистрации, город рождения, ИНН, страховой номер индивидуального лицевого счета (СНИЛС), сведения об образовании, сведения о заработной плате, контактный номер телефона, адрес электронной почты

− Работники, Физические лица, заключившие договор гражданско-правового характера на проведение работ/оказание услуг, родственники работников.

− Способы обработки персональных данных: без использования средств автоматизации.

− Сроки обработки и хранения: до достижения целей обработки персональных данных, либо до момента отзыва согласия. Применительно к работникам достижением цели обработки является прекращение трудовых отношений с Оператором.

− Порядок уничтожения персональных данных: приведен в разделе 13.

− В рамках указанной цели не осуществляется передача персональных данных третьим лицам

5.2.2. Ведение бухгалтерского делопроизводства:

− Категории обрабатываемых персональных данных: иные персональные данные.

− Перечень обрабатываемых персональных данных:

фамилия, имя, отчество, пол, возраст, дата рождения, должность, паспортные данные (серия, номер паспорта, данные о зарегистрировавшем органе, код зарегистрировавшего подразделения, дата выдачи) адрес регистрации, город рождения, ИНН, СНИЛС, сведения об образовании, сведения о семейном положении, сведения воинского учета, сведения о заработной плате, стаж работы, банковские реквизиты, номер контактного телефона, адрес электронной почты.

− Категории субъектов персональных данных: Работники, Физические лица, заключившие договор гражданско-правового характера на проведение работ/ оказание услуг.

− Способы обработки персональных данных: автоматизированная и без использования средств автоматизации.

– Сроки обработки и хранения: до достижения целей обработки персональных данных. Применительно к работникам достижением цели обработки является прекращение трудовых отношений с Оператором.

− Порядок уничтожения персональных данных: приведен в разделе 13.

− В рамках указанной цели не осуществляется передача персональных данных третьим лицам

5.2.3. Заключение договоров и выполнение договорных обязательств:

− Категории обрабатываемых персональных данных: иные персональные данные.

− Перечень обрабатываемых персональных данных: фамилия, имя, отчество, адрес электронной почты, номер телефона, адрес проживания.

− Категории субъектов персональных данных: клиенты Оператора.

− Способы обработки персональных данных: автоматизированная и без использования средств автоматизации.

− Сроки обработки и хранения: до достижения целей обработки персональных данных.

− Порядок уничтожения персональных данных: приведен в разделе 13.

− В рамках указанной цели персональные данные могут быть переданы третьим лицам:

ООО «Яндекс.Доставка» (ИНН 7716760301), адрес: 123112, г. Москва, вн.тер.г. муниципальный округ Пресненский, пр-д 1-й Красногвардейский, д. 22, стр. 1, этаж 13, помещ. 13-40;

ООО «Интернет Решения» (ИНН 7704217370), адрес: 123112, г. Москва, наб. Пресненская, д. 10, помещ. I эт 41 комн 6;

ООО «СДЭК-Глобал» (ИНН 7722327689), адрес: 630007, Новосибирская область, г. Новосибирск, ул. Кривощековская, зд. 15, к. 1, этаж 1,2

5.2.4. Ведение аналитики в рамках маркетинговой деятельности:

− Категории обрабатываемых персональных данных: иные персональные данные.

− Перечень обрабатываемых персональных данных: файлы cookie, Номер телефона,

адрес электронной почты, мобильный идентификатор, web-идентификатор (cookie).

− Категории субъектов персональных данных: Пользователи сайта Оператора по адресу https://stillbloom.ru

− Способы обработки персональных данных: автоматизированная.

− Сроки обработки и хранения: до достижения целей обработки персональных данных,

либо до момента отзыва согласия.

− Порядок уничтожения персональных данных: приведен в разделе 13.

− В рамках указанной цели персональные данные могут быть переданы третьим лицам:

ООО «ЯНДЕКС» (ИНН: 7736207543), адрес: 119021, г. Москва, ул. Льва Толстого, 16)

6. Передача персональных данных третьим лицам

6.1. В рамках достижения целей обработки персональных данных, изложенных в разделе 5, Оператор может передавать персональные данные третьим лицам, а именно:

ООО «Интернет Решения» (ИНН 7704217370), адрес: 123112, г. Москва, наб. Пресненская, д. 10, помещ. I эт 41 комн 6;

В связи с тем, что базы данных Оператора расположены в виртуальной инфраструктуре облачного провайдера, Оператор осуществляет передачу персональных данных АО «ИОТ» (ИНН: 7731399513).

Передача персональных данных вышеуказанным лицам осуществляется на основании согласия на обработку персональных данных.

Лица, осуществляющие обработку персональных данных обязуются соблюдать принципы и правила обработки и защиты персональных данных, предусмотренные Законом.

Оператор вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.

7. Конфиденциальность персональных данных

7.1. Доступ к персональным данным ограничивается в соответствии с законодательством Российской Федерации.

7.2. В соответствии с настоящей Политикой персональные данные субъектов являются конфиденциальной информацией.

7.3. Доступ к обрабатываемым персональным данным предоставляется только тем работникам Оператора, которым он необходим в связи с исполнением ими своих должностных обязанностей.

7.4. Работники Оператора, получившие доступ к персональным данным, принимают на себя обязательства по обеспечению конфиденциальности и безопасности обрабатываемых персональных данных.

7.5. Оператор не раскрывает третьим лицам и не распространяет персональные данные без согласия на это субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.

8. Меры обеспечения безопасности персональных данных

8.1. Оператор принимает (или обеспечивает их принятие) необходимые и достаточные организационные и технические меры для обеспечения безопасности персональных данных от случайного или неправомерного доступа к ним, уничтожения, изменения, блокирования копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

8.2. Обеспечение безопасности персональных данных (в том числе в информационных системах персональных данных Оператора) достигается, в частности:

ограничением состава работников Оператора, имеющих доступ к персональным данным;

издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований;

ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников.

9. Порядок и условия обработки персональных данных

9.1. Оператор осуществляет следующие действия с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление), блокирование, удаление, уничтожение персональных данных.

9.2. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных.

9.3. Обработка биометрических персональных данных и специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не осуществляется.

9.4. Трансграничная передача персональных данных не осуществляется.

9.5. При обработке персональных данных с использованием средств автоматизации Оператор использует базы данных, находящиеся на территории Российской Федерации.

9.6. Оператор не проверяет достоверность информации, предоставляемой Субъектом, и исходит из того, что Субъект предоставляет достоверную и достаточную информацию, контролирует ее актуальность.

9.7. В случае выявления факта обработки неточных персональных данных или их неправомерной обработки, обеспечивается уточнение и блокировка персональных данных соответственно.

9.8. При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных.

9.9. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено Законодательством. Если Оператор получает от субъекта согласие на обработку его персональных данных в письменной форме, такое согласие должно соответствовать требованиям, приведенным в части 4 статьи 9 Закона.

9.10. Если иное не предусмотрено Законодательством, допускается обработка персональных данных субъекта персональных данных, если она необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.

Действие согласия субъекта персональных данных на обработку персональных данных прекращается с момента поступления оператору требования, которое включает в себя: фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению.

9.11. Если в соответствии с законодательством Российской Федерации предоставление персональных данных и (или) получение Оператором согласия на обработку персональных данных являются обязательными, Оператор разъясняет субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку.

9.12. Если персональные данные получены не от субъекта персональных данных, Оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:

наименование и адрес Оператора;

цель обработки персональных данных и ее правовое основание;

перечень персональных данных;

предполагаемые пользователи персональных данных;

установленные законодательством о персональных данных права субъекта персональных данных;

источник получения персональных данных.

9.13. Оператор освобождается от обязанности предоставлять субъекту перечисленные сведения, в случаях, если субъект уведомлен об осуществлении обработки его персональных данных, либо если персональные данные получены Оператором на основании федерального закона или в связи с исполнением договора, стороной которого является субъект персональных данных.

9.14. Предоставление персональных данных субъектов органам государственной власти, органам местного самоуправления, а также иным уполномоченным органам допускается в случаях и на основаниях, предусмотренных законодательством Российской Федерации.

9.15. Представителю субъекта (в том числе родственникам или членам семьи) персональные данные субъекта передаются в порядке, установленном действующим законодательством Российской Федерации, при наличии документов, подтверждающих полномочия таких представителей, и документов, удостоверяющих личность представителя.

9.16. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.

9.17. В случае смерти субъекта персональных данных согласие на обработку его персональных данных дают наследники субъекта персональных данных, если такое согласие не было дано субъектом персональных данных при его жизни.

9.18. Передача персональных данных субъекта третьему лицу осуществляется только с согласия субъекта. В согласии субъекта персональных данных указывается третье лицо, которому передаются персональные данные, а также цель передачи и обработки персональных данных.

9.19. Персональные данные могут быть получены Оператором от лица, не являющегося субъектом персональных данных, при условии предоставления Оператору подтверждения наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Закона.

9.20. Срок обработки персональных данных ограничивается достижением целей обработки персональных данных. Субъект персональных данных может в любой момент отозвать свое согласие на обработку персональных данных, направив Оператору уведомление посредством электронной почты на электронный адрес Оператора stillbloom@mail.ru с пометкой «Отзыв согласия на обработку персональных данных».

9.21.Получение информации из общедоступных источников персональных данных с целью ее обработки Оператором не производится.

Обеспечение доказательств наличия правовых оснований на обработку персональных данных

Оператор осуществляет учет и хранение согласий в течение срока действия согласия, увеличенного на три года (общий срок исковой давности).

В соответствии со ст. 196 ГК РФ срок исковой давности составляет три года.

По запросу уполномоченного органа по защите прав субъектов персональных данных или субъекта персональных данных Оператор предоставляет доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия иных оснований обработки персональных данных.

Подтверждением факта получения согласия на бумажном носителе является бланк согласия с собственноручной подписью субъекта персональных данных или его представителя и указанием даты его подписи.

Хранение согласий, оформленных на бумажном носителе, осуществляется в управлении по работе с персоналом.

При получении согласия от представителя субъекта персональных данных Оператор осуществляет хранение документов, подтверждающих полномочия представителя, в течение срока, установленного для хранения согласий. Хранение документов, подтверждающих полномочия представителя, осуществляется совместно с согласиями.

В целях обеспечения подтверждения получения Оператором согласий в электронном виде, в информационных системах персональных данных Оператора реализованы функции учета полученных согласий в журналах регистрации событий информационных систем и хранения подтверждений (с возможностью их выгрузки для последующей печати), содержащих следующую информацию:

текст согласия;

идентификационные данные субъекта персональных данных;

признак акцепта согласия;

дату и время акцепта согласия.

10.8. В части согласий, имеющих длительные сроки действия, превышающие сроки хранения в информационных системах персональных данных журналов регистрации событий и атрибутов, из информационных систем осуществляется выгрузка и формирование подтверждений в формат электронного документа.

11. Порядок поручения обработки персональных данных

11.1. Оператор может поручать обработку персональных данных другому лицу только с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора.

Лицо, осуществляющее обработку персональных данных, полученных от Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом №152-ФЗ от 27 июля 2006 г. «О персональных данных». При этом обязанность получать согласие субъекта персональных данных на обработку его персональных данных остается за Оператором.

Ответственность перед субъектом персональных данных за действия или бездействия лица, осуществляющего обработку персональных данных по поручению Оператора, несет Оператор. Лицо, осуществляющее обработку персональных данных по поручению Оператора, несет ответственность перед Оператором.

Лицо, осуществляющее обработку персональных данных, полученных от Оператора, обязано соблюдать конфиденциальность обрабатываемых персональных данных, принимать меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом.

12. Порядок уничтожения персональных данных

12.1. Оператор прекращает обработку персональных данных или обеспечивает прекращение такой обработки (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) и уничтожает носители персональных данных и удаляет их из информационных систем персональных данных в случаях:

достижения целей обработки персональных данных или максимальных сроков хранения – в течение 30 дней;

утраты необходимости в достижении целей обработки персональных данных – в течение 30 дней;

предоставление субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки – в течение 7 дней;

невозможности обеспечения правомерности обработки персональных данных – в течение 10 дней;

отзыва субъектом персональных данных согласия на обработку его персональных данных – в течение 30 дней;

12.2. Уничтожение персональных данных, обрабатываемых автоматизированным способом, производится средствами операционной системы и/или системы управления базами данных. Документами, подтверждающими уничтожение персональных данных субъектов персональных данных, обрабатываемых автоматизированным способом, являются акт об уничтожении персональных данных.

12.3. Уничтожение персональных данных, обрабатываемых без использования средств автоматизации, производится путем механического нарушения целостности носителя персональных данных, не позволяющего произвести считывание или восстановление персональных данных. Документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является акт об уничтожении персональных данных.

12.4. В случае если обработка персональных данных осуществляется Оператором одновременно с использованием средств автоматизации и без использования средств автоматизации, документом, подтверждающим уничтожение персональных данных, является акт об уничтожении персональных данных.

12.5. Акт об уничтожении персональных данных подлежит хранению в течение 3 лет с момента уничтожения персональных данных.

13. Рассмотрение запросов субъектов персональных данных или их представителей

13.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных Оператором, в том числе содержащей:

подтверждение факта обработки его персональных данных Оператором;

правовые основания и цели обработки персональных данных;

применяемые Оператором способы обработки персональных данных;

наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;

обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;

сроки обработки персональных данных, в том числе сроки их хранения Оператором;

порядок осуществления субъектом персональных данных прав, предусмотренных законодательством Российской Федерации в области персональных данных;

информацию об осуществленной или о предполагаемой трансграничной передаче персональных данных;

наименование организации или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такой организации или лицу;

иные сведения, предусмотренные законодательством Российской Федерации в области персональных данных.

13.2. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

13.3. Если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований законодательства Российской Федерации в области персональных данных или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Оператора в вышестоящий орган по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций – Роскомнадзор) или в судебном порядке.

13.4. Субъект имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

13.5. Субъект персональных данных либо его представитель имеет право в соответствии с Законом обратиться к Оператору с требованием прекратить обработку своих персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации.

14. Уведомление уполномоченного органа по защите прав субъектов персональных данных

14.1. В случаях, установленных Законом, Оператор направляет уведомление об обработке персональных данных в уполномоченный орган по защите прав субъектов персональных данных.

14.2. В случае изменений сведений об обработке персональных данных Оператор уведомляет об этом уполномоченный орган по защите прав субъектов персональных данных в порядке и сроки, установленные частью 7 статьи 22 Закона.

14.3. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Оператор с момента выявления такого инцидента, уведомляет уполномоченный орган по защите прав субъектов персональных данных:

в течение 24 (двадцати четырех) часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;

в течение 72 (семидесяти двух) часов о результатах внутреннего расследования выявленного инцидента, а также о лицах, действия которых стали причиной выявленного инцидента (при наличии).

14.4. Оператор сообщает по запросу уполномоченного органа по защите прав субъектов персональных данных необходимую информацию в течение 10 (десяти) рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Оператором в адрес уполномоченного органа по защите прав субъектов персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.