О НАС
ДОВЕРИЕ И СТАТУС
Нужна консультация
Поможем выбрать стратегию защиты под ваш проект, бюджет и требования регуляторов
1. Общие положения
1.1. Политика ООО «Центр информационной безопасности» в отношении обработки персональных данных (далее – Политика) разработана в целях реализации требований законодательства Российской Федерации в области персональных данных при их обработке в ООО «Центр информационной безопасности» (далее – оператор) и действует в отношении всех персональных данных, которые ООО «Центр информационной безопасности» (далее – ООО «ЦИБ») может получить от субъектов персональных данных.
1.2. Политика разработана в соответствии с Трудовым кодексом Российской Федерации (далее – ТК РФ), Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Федеральный закон «О персональных данных») и Рекомендациями по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», опубликованными на официальном сайте Роскомнадзора в информационно-телекоммуникационной сети «Интернет» (https://rkn.gov.ru/personal-data/p908/).
1.3. Настоящая Политика является общедоступным документом.
1.4. В настоящей Политике используются следующие основные понятия: автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники; блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных); госзакупки – организованная система приобретения товаров, выполнения работ и оказания услуг для решения нужд муниципальных и государственных учреждений; информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств; конфиденциальность персональных данных – обязанность операторов и иных лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом; обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение персональных данных; оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующий и (или) осуществляющий обработку персональных данных, а также определяющий цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); пользователь – юридическое или физическое лицо, которое пользуется сайтом ООО «ЦИБ» https://www.cib159.ru/ (далее – Сайт) и (или) получило к нему доступ; правообладатель – лицо или компания (ООО «ЦИБ»), на имя которого зарегистрирован Сайт; предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц; распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц; сайт – одна или несколько логически связанных между собой веб-страниц, имеющих уникальный адрес, которые отображаются как результат поиска по запросу в поисковой системе браузеров (yandex, google и т.д.); субъект персональных данных – физическое лицо, к которому относятся соответствующие персональные данные; трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу; уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных; файлы cookie – преимущественно небольшие фрагменты данных, которые хранятся на компьютере, планшете, мобильном телефоне или другом устройстве пользователя и позволяют записывать определенную информацию при любом посещении Сайта, взаимодействии со службами, приложениями, инструментами, а также отправке и получении сообщений, с целью идентификации пользователя независимо от используемого им устройства.
2. Информация об операторе персональных данных
Наименование: Общество с ограниченной ответственностью «Центр информационной безопасности».
Адрес местонахождения: 614066, Пермский край, г. Пермь, Шоссе Космонавтов, д. 111Д, пом. 25.
ИНН: 5902236116.
Контактный телефон: +7 (342) 20-74-159.
Адрес электронной почты: info@cib159.ru.
3. Правовые основания обработки персональных данных
3.1. Правовыми основаниями обработки персональных данных в ООО «ЦИБ» являются:
– Конституция Российской Федерации;
– Трудовой кодекс Российской Федерации;
– Гражданский кодекс Российской Федерации;
– Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»;
– Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»;
– Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
– Положение о воинском учете, утвержденное постановлением Правительства Российской Федерации от 27.11.2006 № 719;
– Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденное постановлением Правительства Российской Федерации от 15.09.2008 № 687;
– Требования к защите персональных данных при их обработке в информационных системах персональных данных, утвержденные постановлением Правительства Российской Федерации от 01.11.2012 № 1119;
– Требования к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных», утвержденные приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 27.10.2022 № 178 (далее – Требования к оценке вреда);
– Требования к подтверждению уничтожения персональных данных, утвержденные приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28.10.2022 г. № 179;
– Порядок взаимодействия операторов с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных, утвержденный приказом Федеральной службы безопасности Российской Федерации от 13.02.2023 № 77;
– Порядок и условия взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденные Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 14.11.2022 № 187;
– Устав ООО «ЦИБ»;
– согласие субъекта персональных данных на обработку персональных данных, оформленное в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (Приложение №1 к Политике);
– договоры, заключаемые между ООО «ЦИБ» и субъектами персональных данных;
– иные нормативные правовые акты и локальные нормативные акты ООО «ЦИБ».
4. Цели обработки персональных данных
4.1. Обработка персональных данных в ООО «ЦИБ» осуществляется в следующих целях:
– трудоустройство работников ООО «ЦИБ»;
– исполнения требований, предусмотренных Трудовым кодексом Российской Федерации, в том числе по выплате работникам ООО «ЦИБ» заработной платы, компенсаций, премий, по осуществлению налоговых и пенсионных отчислений, оформлению справок, расчетов с подотчетными лицами, предоставления работникам ООО «ЦИБ» отпусков, документов для направления работников в командировки, предоставления работникам и членам их семей дополнительных гарантий и компенсаций;
– ведения кадрового делопроизводства и личных дел работников;
– получения лицензий ФСБ России для работы с секретной информацией;
– получения лицензий ФСТЭК России для обеспечения технической защиты конфиденциальной информации и (или) государственной тайны;
– оформления пропусков на территорию предприятия клиентов и контрагентов ООО «ЦИБ»;
– оформления заявок для участия в госзакупках;
– оформления доверенности для получения, покупки, отправки товаров;
– оформления доверенности для подписи документов;
– приобретения проездных документов (билетов), бронировании номеров в гостинице, направляемым в командировку работникам ООО «ЦИБ»;
– оформление документов для проведения обучения работников ООО «ЦИБ»;
– оформления визитных карточек, сайта компании, подписи в электронной почте, карточек для выступления на конференциях и форумах;
– заполнения и передачи форм отчетности в случаях, предусмотренных законодательством Российской Федерации;
– осуществления договорной деятельности в рамках возникновения, изменения и прекращения правоотношений между ООО «ЦИБ», клиентами и прочими контрагентами;
– организации внерабочей деятельности.
4.2. Обработка персональных данных в иных целях в ООО «ЦИБ» не допускается.
5. Состав обрабатываемых персональных данных и категории субъектов
персональных данных
5.1. В ООО «ЦИБ» обрабатываются следующие категории персональных данных:
– общедоступные;
– иные.
5.2. В ООО «ЦИБ» обрабатываются персональные данные следующих категорий субъектов:
– работники ООО «ЦИБ»;
– физические лица, работающие в ООО «ЦИБ» по договорам гражданско-правового характера;
– клиенты и контрагенты ООО «ЦИБ» (физические лица, индивидуальные предприниматели, представители/работники клиентов и контрагентов ООО «ЦИБ»).
5.3. Персональные данные работников ООО «ЦИБ» включают в себя:
– фамилию, имя, отчество;
– год, месяц, число и место рождения;
– адрес регистрации;
– адрес фактического проживания;
– паспортные данные;
– данные, содержащиеся в военном билете (удостоверении гражданина, подлежащего призыву на военную службу), категория годности к военной службе;
– данные об образовании, профессии, специальности, квалификации, опыте работы, стаже, переквалификации;
– сведения о наличии права на льготы, о государственных и ведомственных наградах;
– сведения о местах работы, продолжительности работы, о переводах и других изменениях трудового договора и причинах прекращения трудовых отношений;
– идентификационный номер налогоплательщика (ИНН);
– страховой номер индивидуального лицевого счета;
– информацию об уровне доходов, о размере заработной платы, авансовых платежах и других выплатах, членских взносах;
– номер банковского счета;
– данные медицинского характера в случаях, прямо предусмотренных действующим законодательством.
5.4. Персональные данные физических лиц, работающих ООО «ЦИБ» в рамках договоров гражданско-правового характера, включают в себя:
– фамилию, имя, отчество;
– адрес регистрации;
– паспортные данные;
– страховой номер индивидуального лицевого счета;
– идентификационный номер налогоплательщика (ИНН);
– номер банковского счета и реквизиты банка;
– доходы (выплаты по договорам гражданско-правового характера);
5.5. Персональные данные клиентов и контрагентов ООО «ЦИБ» (физических лиц, индивидуальных предпринимателей) включают в себя:
– фамилию, имя, отчество;
– идентификационный номер налогоплательщика (ИНН);
– основной государственный регистрационный номер индивидуального предпринимателя (ОГРНИП);
– адрес регистрации;
– адрес фактического проживания;
– данные документа, удостоверяющего личность;
– номер телефона, факса;
– адрес электронной почты (e-mail);
– банковские реквизиты;
– данные, указанные в доверенности.
5.6. Персональные данные представителей (работников) клиентов и контрагентов ООО «ЦИБ» (юридических лиц) включают в себя:
– фамилия, имя, отчество;
– должность;
– идентификационный номер налогоплательщика (ИНН);
– адрес регистрации;
– данные документа, удостоверяющего личность;
– номер телефона, факса;
– адрес электронной почты (e-mail);
– персональные данные, указанные в доверенности.
6. Принципы обработки персональных данных
6.1. При обработке персональных данных ООО «ЦИБ» руководствуется следующими принципами:
– обеспечение законности целей, способов получения и обработки персональных данных;
– обработка персональных данных должна быть ограничена достижением конкретных, заранее определенных и законных целей, а также полномочиями ООО «ЦИБ»;
– соответствие объема и содержания обрабатываемых персональных данных, способов их обработки заявленным целям обработки;
– обеспечение достоверности, точности персональных данных, их актуальности и достаточности для достижения целей обработки;
– легитимность организационных и технических мер по обеспечению безопасности персональных данных;
– недопустимость обработки избыточных по отношению к целям сбора персональных данных;
– недопустимость объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
– обеспечение точности персональных данных, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки персональных данных;
– обеспечение необходимых мер либо их принятие по удалению или уточнению неполных или неточных данных;
– недопустимость использования персональных данных в целях причинения имущественного и (или) морального вреда субъектам персональных данных, затруднения реализации их прав и свобод;
– обеспечение требуемого уровня знаний работников ООО «ЦИБ» в сфере обеспечения безопасности персональных данных при их обработке;
– обеспечение поддержания на требуемом уровне и своевременного совершенствования системы защиты персональных данных.
1.1. Политика ООО «Центр информационной безопасности» в отношении обработки персональных данных (далее – Политика) разработана в целях реализации требований законодательства Российской Федерации в области персональных данных при их обработке в ООО «Центр информационной безопасности» (далее – оператор) и действует в отношении всех персональных данных, которые ООО «Центр информационной безопасности» (далее – ООО «ЦИБ») может получить от субъектов персональных данных.
1.2. Политика разработана в соответствии с Трудовым кодексом Российской Федерации (далее – ТК РФ), Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Федеральный закон «О персональных данных») и Рекомендациями по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», опубликованными на официальном сайте Роскомнадзора в информационно-телекоммуникационной сети «Интернет» (https://rkn.gov.ru/personal-data/p908/).
1.3. Настоящая Политика является общедоступным документом.
1.4. В настоящей Политике используются следующие основные понятия: автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники; блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных); госзакупки – организованная система приобретения товаров, выполнения работ и оказания услуг для решения нужд муниципальных и государственных учреждений; информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств; конфиденциальность персональных данных – обязанность операторов и иных лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом; обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение персональных данных; оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующий и (или) осуществляющий обработку персональных данных, а также определяющий цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); пользователь – юридическое или физическое лицо, которое пользуется сайтом ООО «ЦИБ» https://www.cib159.ru/ (далее – Сайт) и (или) получило к нему доступ; правообладатель – лицо или компания (ООО «ЦИБ»), на имя которого зарегистрирован Сайт; предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц; распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц; сайт – одна или несколько логически связанных между собой веб-страниц, имеющих уникальный адрес, которые отображаются как результат поиска по запросу в поисковой системе браузеров (yandex, google и т.д.); субъект персональных данных – физическое лицо, к которому относятся соответствующие персональные данные; трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу; уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных; файлы cookie – преимущественно небольшие фрагменты данных, которые хранятся на компьютере, планшете, мобильном телефоне или другом устройстве пользователя и позволяют записывать определенную информацию при любом посещении Сайта, взаимодействии со службами, приложениями, инструментами, а также отправке и получении сообщений, с целью идентификации пользователя независимо от используемого им устройства.
2. Информация об операторе персональных данных
Наименование: Общество с ограниченной ответственностью «Центр информационной безопасности».
Адрес местонахождения: 614066, Пермский край, г. Пермь, Шоссе Космонавтов, д. 111Д, пом. 25.
ИНН: 5902236116.
Контактный телефон: +7 (342) 20-74-159.
Адрес электронной почты: info@cib159.ru.
3. Правовые основания обработки персональных данных
3.1. Правовыми основаниями обработки персональных данных в ООО «ЦИБ» являются:
– Конституция Российской Федерации;
– Трудовой кодекс Российской Федерации;
– Гражданский кодекс Российской Федерации;
– Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»;
– Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»;
– Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
– Положение о воинском учете, утвержденное постановлением Правительства Российской Федерации от 27.11.2006 № 719;
– Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденное постановлением Правительства Российской Федерации от 15.09.2008 № 687;
– Требования к защите персональных данных при их обработке в информационных системах персональных данных, утвержденные постановлением Правительства Российской Федерации от 01.11.2012 № 1119;
– Требования к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных», утвержденные приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 27.10.2022 № 178 (далее – Требования к оценке вреда);
– Требования к подтверждению уничтожения персональных данных, утвержденные приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28.10.2022 г. № 179;
– Порядок взаимодействия операторов с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных, утвержденный приказом Федеральной службы безопасности Российской Федерации от 13.02.2023 № 77;
– Порядок и условия взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденные Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 14.11.2022 № 187;
– Устав ООО «ЦИБ»;
– согласие субъекта персональных данных на обработку персональных данных, оформленное в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (Приложение №1 к Политике);
– договоры, заключаемые между ООО «ЦИБ» и субъектами персональных данных;
– иные нормативные правовые акты и локальные нормативные акты ООО «ЦИБ».
4. Цели обработки персональных данных
4.1. Обработка персональных данных в ООО «ЦИБ» осуществляется в следующих целях:
– трудоустройство работников ООО «ЦИБ»;
– исполнения требований, предусмотренных Трудовым кодексом Российской Федерации, в том числе по выплате работникам ООО «ЦИБ» заработной платы, компенсаций, премий, по осуществлению налоговых и пенсионных отчислений, оформлению справок, расчетов с подотчетными лицами, предоставления работникам ООО «ЦИБ» отпусков, документов для направления работников в командировки, предоставления работникам и членам их семей дополнительных гарантий и компенсаций;
– ведения кадрового делопроизводства и личных дел работников;
– получения лицензий ФСБ России для работы с секретной информацией;
– получения лицензий ФСТЭК России для обеспечения технической защиты конфиденциальной информации и (или) государственной тайны;
– оформления пропусков на территорию предприятия клиентов и контрагентов ООО «ЦИБ»;
– оформления заявок для участия в госзакупках;
– оформления доверенности для получения, покупки, отправки товаров;
– оформления доверенности для подписи документов;
– приобретения проездных документов (билетов), бронировании номеров в гостинице, направляемым в командировку работникам ООО «ЦИБ»;
– оформление документов для проведения обучения работников ООО «ЦИБ»;
– оформления визитных карточек, сайта компании, подписи в электронной почте, карточек для выступления на конференциях и форумах;
– заполнения и передачи форм отчетности в случаях, предусмотренных законодательством Российской Федерации;
– осуществления договорной деятельности в рамках возникновения, изменения и прекращения правоотношений между ООО «ЦИБ», клиентами и прочими контрагентами;
– организации внерабочей деятельности.
4.2. Обработка персональных данных в иных целях в ООО «ЦИБ» не допускается.
5. Состав обрабатываемых персональных данных и категории субъектов
персональных данных
5.1. В ООО «ЦИБ» обрабатываются следующие категории персональных данных:
– общедоступные;
– иные.
5.2. В ООО «ЦИБ» обрабатываются персональные данные следующих категорий субъектов:
– работники ООО «ЦИБ»;
– физические лица, работающие в ООО «ЦИБ» по договорам гражданско-правового характера;
– клиенты и контрагенты ООО «ЦИБ» (физические лица, индивидуальные предприниматели, представители/работники клиентов и контрагентов ООО «ЦИБ»).
5.3. Персональные данные работников ООО «ЦИБ» включают в себя:
– фамилию, имя, отчество;
– год, месяц, число и место рождения;
– адрес регистрации;
– адрес фактического проживания;
– паспортные данные;
– данные, содержащиеся в военном билете (удостоверении гражданина, подлежащего призыву на военную службу), категория годности к военной службе;
– данные об образовании, профессии, специальности, квалификации, опыте работы, стаже, переквалификации;
– сведения о наличии права на льготы, о государственных и ведомственных наградах;
– сведения о местах работы, продолжительности работы, о переводах и других изменениях трудового договора и причинах прекращения трудовых отношений;
– идентификационный номер налогоплательщика (ИНН);
– страховой номер индивидуального лицевого счета;
– информацию об уровне доходов, о размере заработной платы, авансовых платежах и других выплатах, членских взносах;
– номер банковского счета;
– данные медицинского характера в случаях, прямо предусмотренных действующим законодательством.
5.4. Персональные данные физических лиц, работающих ООО «ЦИБ» в рамках договоров гражданско-правового характера, включают в себя:
– фамилию, имя, отчество;
– адрес регистрации;
– паспортные данные;
– страховой номер индивидуального лицевого счета;
– идентификационный номер налогоплательщика (ИНН);
– номер банковского счета и реквизиты банка;
– доходы (выплаты по договорам гражданско-правового характера);
5.5. Персональные данные клиентов и контрагентов ООО «ЦИБ» (физических лиц, индивидуальных предпринимателей) включают в себя:
– фамилию, имя, отчество;
– идентификационный номер налогоплательщика (ИНН);
– основной государственный регистрационный номер индивидуального предпринимателя (ОГРНИП);
– адрес регистрации;
– адрес фактического проживания;
– данные документа, удостоверяющего личность;
– номер телефона, факса;
– адрес электронной почты (e-mail);
– банковские реквизиты;
– данные, указанные в доверенности.
5.6. Персональные данные представителей (работников) клиентов и контрагентов ООО «ЦИБ» (юридических лиц) включают в себя:
– фамилия, имя, отчество;
– должность;
– идентификационный номер налогоплательщика (ИНН);
– адрес регистрации;
– данные документа, удостоверяющего личность;
– номер телефона, факса;
– адрес электронной почты (e-mail);
– персональные данные, указанные в доверенности.
6. Принципы обработки персональных данных
6.1. При обработке персональных данных ООО «ЦИБ» руководствуется следующими принципами:
– обеспечение законности целей, способов получения и обработки персональных данных;
– обработка персональных данных должна быть ограничена достижением конкретных, заранее определенных и законных целей, а также полномочиями ООО «ЦИБ»;
– соответствие объема и содержания обрабатываемых персональных данных, способов их обработки заявленным целям обработки;
– обеспечение достоверности, точности персональных данных, их актуальности и достаточности для достижения целей обработки;
– легитимность организационных и технических мер по обеспечению безопасности персональных данных;
– недопустимость обработки избыточных по отношению к целям сбора персональных данных;
– недопустимость объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
– обеспечение точности персональных данных, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки персональных данных;
– обеспечение необходимых мер либо их принятие по удалению или уточнению неполных или неточных данных;
– недопустимость использования персональных данных в целях причинения имущественного и (или) морального вреда субъектам персональных данных, затруднения реализации их прав и свобод;
– обеспечение требуемого уровня знаний работников ООО «ЦИБ» в сфере обеспечения безопасности персональных данных при их обработке;
– обеспечение поддержания на требуемом уровне и своевременного совершенствования системы защиты персональных данных.
7. Права и обязанности субъекта и оператора персональных данных
7.1. Субъект персональных данных имеет право:
– на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
o подтверждение факта обработки персональных данных ООО «ЦИБ»;
o правовые основания и цели обработки персональных данных;
o цели и применяемые ООО «ЦИБ» способы обработки персональных данных,
o сведения о лицах (за исключением работников ООО «ЦИБ»), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с ООО «ЦИБ» или на основании федерального закона;
o обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
o сроки обработки персональных данных, в том числе сроки их хранения;
o порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом «О персональных данных»;
o наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
o информацию о способах исполнения оператором обязанностей, установленных статьей 18.1 Федерального закона «О персональных данных»;
o иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.
Сведения, указанные в настоящем подпункте, должны быть предоставлены субъекту персональных данных в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных; Форма заявления на уточнение персональных данных приведена в приложении №7 к Политике.
Форма ответа на заявление о предоставлении информации приведена в приложении №8 к Политике.
– требовать от ООО «ЦИБ» блокирования или прекращения обработки персональных данных в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав (форма заявления на блокирование и прекращения обработки персональных данных приведены в приложении №9, №10 к Политике; формы ответов (уведомлений) на заявления о блокировании и прекращения обработки персональных данных приведена в приложении №11, №12 к Политике);
– обратиться с требованием прекратить передачу (распространение, предоставление) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения (формы заявлений на прекращение распространения и передачи персональных данных приведены в приложении №5 и приложении №6 к Политике);
– обжаловать действия или бездействие ООО «ЦИБ» в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;
– на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
7.2. Сведения, указанные в подпункте 7.1 пункта 7 Политики, предоставляются субъекту персональных данных или его представителю оператором в течение десяти рабочих дней с момента обращения либо получения оператором запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации. Оператор предоставляет сведения, указанные в подпункте 7.1 пункта 7 Политики, субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
В случае, если сведения, указанные в подпункте 7.1 пункта 7 Политики, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно к оператору или направить ему повторный запрос в целях получения сведений, указанных в настоящем подпункте, и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.
Субъект персональных данных вправе обратиться повторно к оператору или направить ему повторный запрос в целях получения сведений, указанных в подпункте 7.1 пункта 7 Политики, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в абзаце втором настоящего пункта, в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в абзаце первом настоящего пункта, должен содержать обоснование направления повторного запроса.
7.3. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе если:
– обработка персональных данных, включая персональные данные, полученные в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;
– обработка персональных данных осуществляется органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, либо предъявившими субъекту персональных данных обвинение по уголовному делу, либо применившими к субъекту персональных данных меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством Российской Федерации случаев, если допускается ознакомление подозреваемого или обвиняемого с такими персональными данными;
– обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;
– доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц;
– обработка персональных данных осуществляется в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
7.4. Обязанности субъекта персональных данных:
– сообщать достоверную информацию о себе и предоставлять документы, содержащие персональные данные, состав которых установлен законодательством Российской Федерации и локальными нормативными документами ООО «ЦИБ» в объеме, необходимом для цели обработки;
– сообщать в ООО «ЦИБ» об уточнении (обновлении, изменении) своих персональных данных.
7.5. Права ООО «ЦИБ», как оператора персональных данных:
– получать документы, содержащие персональные данные;
– сообщать персональные данные субъекта ПДн третьей стороне без письменного согласия субъекта, когда это необходимо целях предупреждения угрозы жизни и здоровью работника, либо в случаях, прямо установленных федеральными законами, согласно статье 88 ТК РФ;
– обрабатывать персональные данные без согласия на обработку только в случаях, предусмотренных в пунктах 2-11 части 1 статьи 6 закона № 152-ФЗ «О персональных данных»;
– осуществлять передачу персональных данных субъекта третьим лицам, в том числе в коммерческих целях, только с его предварительного письменного согласия согласно части 1 статьи 88 ТК РФ;
– отказывать в предоставлении персональных данных в случаях, предусмотренных законодательством Российской Федерации.
7.6. Обязанности ООО «ЦИБ», как оператора персональных данных:
– сообщать в порядке, предусмотренном статьей 14 Федерального закона «О персональных данных», субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение десяти рабочих дней с даты получения запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Все обращения субъекта персональных данных (его представителя) заносятся работником, ответственным за организацию приема и обработки обращений и запросов субъектов ПДн или их законных представителей в журнал обращений субъектов персональных данных и законных представителей субъектов персональных данных по вопросам обработки персональных данных;
– предоставлять безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных;
– вносить необходимые изменения в персональные данные в срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными;
– провести оценку вреда, который может быть причинен субъектам ПДн в случае нарушения Федерального закона «О персональных данных», в соответствии c Требованиями по оценки вреда. Оператор для целей оценки вреда определяет степень вреда, который может быть причинен субъекту ПДн в случае нарушения Федерального закона «О персональных данных». Результаты оценки вреда оформляются актом оценки вреда (приложение № 15);
– уничтожать персональные данные в срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
– уведомлять субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы;
– сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение десяти рабочих дней с даты получения такого запроса;
– немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации;
– разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов;
– рассмотреть возражение субъекта персональных данных против решения, принятого оператором на основании исключительно автоматизированной обработки его персональных данных в течение тридцати дней со дня его получения и уведомить субъекта персональных данных о результатах рассмотрения такого возражения;
– предоставить при сборе персональных данных субъекту персональных данных по его просьбе информацию, предусмотренную подпунктом подпункте 7.1 пункта 7 Политики;
– разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку, если в соответствии с федеральным законом предоставление персональных данных и (или) получение оператором согласия на обработку персональных данных являются обязательными;
– осуществлять блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных;
– осуществлять блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных;
– уточнить персональные данные, либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в случае подтверждения факта неточности персональных данных на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов (в течение семи рабочих дней со дня представления таких сведений) и снять блокирование персональных данных;
– прекратить неправомерную обработку персональных данных в срок, не превышающий трех рабочих дней с даты выявления неправомерной обработки персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган;
– прекратить обработку персональных данных, в случае достижения цели обработки персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между ООО «ЦИБ» и субъектом персональных данных либо если ООО «ЦИБ» не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом «О персональных данных» или другими федеральными законами;
– прекратить обработку персональных данных в случае отзыва субъектом персональных данных согласия на обработку его персональных данных или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между ООО «ЦИБ» и субъектом персональных данных либо если ООО «ЦИБ» не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом «О персональных данных» или другими федеральными законами;
– прекратить обработку персональных данных или обеспечить прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), в срок, не превышающий десяти рабочих дней с даты обращения субъекта персональных данных с требованием о прекращении обработки персональных данных, за исключением случаев, предусмотренных пунктами 2 – 11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона «О персональных данных». Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации;
– прекратить передачу (распространение, предоставление, доступ) персональных данных, ранее разрешенных субъектом персональных данных для распространения, в течение трех рабочих дней с момента получения требования субъекта персональных данных или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трех рабочих дней с момента вступления решения суда в законную силу;
– уведомить уполномоченный орган по защите прав субъектов персональных данных об установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных:
o в течение двадцати четырех часов с момента выявления такого инцидента о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
o в течение семидесяти двух часов с момента выявления такого инцидента о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии);
– не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом;
– принимать иные меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами.
7.7. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в пункте 7.6 Политики, оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
7.8. Лица, виновные в нарушении требований Федерального закона «О персональных данных, несут предусмотренную законодательством Российской Федерации ответственность.
Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных Федеральным законом «О персональных данных» а также Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 01.11.2012 № 1119, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
8. Порядок и условия обработки персональных данных
8.1. Обработка персональных данных в ООО «ЦИБ» осуществляется с согласия субъектов персональных данных, если иное не предусмотрено законодательством Российской Федерации.
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения и согласие на обработку персональных данных, разрешенных субъектом для предоставления оформляются отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения (форма согласия приведена в приложении №3), оформляется в целях оформления визитных карточек, сайта компании, подписи в электронной почте, карточек для выступления на конференциях и форумах, указанных в пункте 4.1 настоящей Политики.
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для предоставления (форма согласия приведена в приложении №4), оформляется в целях получения лицензий ФСБ России, получения лицензий ФСТЭК России, оформления пропусков на территорию предприятия клиентов и контрагентов ООО «ЦИБ», участия в госзакупках, оформления доверенности для получения, покупки, отправки товаров, оформления доверенности для подписи документов, приобретения проездных документов (билетов), бронировании номеров в гостинице, направляемым в командировку работникам ООО «ЦИБ», оформления полисов медицинского страхования, содействия работникам ООО «ЦИБ» в получении образования, осуществления договорной деятельности в рамках возникновения, изменения и прекращения правоотношений между ООО «ЦИБ», клиентами и прочими контрагентами, организации внерабочей деятельности, указанных в пункте 4.1 настоящей Политики.
Оператор обеспечивает субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных.
8.2. Обработка персональных данных может осуществляться с помощью средств вычислительной техники (автоматизированная обработка) либо при непосредственном участии работника ООО «ЦИБ» без использования средств вычислительной техники.
8.3. К обработке персональных данных допускаются только те работники ООО «ЦИБ», в должностные обязанности которых входит обработка персональных данных.
Указанные работники имеют право получать только те персональные данные, которые необходимы им для выполнения своих должностных обязанностей.
8.4. Обработка персональных данных в ООО «ЦИБ» включает в себя следующие действия:
– сбор;
– использование;
– хранение;
– передачу;
– удаление;
– уточнение;
– блокирование.
8.5. Сроки обработки персональных данных работников ООО «ЦИБ» и физических лиц, работающие в ООО «ЦИБ» по договорам гражданско-правового характера, установлены в Перечне типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, утвержденном приказом Росархива от 20.12.2019 № 236.
Обработка персональных данных клиентов и контрагентов ООО «ЦИБ» осуществляется не дольше, чем этого требуют цели их обработки, если срок хранения персональных данных не установлен законодательством Российской Федерации.
8.6. Трансграничная передача персональных данных ООО «ЦИБ» не осуществляется.
7.1. Субъект персональных данных имеет право:
– на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
o подтверждение факта обработки персональных данных ООО «ЦИБ»;
o правовые основания и цели обработки персональных данных;
o цели и применяемые ООО «ЦИБ» способы обработки персональных данных,
o сведения о лицах (за исключением работников ООО «ЦИБ»), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с ООО «ЦИБ» или на основании федерального закона;
o обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
o сроки обработки персональных данных, в том числе сроки их хранения;
o порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом «О персональных данных»;
o наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
o информацию о способах исполнения оператором обязанностей, установленных статьей 18.1 Федерального закона «О персональных данных»;
o иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.
Сведения, указанные в настоящем подпункте, должны быть предоставлены субъекту персональных данных в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных; Форма заявления на уточнение персональных данных приведена в приложении №7 к Политике.
Форма ответа на заявление о предоставлении информации приведена в приложении №8 к Политике.
– требовать от ООО «ЦИБ» блокирования или прекращения обработки персональных данных в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав (форма заявления на блокирование и прекращения обработки персональных данных приведены в приложении №9, №10 к Политике; формы ответов (уведомлений) на заявления о блокировании и прекращения обработки персональных данных приведена в приложении №11, №12 к Политике);
– обратиться с требованием прекратить передачу (распространение, предоставление) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения (формы заявлений на прекращение распространения и передачи персональных данных приведены в приложении №5 и приложении №6 к Политике);
– обжаловать действия или бездействие ООО «ЦИБ» в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;
– на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
7.2. Сведения, указанные в подпункте 7.1 пункта 7 Политики, предоставляются субъекту персональных данных или его представителю оператором в течение десяти рабочих дней с момента обращения либо получения оператором запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации. Оператор предоставляет сведения, указанные в подпункте 7.1 пункта 7 Политики, субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
В случае, если сведения, указанные в подпункте 7.1 пункта 7 Политики, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно к оператору или направить ему повторный запрос в целях получения сведений, указанных в настоящем подпункте, и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.
Субъект персональных данных вправе обратиться повторно к оператору или направить ему повторный запрос в целях получения сведений, указанных в подпункте 7.1 пункта 7 Политики, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в абзаце втором настоящего пункта, в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в абзаце первом настоящего пункта, должен содержать обоснование направления повторного запроса.
7.3. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе если:
– обработка персональных данных, включая персональные данные, полученные в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;
– обработка персональных данных осуществляется органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, либо предъявившими субъекту персональных данных обвинение по уголовному делу, либо применившими к субъекту персональных данных меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством Российской Федерации случаев, если допускается ознакомление подозреваемого или обвиняемого с такими персональными данными;
– обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;
– доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц;
– обработка персональных данных осуществляется в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
7.4. Обязанности субъекта персональных данных:
– сообщать достоверную информацию о себе и предоставлять документы, содержащие персональные данные, состав которых установлен законодательством Российской Федерации и локальными нормативными документами ООО «ЦИБ» в объеме, необходимом для цели обработки;
– сообщать в ООО «ЦИБ» об уточнении (обновлении, изменении) своих персональных данных.
7.5. Права ООО «ЦИБ», как оператора персональных данных:
– получать документы, содержащие персональные данные;
– сообщать персональные данные субъекта ПДн третьей стороне без письменного согласия субъекта, когда это необходимо целях предупреждения угрозы жизни и здоровью работника, либо в случаях, прямо установленных федеральными законами, согласно статье 88 ТК РФ;
– обрабатывать персональные данные без согласия на обработку только в случаях, предусмотренных в пунктах 2-11 части 1 статьи 6 закона № 152-ФЗ «О персональных данных»;
– осуществлять передачу персональных данных субъекта третьим лицам, в том числе в коммерческих целях, только с его предварительного письменного согласия согласно части 1 статьи 88 ТК РФ;
– отказывать в предоставлении персональных данных в случаях, предусмотренных законодательством Российской Федерации.
7.6. Обязанности ООО «ЦИБ», как оператора персональных данных:
– сообщать в порядке, предусмотренном статьей 14 Федерального закона «О персональных данных», субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение десяти рабочих дней с даты получения запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Все обращения субъекта персональных данных (его представителя) заносятся работником, ответственным за организацию приема и обработки обращений и запросов субъектов ПДн или их законных представителей в журнал обращений субъектов персональных данных и законных представителей субъектов персональных данных по вопросам обработки персональных данных;
– предоставлять безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных;
– вносить необходимые изменения в персональные данные в срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными;
– провести оценку вреда, который может быть причинен субъектам ПДн в случае нарушения Федерального закона «О персональных данных», в соответствии c Требованиями по оценки вреда. Оператор для целей оценки вреда определяет степень вреда, который может быть причинен субъекту ПДн в случае нарушения Федерального закона «О персональных данных». Результаты оценки вреда оформляются актом оценки вреда (приложение № 15);
– уничтожать персональные данные в срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
– уведомлять субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы;
– сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение десяти рабочих дней с даты получения такого запроса;
– немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации;
– разъяснить субъекту персональных данных порядок принятия решения на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения, а также разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов;
– рассмотреть возражение субъекта персональных данных против решения, принятого оператором на основании исключительно автоматизированной обработки его персональных данных в течение тридцати дней со дня его получения и уведомить субъекта персональных данных о результатах рассмотрения такого возражения;
– предоставить при сборе персональных данных субъекту персональных данных по его просьбе информацию, предусмотренную подпунктом подпункте 7.1 пункта 7 Политики;
– разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку, если в соответствии с федеральным законом предоставление персональных данных и (или) получение оператором согласия на обработку персональных данных являются обязательными;
– осуществлять блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных;
– осуществлять блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных;
– уточнить персональные данные, либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в случае подтверждения факта неточности персональных данных на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов (в течение семи рабочих дней со дня представления таких сведений) и снять блокирование персональных данных;
– прекратить неправомерную обработку персональных данных в срок, не превышающий трех рабочих дней с даты выявления неправомерной обработки персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган;
– прекратить обработку персональных данных, в случае достижения цели обработки персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между ООО «ЦИБ» и субъектом персональных данных либо если ООО «ЦИБ» не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом «О персональных данных» или другими федеральными законами;
– прекратить обработку персональных данных в случае отзыва субъектом персональных данных согласия на обработку его персональных данных или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между ООО «ЦИБ» и субъектом персональных данных либо если ООО «ЦИБ» не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом «О персональных данных» или другими федеральными законами;
– прекратить обработку персональных данных или обеспечить прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), в срок, не превышающий десяти рабочих дней с даты обращения субъекта персональных данных с требованием о прекращении обработки персональных данных, за исключением случаев, предусмотренных пунктами 2 – 11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона «О персональных данных». Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации;
– прекратить передачу (распространение, предоставление, доступ) персональных данных, ранее разрешенных субъектом персональных данных для распространения, в течение трех рабочих дней с момента получения требования субъекта персональных данных или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трех рабочих дней с момента вступления решения суда в законную силу;
– уведомить уполномоченный орган по защите прав субъектов персональных данных об установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных:
o в течение двадцати четырех часов с момента выявления такого инцидента о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
o в течение семидесяти двух часов с момента выявления такого инцидента о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии);
– не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом;
– принимать иные меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами.
7.7. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в пункте 7.6 Политики, оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
7.8. Лица, виновные в нарушении требований Федерального закона «О персональных данных, несут предусмотренную законодательством Российской Федерации ответственность.
Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных Федеральным законом «О персональных данных» а также Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 01.11.2012 № 1119, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.
8. Порядок и условия обработки персональных данных
8.1. Обработка персональных данных в ООО «ЦИБ» осуществляется с согласия субъектов персональных данных, если иное не предусмотрено законодательством Российской Федерации.
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения и согласие на обработку персональных данных, разрешенных субъектом для предоставления оформляются отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения (форма согласия приведена в приложении №3), оформляется в целях оформления визитных карточек, сайта компании, подписи в электронной почте, карточек для выступления на конференциях и форумах, указанных в пункте 4.1 настоящей Политики.
Согласие на обработку персональных данных, разрешенных субъектом персональных данных для предоставления (форма согласия приведена в приложении №4), оформляется в целях получения лицензий ФСБ России, получения лицензий ФСТЭК России, оформления пропусков на территорию предприятия клиентов и контрагентов ООО «ЦИБ», участия в госзакупках, оформления доверенности для получения, покупки, отправки товаров, оформления доверенности для подписи документов, приобретения проездных документов (билетов), бронировании номеров в гостинице, направляемым в командировку работникам ООО «ЦИБ», оформления полисов медицинского страхования, содействия работникам ООО «ЦИБ» в получении образования, осуществления договорной деятельности в рамках возникновения, изменения и прекращения правоотношений между ООО «ЦИБ», клиентами и прочими контрагентами, организации внерабочей деятельности, указанных в пункте 4.1 настоящей Политики.
Оператор обеспечивает субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных.
8.2. Обработка персональных данных может осуществляться с помощью средств вычислительной техники (автоматизированная обработка) либо при непосредственном участии работника ООО «ЦИБ» без использования средств вычислительной техники.
8.3. К обработке персональных данных допускаются только те работники ООО «ЦИБ», в должностные обязанности которых входит обработка персональных данных.
Указанные работники имеют право получать только те персональные данные, которые необходимы им для выполнения своих должностных обязанностей.
8.4. Обработка персональных данных в ООО «ЦИБ» включает в себя следующие действия:
– сбор;
– использование;
– хранение;
– передачу;
– удаление;
– уточнение;
– блокирование.
8.5. Сроки обработки персональных данных работников ООО «ЦИБ» и физических лиц, работающие в ООО «ЦИБ» по договорам гражданско-правового характера, установлены в Перечне типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, утвержденном приказом Росархива от 20.12.2019 № 236.
Обработка персональных данных клиентов и контрагентов ООО «ЦИБ» осуществляется не дольше, чем этого требуют цели их обработки, если срок хранения персональных данных не установлен законодательством Российской Федерации.
8.6. Трансграничная передача персональных данных ООО «ЦИБ» не осуществляется.
9. Порядок обработки файлов cookie
9.1. Правообладатель использует файлы cookie для достижения следующих целей:
– для сохранения информации о пользователе на время использования им сайта;
– для идентификации пользователя (распознавание браузера и/или устройства каждый раз, когда осуществляется вход на сайт, сохранение настроек экрана и браузера, сохранение логина и пароля пользователей для входа на сайт);
– для работы отдельных разделов и (или) страниц сайта (где использование файлов cookie является необходимым);
– для улучшения взаимодействия сайта и пользователей;
– для повышения качества обслуживания и обеспечения максимального удобства и комфорта пользователей при использовании сайта.
9.2. Правообладатель не использует файлы cookie для идентификации пользователей, а исключительно для определения способов использования сайта пользователями.
9.3. Через файлы cookie правообладатель может собирать следующую информацию о пользователях:
– IP адрес, тип браузера и устройства, с которого выполняется вход на сайт;
– операционная система и данные об интернет-провайдере;
– информация о стране, из которой выполняется вход;
– дата и время посещения сайта, а также возможное количество совершенных кликов пользователем.
9.4. Сайт в работе использует следующие файлы cookie, принадлежащие правообладателю:
– технические файлы cookie, необходимые для бесперебойного и надежного функционирования сайта (отключение данного типа файлов cookie может привести к ограничению пользователя в доступе к определённым функциональным возможностям сайта);
– сессионные временные файлы cookie, сохраняющие информацию о совершенной пользователем активности в браузере в течение одной сессии (до момента закрытия такого браузера пользователем);
– перманентные файлы cookie, сохраняющие в памяти устройства пользователя в течение определенного периода времени и отвечают за личные предпочтения пользователя, установленные в браузере, например, языковые настройки браузера, и (или) шрифт сайта.
9.5. При входе на сайт пользователь предоставляет свое согласие на использование сайтом файлов cookie, продолжая пользование сайтом.
9.6. Каждый пользователь в любой момент может отключить работу файлов cookie на устройстве, с которого совершается вход на сайт, и (или) удалить уже загруженные ранее файлы cookie, никакие дополнительные действия не требуются от пользователя в данном случае.
9.7. Файлы cookie могут храниться на устройстве пользователя от нескольких часов до нескольких дней или лет, в зависимости от типа загруженных и (или) используемых файлов cookie.
9.8. Пользователь может отключить работу файлов cookie и (или) удалить их вовсе, путём изменения настроек своего браузера (при этом возможно также удаление и (или) отключение файлов cookie, установленных другими веб-сайтами).
10. Хранение персональных данных
10.1. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
10.2. Сроки хранения персональных данных определяется в соответствии с законодательством Российской Федерации и локальными нормативными актами ООО «ЦИБ»
10.3. Документы на бумажном носителе, содержащие персональные данные хранятся в специальных помещениях и в специально оборудованных металлических шкафах.
10.4. Хранение персональных данных в информационных системах персональных данных обеспечивается работниками ООО «ЦИБ», ответственными за администрирование соответствующих информационных систем персональных данных.
11. Уничтожение персональных данных
11.1. Уничтожение персональных данных при достижении целей их обработки либо в случае утраты необходимости в достижении этих целей инициирует руководитель структурного подразделения ООО «ЦИБ», в котором эти персональные данные обрабатываются.
Уничтожение персональных данных при отзыве субъектом персональных данных согласия на обработку своих персональных данных инициируется ответственным за организацию обработки персональных данных (форма отзыва согласия на обработку ПДн приведена в приложении №2 к Политике).
Уничтожение должно исключать возможность восстановления персональных данных программными или физическими методами.
Уничтожение бумажных носителей персональных данных производится путем измельчения, сжигания или преобразования в целлюлозную массу таким образом, чтобы гарантировать невозможность их восстановления.
Для уничтожения (стирания) персональных данных на машинных носителях информации применяются сертифицированные программные средства и механизмы средств защиты информации информационной системы персональных данных, обеспечивающие невозможность восстановления и повторного использования персональных данных.
Уничтожение персональных данных оформляется и подтверждается актом (форма акта приведена в приложении №13 к Политике) и выгрузкой из журнала регистрации событий в информационной системе ПДн.
Если выгрузка журнала не позволяет указать такие сведения, как информация, относящуюся к определенному (определенным) физическому (физическим) лицу (лицам), чьи ПДн были уничтожены, перечень категорий, уничтоженных ПДн субъекта (субъектов) ПДн, наименование ИСПДн, из которой были уничтожены ПДн, причина уничтожения ПДн, дата уничтожения ПДн, недостающие сведения вносятся в акт об уничтожении ПДн.
Акт об уничтожении ПДн и выгрузка из журнала подлежат хранению в течение 3 лет с момента уничтожения ПДн.
12. Передача персональных данных третьим лицам
12.1. Передача персональных данных третьим лицам допускается с письменного согласия субъектов персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъектов персональных данных, а также в иных случаях, установленных законодательством Российской Федерации.
Передача третьим лицам документов, содержащие персональные данные, на бумажном носителе (или ином материальном носителе информации) должна осуществляться с обязательным составлением двустороннего акта приема-передачи документов (иных материальных носителей информации), содержащих персональные данные субъектов. Акт составляется по форме в соответствии с приложением №14 к Политике и должен содержать: уведомление лица, получающего данные документы, об обязанности использования полученных персональных данных лишь в целях, для которых они сообщены; предупреждение об ответственности в соответствии с действующим законодательством Российской Федерации за противоправную обработку персональных данных; указание на то, что передача документов (иных материальных носителей информации), содержащих персональные данные субъектов, осуществляется при наличии полномочий у лица, их получающего.
12.2. ООО «ЦИБ» вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (далее – поручение оператора).
Лицо, осуществляющее обработку персональных данных по поручению ООО «ЦИБ», обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом «О персональных данных», соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных».
В поручении на обработку персональных данных должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные частью 5 статьи 18 и статьей 18.1 Федерального закона «О персональных данных», обязанность по запросу ООО «ЦИБ» в течение срока действия поручения ООО «ЦИБ», в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований, установленных в соответствии с настоящей статьей, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Федерального закона «О персональных данных», в том числе требование об уведомлении оператора о случаях, предусмотренных частью 3.1 статьи 21 настоящего Федерального закона «О персональных данных».
13. Обработка запросов субъектов персональных данных
13.1. ООО «ЦИБ» обязан по запросу субъекта персональных данных или его представителю сообщить информацию, касающуюся обработки его персональных данных, указанную в части 7 статьи 14 Федерального закона «О персональных данных».
13.2. Письменный запрос следует направлять по адресу: 614087, г. Пермь, а/я 30.
Также запрос может быть направлен в форме электронного документа на адрес info@cib159.ru, в этом случае он должен быть подписан усиленной квалифицированной электронной подписью в соответствии с законодательством Российской Федерации.
13.3. Запрос составляется в свободной форме должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с ООО «ЦИБ» (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных, подпись субъекта персональных данных или его представителя.
ООО «ЦИБ» предоставляет сведения, указанные в части 7 статьи 14 Федерального закона «О персональных данных», субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
13.4. Сведения, указанные в части 7 статьи 14 Федерального закона «О персональных данных», предоставляются субъекту персональных данных или его представителю оператором в течение десяти рабочих дней с момента обращения либо получения оператором запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
13.5. Ответы на запросы третьих лиц (в том числе, юридических лиц) в пределах их компетенции и предоставленных полномочий даются в письменной форме на бланке организации и в том объеме, который позволяет не разглашать излишний объем персональных данных субъекта.
14. Обеспечение безопасности персональных данных
14.1. ООО «ЦИБ» при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
14.2. Обеспечение безопасности персональных данных достигается, в частности:
– принятием локальных нормативных актов по вопросам обработки и защиты персональных данных;
– утверждением списков должностей и категорий работников ООО «ЦИБ», имеющих доступ к персональным данным и уполномоченных на обработку персональных данных работников ООО «ЦИБ»;
– назначением работников ООО «ЦИБ», ответственных за организацию обработки персональных данных и за обеспечение безопасности персональных данных;
– определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
– оценкой вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных»;
– применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
– применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
– оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
– обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
– взаимодействием оператора с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации и оповещение ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу (представление, распространение, доступ) ПДн на основании Приказа ФСБ России №77 от 13.02.2023;
– взаимодействием оператора с Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций в рамках ведения реестра учета инцидентов в области персональных данных на основании Приказа Роскомнадзора №187 от 14.11.2022;
– восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
– ведением учета машинных носителей персональных данных;
– установлением правил доступа к персональным данным, обрабатываемым в информационных системах персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационных системах персональных данных;
– осуществлением периодической смены паролей учетных записей работников ООО «ЦИБ», имеющих доступ к информационным системам персональных данных;
– обеспечением наличия средств защиты информации для защиты информационных систем персональных данных от неправомерных воздействий со стороны информационно-телекоммуникационной сети «Интернет»;
– осуществлением разделения полномочий пользователей в информационной системе персональных данных в зависимости от их должностных обязанностей;
– организацией наличия формализованной процедуры по предоставлению доступа к персональным данным, подразумевающей предварительное получение соответствующей авторизации;
– обеспечение наличия формализованной процедуры по регулярному пересмотру (ревизии) прав доступа работников ООО «ЦИБ» к персональным данным в зависимости от их должностных обязанностей;
– организацией регулярного резервного копирования данных информационных систем персональных данных;
– организацией наличия источников бесперебойного питания на серверах, на которых ведется обработка персональных данных;
– контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
9.1. Правообладатель использует файлы cookie для достижения следующих целей:
– для сохранения информации о пользователе на время использования им сайта;
– для идентификации пользователя (распознавание браузера и/или устройства каждый раз, когда осуществляется вход на сайт, сохранение настроек экрана и браузера, сохранение логина и пароля пользователей для входа на сайт);
– для работы отдельных разделов и (или) страниц сайта (где использование файлов cookie является необходимым);
– для улучшения взаимодействия сайта и пользователей;
– для повышения качества обслуживания и обеспечения максимального удобства и комфорта пользователей при использовании сайта.
9.2. Правообладатель не использует файлы cookie для идентификации пользователей, а исключительно для определения способов использования сайта пользователями.
9.3. Через файлы cookie правообладатель может собирать следующую информацию о пользователях:
– IP адрес, тип браузера и устройства, с которого выполняется вход на сайт;
– операционная система и данные об интернет-провайдере;
– информация о стране, из которой выполняется вход;
– дата и время посещения сайта, а также возможное количество совершенных кликов пользователем.
9.4. Сайт в работе использует следующие файлы cookie, принадлежащие правообладателю:
– технические файлы cookie, необходимые для бесперебойного и надежного функционирования сайта (отключение данного типа файлов cookie может привести к ограничению пользователя в доступе к определённым функциональным возможностям сайта);
– сессионные временные файлы cookie, сохраняющие информацию о совершенной пользователем активности в браузере в течение одной сессии (до момента закрытия такого браузера пользователем);
– перманентные файлы cookie, сохраняющие в памяти устройства пользователя в течение определенного периода времени и отвечают за личные предпочтения пользователя, установленные в браузере, например, языковые настройки браузера, и (или) шрифт сайта.
9.5. При входе на сайт пользователь предоставляет свое согласие на использование сайтом файлов cookie, продолжая пользование сайтом.
9.6. Каждый пользователь в любой момент может отключить работу файлов cookie на устройстве, с которого совершается вход на сайт, и (или) удалить уже загруженные ранее файлы cookie, никакие дополнительные действия не требуются от пользователя в данном случае.
9.7. Файлы cookie могут храниться на устройстве пользователя от нескольких часов до нескольких дней или лет, в зависимости от типа загруженных и (или) используемых файлов cookie.
9.8. Пользователь может отключить работу файлов cookie и (или) удалить их вовсе, путём изменения настроек своего браузера (при этом возможно также удаление и (или) отключение файлов cookie, установленных другими веб-сайтами).
10. Хранение персональных данных
10.1. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
10.2. Сроки хранения персональных данных определяется в соответствии с законодательством Российской Федерации и локальными нормативными актами ООО «ЦИБ»
10.3. Документы на бумажном носителе, содержащие персональные данные хранятся в специальных помещениях и в специально оборудованных металлических шкафах.
10.4. Хранение персональных данных в информационных системах персональных данных обеспечивается работниками ООО «ЦИБ», ответственными за администрирование соответствующих информационных систем персональных данных.
11. Уничтожение персональных данных
11.1. Уничтожение персональных данных при достижении целей их обработки либо в случае утраты необходимости в достижении этих целей инициирует руководитель структурного подразделения ООО «ЦИБ», в котором эти персональные данные обрабатываются.
Уничтожение персональных данных при отзыве субъектом персональных данных согласия на обработку своих персональных данных инициируется ответственным за организацию обработки персональных данных (форма отзыва согласия на обработку ПДн приведена в приложении №2 к Политике).
Уничтожение должно исключать возможность восстановления персональных данных программными или физическими методами.
Уничтожение бумажных носителей персональных данных производится путем измельчения, сжигания или преобразования в целлюлозную массу таким образом, чтобы гарантировать невозможность их восстановления.
Для уничтожения (стирания) персональных данных на машинных носителях информации применяются сертифицированные программные средства и механизмы средств защиты информации информационной системы персональных данных, обеспечивающие невозможность восстановления и повторного использования персональных данных.
Уничтожение персональных данных оформляется и подтверждается актом (форма акта приведена в приложении №13 к Политике) и выгрузкой из журнала регистрации событий в информационной системе ПДн.
Если выгрузка журнала не позволяет указать такие сведения, как информация, относящуюся к определенному (определенным) физическому (физическим) лицу (лицам), чьи ПДн были уничтожены, перечень категорий, уничтоженных ПДн субъекта (субъектов) ПДн, наименование ИСПДн, из которой были уничтожены ПДн, причина уничтожения ПДн, дата уничтожения ПДн, недостающие сведения вносятся в акт об уничтожении ПДн.
Акт об уничтожении ПДн и выгрузка из журнала подлежат хранению в течение 3 лет с момента уничтожения ПДн.
12. Передача персональных данных третьим лицам
12.1. Передача персональных данных третьим лицам допускается с письменного согласия субъектов персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъектов персональных данных, а также в иных случаях, установленных законодательством Российской Федерации.
Передача третьим лицам документов, содержащие персональные данные, на бумажном носителе (или ином материальном носителе информации) должна осуществляться с обязательным составлением двустороннего акта приема-передачи документов (иных материальных носителей информации), содержащих персональные данные субъектов. Акт составляется по форме в соответствии с приложением №14 к Политике и должен содержать: уведомление лица, получающего данные документы, об обязанности использования полученных персональных данных лишь в целях, для которых они сообщены; предупреждение об ответственности в соответствии с действующим законодательством Российской Федерации за противоправную обработку персональных данных; указание на то, что передача документов (иных материальных носителей информации), содержащих персональные данные субъектов, осуществляется при наличии полномочий у лица, их получающего.
12.2. ООО «ЦИБ» вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (далее – поручение оператора).
Лицо, осуществляющее обработку персональных данных по поручению ООО «ЦИБ», обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом «О персональных данных», соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных».
В поручении на обработку персональных данных должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные частью 5 статьи 18 и статьей 18.1 Федерального закона «О персональных данных», обязанность по запросу ООО «ЦИБ» в течение срока действия поручения ООО «ЦИБ», в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований, установленных в соответствии с настоящей статьей, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Федерального закона «О персональных данных», в том числе требование об уведомлении оператора о случаях, предусмотренных частью 3.1 статьи 21 настоящего Федерального закона «О персональных данных».
13. Обработка запросов субъектов персональных данных
13.1. ООО «ЦИБ» обязан по запросу субъекта персональных данных или его представителю сообщить информацию, касающуюся обработки его персональных данных, указанную в части 7 статьи 14 Федерального закона «О персональных данных».
13.2. Письменный запрос следует направлять по адресу: 614087, г. Пермь, а/я 30.
Также запрос может быть направлен в форме электронного документа на адрес info@cib159.ru, в этом случае он должен быть подписан усиленной квалифицированной электронной подписью в соответствии с законодательством Российской Федерации.
13.3. Запрос составляется в свободной форме должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с ООО «ЦИБ» (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных, подпись субъекта персональных данных или его представителя.
ООО «ЦИБ» предоставляет сведения, указанные в части 7 статьи 14 Федерального закона «О персональных данных», субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
13.4. Сведения, указанные в части 7 статьи 14 Федерального закона «О персональных данных», предоставляются субъекту персональных данных или его представителю оператором в течение десяти рабочих дней с момента обращения либо получения оператором запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
13.5. Ответы на запросы третьих лиц (в том числе, юридических лиц) в пределах их компетенции и предоставленных полномочий даются в письменной форме на бланке организации и в том объеме, который позволяет не разглашать излишний объем персональных данных субъекта.
14. Обеспечение безопасности персональных данных
14.1. ООО «ЦИБ» при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
14.2. Обеспечение безопасности персональных данных достигается, в частности:
– принятием локальных нормативных актов по вопросам обработки и защиты персональных данных;
– утверждением списков должностей и категорий работников ООО «ЦИБ», имеющих доступ к персональным данным и уполномоченных на обработку персональных данных работников ООО «ЦИБ»;
– назначением работников ООО «ЦИБ», ответственных за организацию обработки персональных данных и за обеспечение безопасности персональных данных;
– определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
– оценкой вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных»;
– применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
– применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
– оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
– обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
– взаимодействием оператора с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации и оповещение ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу (представление, распространение, доступ) ПДн на основании Приказа ФСБ России №77 от 13.02.2023;
– взаимодействием оператора с Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций в рамках ведения реестра учета инцидентов в области персональных данных на основании Приказа Роскомнадзора №187 от 14.11.2022;
– восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
– ведением учета машинных носителей персональных данных;
– установлением правил доступа к персональным данным, обрабатываемым в информационных системах персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационных системах персональных данных;
– осуществлением периодической смены паролей учетных записей работников ООО «ЦИБ», имеющих доступ к информационным системам персональных данных;
– обеспечением наличия средств защиты информации для защиты информационных систем персональных данных от неправомерных воздействий со стороны информационно-телекоммуникационной сети «Интернет»;
– осуществлением разделения полномочий пользователей в информационной системе персональных данных в зависимости от их должностных обязанностей;
– организацией наличия формализованной процедуры по предоставлению доступа к персональным данным, подразумевающей предварительное получение соответствующей авторизации;
– обеспечение наличия формализованной процедуры по регулярному пересмотру (ревизии) прав доступа работников ООО «ЦИБ» к персональным данным в зависимости от их должностных обязанностей;
– организацией регулярного резервного копирования данных информационных систем персональных данных;
– организацией наличия источников бесперебойного питания на серверах, на которых ведется обработка персональных данных;
– контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
