Политика в отношении обработки персональных данных общества с ограниченной ответственностью «Материально-Техническое Снабжение

1. ОСНОВНЫЕ ПОНЯТИЯ И ОПРЕДЕЛЕНИЯ

1.1. Для целей настоящего документа, определяющего политику Общества с ограниченной ответственностью «МАТЕРИАЛЬНО-ТЕХНИЧЕСКОЕ СНАБЖЕНИЕ» (ООО «МТС»), далее именуемое – Организация, в отношении обработки персональных данных (далее - ПДн), используются следующие основные понятия:

Автоматизированная обработка ПДн - Обработка ПДн с помощью средств вычислительной техники (далее - СВТ).

Актуальные угрозы безопасности ПДн - совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к ПДн при их обработке в информационной системе персональных данных, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение ПДн, а также иные неправомерные действия.

Биометрические ПДн - сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются Организацией для установления личности Субъекта ПДн.

Блокирование - временное прекращение обработки ПДн (за исключением случаев, если обработка ПДн необходима для уточнения ПДн).

Доступ - возможность получения доступа к ПДн и их использование.

Информационная система персональных данных (ИСПДн) - совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий, и технических средств.

Исполнитель - физическое лицо (субъект персональных данных), в том числе индивидуальный предприниматель, оказывающее Организации услуги по гражданско-правовому договору, а также работник (представитель) Исполнителя.

Клиент - физическое лицо (субъект персональных данных), в том числе индивидуальный предприниматель, посещающее интернет-сайт Организации или осуществляющее приобретение товаров у Организации, а также осуществляющее регистрацию и/или заказ на интернет-сайте Организации (при наличии технической возможности) или мобильном приложении Организации, либо .

Материальный носитель - бумажный или машиночитаемый носитель информации (в том числе магнитный и электронный), на котором осуществляется запись и хранение ПДн.

Неавтоматизированная обработка ПДн - обработка ПДн, содержащихся в ИСПДн либо извлеченных из ИСПДн, если такие действия с ПДн, как использование, уточнение, распространение, уничтожение ПДн в отношении каждого из Субъектов ПДн, осуществляются при непосредственном участии человека.

Обработка ПДн или Обработка - любое действие (операция) или совокупность действий (операций), совершаемых с ПДн с использованием средств автоматизации или без использования таких средств, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.

Обращение - направленное в Организацию в письменной форме или в форме электронного документа предложение, заявление или жалоба, а также устное обращение лица.

Посетитель - физическое лицо, которому необходимо единоразово пройти на территорию (в помещение) Организации.

Персональные данные (ПДн) - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (Субъекту ПДн).

Политика - настоящая Политика Организации в отношении обработки ПДн.

Предоставление - действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц.

Поставщик - физическое лицо (субъект персональных данных), в том числе индивидуальный предприниматель, поставляющее Организации товары, а также работник (представитель) Поставщика;

Раскрытие - Предоставление возможности для ознакомления с ПДн, обрабатываемыми в Организации.

Распространение - действия, направленные на раскрытие ПДн неопределенному кругу лиц.

Согласие - согласие Субъекта ПДн на обработку его ПДн, предоставленное им в порядке, предусмотренным действующим законодательством Российской Федерации, в том числе, содержащее собственноручную подпись или представленное в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью, либо представленное в любой позволяющей подтвердить факт его получения форме, в том числе путем принятия условий использования сайта, приложения, в том числе, путем проставления «галочки» в соответствующей графе согласия, либо совершения на сайте действий, подтверждающих дачу такого согласия;

Специальные категории ПДн - сведения, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.

Субъект ПДн - определенное или определяемое физическое лицо, которому прямо или косвенно относятся персональные данные.

Трансграничная передача ПДн - передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Уничтожение - действия, в результате которых становится невозможным восстановить содержание ПДн в ИСПДн и (или) в результате которых уничтожаются Материальные носители ПДн.

Уполномоченный орган - Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или её территориальный орган, осуществляющие функции уполномоченного органа по защите прав субъектов персональных данных.

Участник акции- физическое лицо, принявшее условия стимулирующей акции или мероприятия, проводимого Организацией самостоятельно или совместно с третьими лицами.

Участник конференции - физическое лицо, в том числе представитель или работник иной организации, принявшее условие и (или) участие в информационном мероприятии (конференция, семинар, вебинар, митап и т. д.), организованный и (или) проведенный Организацией.

2. ОБЩИЕ ПОЛОЖЕНИЯ

2.1. Настоящая Политика введена в действие в соответствии с п. 2 ч. 1 ст. 18.1 Федерального закона «О персональных данных» №152-ФЗ от 27 июля 2006 г. (далее - 152-ФЗ «О персональных данных»). Политика определяет цели, порядок и условия обработки ПДн Субъектов ПДн - работников, близких родственников работников, лиц, ранее состоящих в трудовых отношениях с Организацией, физических лиц, оказывающие услуги по договору гражданско-правового характера, кандидатов на вакантные должности, работников Организаций- контрагентов, физических лиц, обратившихся к Организации, в том числе через формы обратной связи на сайтах и в мобильных приложениях, принадлежащих Организации, пользователей сайтов и мобильных приложений, клиентов, иных Субъектов ПДн, чьи данные обрабатываются Организацией.

2.2. Электронный образ (электронная копия документа, изготовленного на бумажном носителе) Политики расположен на сайте по адресу https://rfnt.ru/, а также на иных сайтах и мобильных приложениях (при наличии), посредством которых Организация осуществляет сбор персональных данных.

2.3. Организация оставляет за собой право в любое время обновлять и изменять Политику.

2.4. Политика вступает в силу со дня ее утверждения.

3. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1 Субъекты ПДн вправе:

3.1.1 Свободно, своей волей и в своем интересе предоставлять свои ПДн и давать Согласие на их обработку, за исключением случаев, при которых предоставление ПДн является обязательным в силу требований действующего законодательства.

3.1.2 Отзывать свое Согласие на обработку ПДн, способом, предусмотренным согласием на обработку ПДн; получать информацию, касающуюся обработки его ПДн в порядке, форме и в сроки, установленные законодательством Российской Федерации (далее - РФ) о ПДн на свободной (бесплатной) основе , включая право получать копии всех записей, содержащих ПДн, за исключением случаев, когда законодательством РФ предусматривается иное.

3.1.3 Требовать уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для заявленной цели обработки или используются в целях, не заявленных ранее.

3.1.4 Заявлять возражение против решения, принятого исключительно на основании Автоматизированной обработки ПДн.

3.1.5 Обжаловать действия или бездействие Организации в уполномоченный орган по защите прав Субъектов ПДн или в судебном порядке, если считает, что Организация осуществляет обработку его ПДн с нарушением требований 152-ФЗ «О персональных данных» или иным образом нарушает его права и свободы.

3.1.6 Назначать своих представителей.

3.1.7 Принимать предусмотренные законодательством РФ меры по защите своих прав.

3.1.8 Осуществлять иные права, предоставленные им законодательством РФ.

3.2 Субъекты ПДн обязаны в целях обеспечения точности ПДн, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки ПДн при предоставлении согласия на обработку ПДн и (или) когда обработка ПДн может осуществляться без Согласия Субъекта ПДн на основаниях, предусмотренных федеральными законами, сообщать достоверную информацию о себе и незамедлительно уведомлять Организацию об изменении своих ПДн, ранее представленных Организации, либо предоставление которых предусмотрено действующим законодательством Российской Федерации.

4. ПРАВА И ОБЯЗАННОСТИ ОРГАНИЗАЦИИ ПРИ ОСУЩЕСТВЛЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1 Организация, осуществляя обработку ПДн, вправе:

4.1.1 Осуществлять обработку ПДн, полученных Организацией законным способом, для заранее установленных целей.

4.1.2 Поручить обработку ПДн другому лицу с Согласия Субъектов ПДн на основании заключаемого с этим лицом договора.

4.1.3 Ограничить доступ Субъекта ПДн к его ПДн в соответствии с федеральными законами, в том числе в случае, если доступ нарушает права и законные интересы третьих лиц.

4.1.4 Совершать иные действия с ПДн, не противоречащие законодательству РФ.

4.1.5 В случае отзыва Субъектом ПДн Согласия на обработку ПДн продолжить их Обработку без Согласия Субъекта ПДн при наличии правовых оснований, установленных законодательством РФ.

4.1.6 Получить ПДн от лица, не являющегося Субъектом ПДн, с соблюдением требований действующего законодательства РФ.

4.2 При осуществлении Обработки ПДн Организация обязана:

4.2.1 Не раскрывать и не распространять ПДн без Согласия Субъекта ПДн, если иное не предусмотрено законодательством РФ.

4.2.2 Предоставлять Субъекту ПДн или его представителю возможность ознакомления с обрабатываемыми ПДн Субъекта в течение 10 (десяти) рабочих дней с даты получения такого запроса. Срок предоставления информации может быть продлен на 5 (пять) рабочих дней при наличии мотивированного запроса Организации

4.2.3 Разъяснить Субъекту ПДн юридические последствия отказа предоставить ПДн если Предоставление ПДн является обязательным в соответствии с законодательством РФ.

4.2.4 Обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан РФ с использованием баз данных, находящихся на территории РФ, за исключением случаев, указанных в 152-ФЗ «О персональных данных».

4.2.5 Разъяснить Субъекту ПДн порядок принятия решения на основании исключительно Автоматизированной обработки его ПДн и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения.

4.2.6 Принимать необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.

4.2.7 Сообщать в уполномоченный орган по защите прав Субъектов ПДн по запросу этого органа необходимую информацию в течение 10 (десяти) рабочих дней с даты получения

такого запроса. Срок предоставления информации может быть продлен на 5 (пять) рабочих дней при наличии мотивированного запроса Организации.

4.2.8 Осуществлять обработку запросов Субъектов ПДн в соответствии с порядком, установленным в настоящей Политике.

4.2.9 Устранять нарушения законодательства, допущенные при обработке ПДн, по уточнению, блокированию и уничтожению ПДн.

4.2.10 Если ПДн получены не от Субъекта ПДн, осуществить действия, предусмотренные законодательством РФ, в том числе, до начала обработки таких ПДн Организация обязана предоставить Субъекту ПДн следующую информацию (за исключением случаев, предусмотренных частью четвертой статьи 18 152-ФЗ «О персональных данных»):

4.2.10.1 наименование и адрес местонахождения Организации;

4.2.10.2 цель Обработки ПДн и ее правовое основание;

4.2.10.3 предполагаемые пользователи ПДн;

4.2.10.4 права Субъекта ПДн;

4.2.10.5 источник получения ПДн.

4.2.11 Получать Согласия Субъектов ПДн на обработку их ПДн, за исключением случаев, предусмотренных законодательством РФ, в которых обработка ПДн возможна без Согласия Субъекта ПДн.

4.2.12 При сборе ПДн обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн Субъектов ПДн, являющихся гражданами РФ, с использованием баз данных, находящихся на территории РФ.

4.2.13 Обеспечивать неограниченный доступ к настоящей Политике и к сведениям о реализуемых требованиях к защите ПДн на электронном ресурсе Организации (сайте), на страницах сайтов, с помощью которых Организацией осуществляется сбор ПДн.

4.2.14 Блокировать или обеспечивать блокирование ПДн на период внутренней проверки в случае выявления:

4.2.14.1 неправомерной обработки ПДн;

4.2.14.2 неточных ПДн;

4.2.14.3 отсутствия возможности уничтожения ПДн в течение срока, указанного

в законодательстве РФ в области ПДн или в локальных актах Организации;

4.2.15 Сообщать в установленном порядке Субъектам ПДн или их представителям информацию о наличии ПДн, относящихся к соответствующим Субъектам, безвозмездно предоставлять возможность ознакомления с этими ПДн при обращении и (или) поступлении запросов указанных Субъектов ПДн или их представителей, если иное не установлено законодательством РФ.

4.2.16 По запросу Субъекта ПДн или его представителя в установленные законом сроки вносить необходимые изменения в ПДн, если они являются неполными, неточными или неактуальными, или уничтожает ПДн, если в соответствии с предоставленными Субъектом или его представителем сведениями ПДн не являются необходимыми для заявленной цели обработки.

4.2.17 Информировать получателей документов, электронных файлов и иной информации, содержащей ПДн, о необходимости соблюдения конфиденциальности получаемых ПДн.

4.2.18 Выполнять иные обязанности, возложенные на Организацию как на оператора ПДн в соответствии с законодательством РФ.

5. ЦЕЛИ ОБРАБОТКИ, КАТЕГОРИИ СУБЪЕКТОВ, ПЕРЕЧЕНЬ, СПОСОБЫ И СРОКИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1 Организация обрабатывает ПДн Субъектов для достижения конкретных, заранее определенных и законных целей. Список целей обработки ПДн и соответствующие им категории и перечень обрабатываемых ПДН, категории Субъектов ПДн, способы, сроки их обработки и хранения указаны в Приложении № 1.

5.2 Обработка ПДн, несовместимая с заявленными целями обработки, Организацией не допускается.

5.3 Организация использует файлы cookie. Посещая сайт (сайты) или пользуясь мобильным приложением Организации, Субъект ПДн дает Согласие на обработку файлов cookie с использованием метрических, статистических, аналитических и маркетинговых сервисов (например, Яндекс. Метрика) и иных подобных сервисов для аналитики и повышения уровня работы соответствующего сайта и(или) мобильного приложения.

5.4 Организация не обрабатывает биометрические категории ПДн.

5.5 Организация обрабатывает специальные категории ПДн (состояние здоровья) исключительно в рамках трудовых отношений и в иных целях, установленных законом.

5.6 Организация оставляет за собой право доверять Субъектам ПДн и не проверять достоверность полученных ПДн.

5.7 Положение о порядке уничтожения ПДн и их носителей утверждается приказом Организации.

6. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1 Организация осуществляет обработку ПДн, основываясь на следующих законах и нормативных актах:

6.1.1 Конституция РФ;

6.1.2 Гражданский кодекс РФ;

6.1.3 Трудовой Кодекс РФ;

6.1.4 Налоговый Кодекс РФ;

6.1.5 Федеральный закон РФ от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

6.1.6 Федеральный закон от 06 декабря 2011 года № 402-ФЗ «О бухгалтерском учете»;

6.1.7 Федеральный закон от 25 декабря 2008 года № 273-ФЗ «О противодействии коррупции»;

6.1.8 Федеральный закон РФ от 13 марта 2006 года № 38-ФЗ «О рекламе»;

6.1.9 Федеральный закон РФ от 7 июля 2003 года № 126-ФЗ «О связи»;

6.1.10 Федеральный закон от 15 декабря 2001 года № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;

6.1.11 Федеральный закон от 29.12.2006 № 255-ФЗ «Об обязательном социальном страховании на случай временной нетрудоспособности и в связи с материнством»;

6.1.12 Федеральный закон от 24.07.1998 № 125-ФЗ «Об обязательном социальном страховании от несчастных случаев на производстве и профессиональных заболеваний»;

6.1.13 Федеральный закон от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»;

6.1.14 Федеральный закон от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма»;

6.1.15 Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»;

6.1.16 Постановление Правительства РФ от 27.11.2006 № 719 «Об утверждении Положения о воинском учете»;

6.1.17 иные применимые нормативные правовые акты РФ.

6.2 Организация осуществляет обработку ПДн, руководствуясь вышеуказанными нормативными правовыми актами, а также:

6.2.1 Уставом Организации;

6.2.2 внутренними нормативными документами Организации, регламентирующими вопросы обработки ПДн;

6.2.3 договорами, заключаемыми Организацией с Субъектами ПДн;

6.2.4 Согласиями Субъектов ПДн на обработку их ПДн.

6.3 Организация также вправе осуществлять обработку персональных данных в следующих случаях:

6.3.1 В случаях, когда обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является Субъект ПДн, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому Субъект ПДн будет являться выгодоприобретателем или поручителем.

6.3.2 В случаях, когда обработка персональных данных необходима для осуществления прав и законных интересов Организации или третьих лиц, если при этом не нарушаются права и свободы Субъекта ПДн, в т. ч. в соответствии с локальными нормативными актами и иными внутренними нормативными документами Организации;

6.3.3 Обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах.

6.3.4 Обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством РФ об исполнительном производстве.

6.3.5 Обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно.

6.3.6 В иных случаях, допустимых в соответствии с законодательством о персональных данных.

6.4 Организация осуществляет обработку специальных категорий ПДн, касающихся сведений о состоянии здоровья, в случае получения согласия субъекта ПДн на обработку ПДн в форме, предусмотренной действующим законодательством, или в иных случаях, предусмотренных действующим законодательством.

7. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1 Обработка ПДн (включающая в себя сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление и уничтожение) осуществляется Организацией следующими способами:

7.1.1 неавтоматизированная обработка ПДн;

7.1.2 автоматизированная обработка ПДн с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;

7.1.3 смешанная обработка ПДн.

7.2 Для достижения целей обработки и на основании Согласия Субъекта ПДн Организация может поручать обработку ПДн третьим лицам. При заключении договора с лицом, осуществляющим обработку ПДн по поручению Организации, Организация определяет перечень действий с ПДн, которые будут совершаться лицом, осуществляющим обработку, цели обработки ПДн, обязанность такого лица соблюдать конфиденциальность ПДн и обеспечивать безопасность ПДн при обработке, требования к защите обрабатываемых ПДн в соответствии с законодательством РФ и иные требования, предусмотренные ч. 3 ст. 6 152-ФЗ «О персональных данных». При поручении обработки ПДн третьим лицам, ответственность перед Субъектом ПДн за действия такого лица несет Организация. Лицо, осуществляющее обработку ПДн по поручению Организации, несет ответственность перед Организацией.

7.3 Передача ПДн третьим лицам с Согласия Субъектов ПДн или в случаях, предусмотренных законодательством РФ.

7.4 При передаче ПДн третьим лицам Организация информирует принимающую сторону в условиях договора, сопроводительном письме или сообщении о том, что передаваемая информация содержит ПДн, в отношении которых должны соблюдаться требования конфиденциальности.

7.5 Организация вправе осуществлять трансграничную передачу ПДн на территории иностранных государств. При осуществлении трансграничной передачи ПДн на территории иностранных государств Организация руководствуется требованиями законодательства РФ в области обеспечения безопасности персональных данных и требованиями Уполномоченного органа.

7.6 Организация не принимает решений, порождающих юридические последствия в отношении Субъекта ПДн или иным образом затрагивающее его права и законные интересы, на основании исключительно автоматизированной обработки его ПДн..

7.7 ПДн Субъектов хранятся как на машинных (электронных), так и на бумажных носителях ПДн.

7.8 Бумажные носители ПДн хранятся только в местах, определенных в перечне мест хранения бумажных носителей ПДн.

7.9 При хранении материальных носителей ПДн Организацией соблюдаются условия по обеспечению сохранности ПДн и исключающие несанкционированный доступ к ним. В частности, документы на бумажных носителях хранятся в папках в надежно запираемых сейфах/шкафах в помещениях Организации, электронные носители хранятся в специально выделенных помещениях, доступ к которым предоставляется работникам в соответствии с исполняемыми должностными обязанностями.

7.10 Сроки обработки ПДн определяются исходя из:

7.10.1 целей обработки ПДн;

7.10.2 Согласия на обработку ПДн;

7.10.3 Федерального закона от 22.10.2004 №125-ФЗ «Об архивном деле в Российской Федерации» и других федеральных законов;

7.10.4 договора, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект ПДн.

7.11 Прекращение обработки ПДн осуществляется по истечении установленных сроков обработки ПДн, по требованию Субъекта ПДн в случаях, предусмотренных федеральными законами, при отзыве Согласия Субъекта ПДн на обработку его ПДн (за исключением случаев, когда Организация вправе продолжить обработку ПДн на ином правовом основании), при достижении цели обработки ПДн или утрате необходимости в достижении цели, а также при выявлении неправомерной обработки ПДн.

7.12 Хранение ПДн осуществляется в форме, позволяющей определить Субъекта ПДн не дольше, чем этого требуют цели обработки ПДн, за исключением случаев, когда иные сроки хранения установлены законодательством РФ, Согласием Субъекта ПДн или договором.

8. АКТУАЛИЗАЦИЯ, ИСПРАВЛЕНИЕ, УДАЛЕНИЕ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1 При получении запроса от Субъекта ПДн, его представителя или по запросу Уполномоченного органа с информацией, что обрабатываемые ПДн являются неполными, неточными или неактуальными, Организация осуществляет блокирование (временное прекращение обработки) ПДн и организует проверку изложенных в запросе сведений. В случае подтверждения доводов Субъекта ПДн Организация обязана внести в них необходимые изменения в срок, не превышающий 7 (семи) рабочих дней со дня получения такого запроса, при этом блокирование ПДн снимается.

8.2 При получении запроса от Субъекта ПДн, его представителя или по запросу Уполномоченного органа с информацией, что обрабатываемые ПДн являются незаконно полученными или не являются необходимыми для заявленных целей обработки ПДн, а также в случае самостоятельного выявления такого факта, Организация в течение 3 (трёх) рабочих дней осуществляет блокирование ПДн и организует проверку законности обрабатываемых ПДн. В случае отсутствия правовых оснований для обработки ПДн Организация в срок, не превышающий 10 (десяти) рабочих дней со дня получения запроса или выявления факта незаконной обработки ПДН, Организация обязана уничтожить такие ПДн, а также проинформировать об этом Субъекта ПДн (при поступлении запроса от представителя Субъекта или Уполномоченного органа информация направляется соответственно представителю Субъекта или в Уполномоченный органа).

8.3 Сведения, указанные в п. 8.1 и п. 8.2 Политики, считаются полученными от Субъекта ПДн или его представителя, если они предоставлены в виде письма на бумажном носителе за подписью Субъекта ПДн или его представителя либо направлены с адреса электронной почты, указанного Субъектом ПДн или его представителем при регистрации на сайте или в приложении, права на которые принадлежат Организации, либо предоставлены иным способом, который дает Организации основания полагать, что данные предоставлены непосредственно самим Субъектом ПДн.

8.4 Организация обязана уведомить Субъекта ПДн или его представителя о внесенных изменениях и мерах, предпринятых в соответствии с пп. 8.1 и 8.2 выше, и принять разумные меры для уведомления третьих лиц, которым ПДн этого Субъекта ПДн были переданы.

8.5 При достижении целей обработки ПДн, а также в случае отзыва Субъектом ПДн Согласия на их Обработку в срок, не превышающий 30 (тридцати) дней, Организация уничтожает ПДн и обеспечивает уничтожение такой обработки другим лицом (если обработка осуществляется другим лицом, действующим по поручению Организации), за исключением случаев, если иное предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект ПДн, либо если у Организации нет других оснований для обработки ПДн.

8.6 В случае обращения Субъекта ПДн с требованием о прекращении обработки его ПДн Организация обязуется в срок, не превышающий 10 (десяти) рабочих дней с даты получения указанного требования, прекратить обработку ПДн или обеспечить прекращение такой обработки другим лицом (если обработка осуществляется другим лицом, действующим по поручению Организации), за исключением случаев, если иное предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект ПДн, либо если у Организации нет других оснований для обработки ПДн.

8.7 Организация вправе осуществлять обработку без Согласия Субъекта ПДн на основаниях, предусмотренных 152-ФЗ «О персональных данных» или иными федеральными законами.

9. РАССМОТРЕНИЕ ОБРАЩЕНИЙ И ЗАПРОСОВ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ ИЛИ ИХ ПРЕДСТАВИТЕЛЕЙ

9.1 Обращения и запросы могут быть переданы Субъектами ПДн или их законными представителями в Организацию лично или направлены почтой по месту нахождения Организации согласно ЕГРЮЛ.

9.2 Также обращения и запросы могут быть направлены по электронной почте, размещенной на сайте Организации https://rfnt.ru/ с указанием желаемого способа получения ответа из Организации:, по почте или по электронной почте на адрес Субъекта ПДн или его законного представителя, указанный в Обращении или запросе.

9.3 Ответ на Обращение, связанное с обработкой ПДн, а также на запрос уполномоченного органа, предоставляется Организацией в течение 10 (десяти) рабочих дней с момента их регистрации.

9.4 Субъект ПДн вправе обратиться в Организацию с запросом о получении сведений, касающихся обработки его ПДн, в том числе содержащих следующую информацию:

9.4.1 подтверждение факта обработки ПДн Организацией;

9.4.2 правовые основания обработки ПДн;

9.4.3 цели и применяемые Организацией способы обработки ПДн;

9.4.4 наименование и место нахождения Организации, сведения о лицах (за исключением работников Организации), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Организацией или на основании федерального закона;

9.4.5 обрабатываемые ПДн, относящиеся к соответствующему Субъекту ПДн, источник их получения;

9.4.6 сроки обработки ПДн, в том числе сроки их хранения;

9.4.7 порядок осуществления Субъектом ПДн прав, предусмотренных 152-ФЗ «О персональных данных»;

9.4.8 данные об осуществленной или о предполагаемой трансграничной передаче ПДн;

9.4.9 наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по Поручению Организации, если обработка поручена или будет поручена такому лицу.

9.5 Организация при получении запроса, указанного в п. 9.4 настоящей Политики, вправе запросить у Субъекта ПДн данные документа, удостоверяющего личность (вид документа, серия, номер, дата выдачи, орган, выдавший документ), сведения о договорных отношениях либо иные сведения, подтверждающие факт обработки ПДн, если предоставление таких сведений предусмотрено 152-ФЗ «О персональных данных» и/или необходимо Организации для корректной обработки запроса Субъекта ПДн.

9.6 Организация вправе отказать Субъекту ПДн на доступ к информации об обработке его ПДн, если предоставление такой информации нарушает права и законные интересы третьих лиц, а также в иных случаях, установленных законодательством РФ.

9.7 В случае если указанные сведения, а также обрабатываемые ПДн были предоставлены для ознакомления Субъекту ПДн по его запросу, Субъект ПДн вправе обратиться повторно в Организацию или направить повторный запрос в целях получения указанных сведений и ознакомления с такими ПДн не ранее чем через 30 дней после первоначального Обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является Субъект ПДн.

9.8 Субъект ПДн вправе обратиться повторно в Организацию или направить повторный запрос в целях получения указанных сведений, а также в целях ознакомления с обрабатываемыми ПДн до истечения 30-дневного срока, в случае если такие сведения и (или) обрабатываемые ПДн не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального Обращения. Повторный запрос должен содержать обоснование направления повторного запроса.

9.9 Организация вправе отказать Субъекту ПДн в выполнении повторного запроса, не соответствующего вышеуказанным условиям. Такой отказ должен быть мотивированным.

10. ВЫПОЛНЕНИЯ ОБЯЗАННОСТЕЙ ПО ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

10.1 Организация самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных ФЗ от 27.07.2006 № 152- ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено федеральными законами.

10.2 В Организации применяются следующие меры по обеспечению выполнения обязанностей, предусмотренных ФЗ от 27.07.2006 № 152-ФЗ «О персональных данных» в области обработки персональных данных:

• назначается лицо, ответственное за организацию обработки персональных данных;
• назначается лицо, ответственное за обеспечение безопасности персональных данных в информационных системах;
• издаются Политика в отношении обработки персональных данных и иные локальные акты по вопросам обработки персональных данных, а также внутренние нормативные документы, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений;
• осуществляется внутренний контроль и аудит соответствия обработки персональных данных законодательству РФ, требованиям к защите персональных данных, Политике Организации в отношении обработки персональных данных, внутренним нормативным документам Организации;
• осуществляется оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона № 152-ФЗ, соотношения указанного вреда и принимаемых Организацией мер;
• осуществляется ознакомление работников Организации, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ о персональных данных, в том числе с требованиями к защите персональных данных, настоящей Политикой, внутренними нормативными документами по вопросам обработки персональных данных, и (или) обучение указанных работников;
• своевременно выявляются нарушения работниками подразделений требований к режиму конфиденциальности;
• разделены полномочия пользователей в информационных системах в зависимости от их должностных обязанностей;
• устанавливаются правила по предоставлению доступа к информационным системам персональных данных, проводится периодический пересмотр (ревизия) прав доступа работников в зависимости от занимаемой ими должности и должностных обязанностей;
• применяются иные организационные и технические меры по обеспечению безопасности персональных данных в соответствии с требованиями нормативных правовых актов, настоящей Политикой, внутренними нормативными документами Организации по вопросам обработки персональных данных.

10.3 С целью обеспечения безопасности персональных данных при их обработке Организация принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, в частности:

• определяются угрозы безопасности персональных данных при их обработке в информационных системах персональных данных;
• применяются организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимые для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
• осуществляется оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• осуществляется учет машинных носителей персональных данных;
• проводятся мероприятия по обнаружению фактов несанкционированного доступа к персональным данным и принятию мер в случае обнаружения;
• обеспечивается возможность восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• устанавливаются правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечивается регистрация и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных;
• осуществляется контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

10.4 Меры по обеспечению безопасности персональных данных при их обработке в ИСПДн устанавливаются в соответствии с внутренними нормативными документами Организации, регламентирующими вопросы обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных Организации, которые включают в себя:

• идентификацию и описание всех процессов, в которых осуществляется обработка ПДн;
• разработку и утверждение внутренних документов Организации, регламентирующих обработку, хранение, уничтожение и защиту ПДн, а также их носителей;
• утверждение порядка резервирования и восстановления ИСПДн;
• идентификацию и аутентификацию субъектов доступа и объектов доступа;
• управление доступом субъектов доступа к объектам доступа;
• ограничение программной среды;
• защиту машинных носителей информации, на которых хранятся и (или) обрабатываются ПДн;
• регистрацию событий безопасности;
• антивирусную защиту;
• обнаружение (предотвращение) вторжений;
• контроль (анализ) защищенности ПДн;
• обеспечение целостности информационной системы и ПДн;
• обеспечение доступности ПДн;
• защиту среды виртуализации;
• защиту технических средств;
• защиту информационной системы, ее средств, систем связи и передачи данных;
• выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности ПДн, и реагирование на них;
• управление конфигурацией информационной системы и системы защиты ПДн.

10.5 Организацией, могут реализовываться иные правовые, организационные и технические меры по обеспечению безопасности ПДн..

11. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

11.1 Настоящая Политика является общедоступным документом и подлежит размещению в общем доступе по местонахождению Организации, на Сайте по адресу в сети Интернет: https://rfnt.ru/ и на страницах иных сайтов и мобильных приложений, принадлежащих Организации, с использованием которых осуществляется сбор ПДн.

11.2 Ответственность должностных лиц Организации, осуществляющих обработку ПДн или имеющих доступ к ПДн, за невыполнение требований норм, регулирующих обработку и защиту ПДн, определяется в соответствии с законодательством РФ, а также локальными нормативными актами и организационно-распорядительными документами Организации.

11.3 За неисполнение требований Федерального закона № 152-ФЗ, иных законодательных актов, регулирующих требования в сфере персональных данных, предусмотрена дисциплинарная, административная, уголовная и иная установленная законом ответственность