Общество с ограниченной ответственностью «ИнфоЛуч»

«УТВЕРЖДЕНО»

Директор Евчук А.В.
№ 190603-1 от 03.06.2019 г.

ПОЛОЖЕНИЕ ПО ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящее Положение разработано в соответствии с законодательством Российской Федерации о персональных данных (далее по тексту – ПДн) и нормативно-методическими документами исполнительных органов государственной власти по вопросам безопасности ПДн при их обработке в информационных системах ПДн (далее – ИСПДн).
1.2. В целях настоящего Положения используются следующие термины:
-персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПДн);
-оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн;
-обработка ПДн – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн;
-автоматизированная обработка ПДн – обработка ПДн с помощью средств вычислительной техники;
-распространение ПДн – действия, направленные на раскрытие ПДн неопределенному кругу лиц;
-предоставление ПДн – действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц;
-блокирование ПДн – временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн);
-уничтожение ПДн – действия, в результате которых становится невозможным восстановить содержание ПДн в ИСПДн и/или в результате которых уничтожаются материальные носители ПДн;
-обезличивание ПДн – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту ПДн;
-информационная система персональных данных (ИСПД) – совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств;
-трансграничная передача ПДн – передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
1.3. Настоящее Положение определяет порядок и условия обработки ПДн в ООО «ИнфоЛуч» (далее по тексту – Оператор), включая порядок передачи ПДн третьим лицам, особенности автоматизированной и неавтоматизированной обработки ПДн, порядок доступа к ПДн, систему защиту ПДн, порядок организации внутреннего контроля и ответственность за нарушения при обработке ПДн, иные вопросы.
1.4. Действие настоящего Положения распространяется на все процессы по сбору, систематизации, накоплению, хранению, уточнению, использованию, распространению (в том числе передачу), обезличиванию, блокированию, уничтожение ПДн, осуществляемых с использованием средств автоматизации и без их использования.
1.5. Настоящее Положение вступает в силу с момента его утверждения Руководителем Оператора и действует бессрочно, до замены его новым Положением.
1.6. Все изменения в Положение вносятся приказом.
1.7. Информация об Операторе:
Полное наименование: Общество с ограниченной ответственностью «ИнфоЛуч»
Сокращенное наименование: ООО «ИнфоЛуч»
Юридический адрес: РФ, 214013, г. Смоленск, ул. Черняховского, дом 15, помещение 7.3, офис 20
ОГРН 1186733011420, ИНН 6732164801, КПП 673201001

2. ЦЕЛИ И ЗАДАЧИ ОБРАБОТКИ ПДн
2.1. Обработка ПДн должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора ПДн.
2.2. Не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой.
2.3. Обработке подлежат только ПДн, которые отвечают целям их обработки.
2.4. Содержание и объём обрабатываемых ПДн должны соответствовать заявленным целям обработки. Обрабатываемые ПДн не должны быть избыточными по отношению к заявленным целям их обработки.
2.5. Основными целями обработки ПДн является: регистрация/авторизация субъекта на сайте путем создания личного кабинета пользователя услугами Оператора; обработка и выполнение заказов Пользователя; выполнение своих обязательств перед Пользователем.
Дополнительными целями обработки ПДн является: информирование клиента о новых продуктах, акциях, скидках и специальных предложениях посредством электронных рассылок, пуш-уведомлений в браузерах; получение пользователем персонализированной (таргетированной) рекламы; проведение конкурсов; направление пользователю уведомлений и информации, связанных с использованием сайта; ведение статистики посещения сайта, поддержания работоспособности и улучшения сервисов и разделов сайта, а также разработки новых сервисов и разделов сайта; функционирование сайта; осуществления обратной связи с пользователями Сайта Оператора, в том числе для получения от пользователей мнений, вопросов по информации сайтов и информационным продуктам Оператора, а также для направления им ответов; в иных законных целях.
2.6. ИСПДн обеспечивает решение следующих задач: идентификация пользователя при входе в личный кабинет.

3. ПЕРСОНАЛЬНЫЕ ДАННЫЕ, ОБРАБАТЫВАЕМЫЕ В ИСПДн
3.1. В ИСПДН обрабатываются ПДн следующих субъектов ПДн:
3.1.1. Клиенты (потребители услуг Оператора);
3.1.2. Индивидуальные предприниматели – контрагенты Оператора;
3.1.3. Клиенты организаций – контрагентов Оператора (обслуживание корпоративных клиентов);
3.1.4. Иные физические лица, ПДн которых обрабатываются у Оператора.
3.2. Данный перечень может пересматриваться по мере необходимости.
3.3. Персональные данные субъектов ПДн включают в себя следующее:
— фамилия, имя, отчество;
— номер контактного телефона;
— адрес электронной почты;
— паспортные данные;
— страна проживания;
— город проживания;

— улица, дом проживания
— фотография;
— информация о наличии у Пользователя аккаунта (страницы) в социальных сетях, таких как Вконтакте, Facebook, Instagram и другие;
— информация о наличии у Пользователя аккаунта (страницы) в интернет-мессенджерах, таких как Whatsapp, Viber, и другие;
— данные, автоматически передающиеся Оператору в процессе посещения и использования Сайта Оператора с помощью установленного на устройстве Пользователя программного обеспечения, в том числе: IP-адрес, информация из cookie, информация о браузере пользователя (или иной программе, с помощью которой осуществляется доступ к сайту), время доступа, адрес запрашиваемой страницы и иные;
При необходимости Оператор вправе запросить субъекта ПДн данные, относящиеся к специальным категориям персональных данных: расовая принадлежность; национальная принадлежность; религиозная принадлежность; политические взгляды; философские убеждения; состояние здоровья; биометрические персональные данные; иные данные.
3.4. Полные списки обрабатываемых ПДн формируются в перечне ПДн, подлежащих защите в ИСПДн Оператора.

4. ДОСТУП К ПДн
4.1. Сотрудники Оператора, которые в силу выполняемых служебных обязанностей постоянно работают с ПДн, получают допуск к необходимым категориям ПДн на срок выполнения ими соответствующих должностных обязанностей на основании перечня лиц, допущенных к работе с ПДн, который утверждается Руководителем Оператора. Перечень составлен на основе Концепции информационной безопасности и Политики информационной безопасности.
4.2. Список лиц, имеющих доступ к ПДн для информационной системы, должен поддерживаться в актуальном состоянии.
4.3. Оператором установлен разрешительный порядок доступа к ПДн.
Сотрудникам Оператора предоставляется доступ к работе с ПДн исключительно в пределах и объёме, необходимых для выполнения ими своих должностных обязанностей на основании решения Руководителя.
4.4. Временный или разовый допуск к работе с ПДн в связи со служебной необходимостью может быть получен сотрудником Оператора по согласованию Руководителя.
4.5. Доступ к ПДн третьих лиц, не являющихся сотрудниками Оператора без согласия субъекта ПДн, запрещен, за исключением доступа сотрудников органов исполнительной власти, осуществляемого в рамках мероприятий по контролю и надзору за исполнением законодательства, реализации функций и полномочий соответствующих органов государственной власти. Предоставление информации по запросу или требованию органа государственной власти осуществляется с ведома Руководителя Оператора.
4.6. В случае если сотруднику сторонней организации необходим доступ к ПДн Оператора, то необходимо, чтобы в договоре со сторонней организацией были прописаны условия конфиденциальности ПДн и обязанность сторонней организации и её сотрудников по соблюдению требований текущего законодательства в обрасти защиты ПДн. Кроме того, в случае доступа к ПДн лиц, не являющихся сотрудниками Оператора, должно быть получено согласие субъектов ПДн на предоставление их ПДн третьим лицам. Указанное согласие не требуется, если ПДн предоставляются в целях исполнения гражданско-правового договора, заключенного Оператором с субъектом ПДн.
4.7. Доступ сотрудника Оператора к ПДн прекращается с даты прекращения трудовых отношений, либо даты изменения должностных обязанностей сотрудника и/или исключения сотрудника из списка лиц, имеющих право доступа к ПДн. В случае увольнения все носители, содержащие ПДн, которые в соответствии с должностными обязанностями находились в распоряжении работника во время работы, должны быть переданы соответствующему должностному лицу.

5. СОГЛАСИЕ НА ОБРАБОТКУ ПДн
5.1. Субъект ПДн принимает решение о предоставлении своих ПДн и дает согласие на их обработку свободно, своей волей и своем интересе. Согласие на обработку ПДн должно быть конкретным, информированным и сознательным. Согласие на обработку ПДн может быть дано субъектом ПДн или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено законодательством РФ. В случае получения согласия на обработку ПДн от представителя субъекта ПДн полномочия данного представителя на дачу согласия от имени субъекта ПДн проверяются Оператором.

6. ПОРЯДОК ОБРАБОТКИ И ЗАЩИТЫ ПДн
6.1. Обеспечение конфиденциальности ПДн, обрабатывающихся Оператором, является обязательным требованием для всех лиц, которым ПДн стали известны.
6.2. При получении ПДн сотрудником Оператора, который в соответствии с должностными обязанностями получает ПДн от клиента, сотрудника иного лица в обязательном порядке проводится проверка достоверности ПДю ввод ПДн, полученных Оператором, в информационную систему осуществляется сотрудниками имеющими доступ к соответствующим ПДн. Сотрудники, осуществляющие ввод информации, несут ответственность за достоверность и полноту введенной информации.

7. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НАСТОЯЩЕГО ПОЛОЖЕНИЯ
7.1. Руководство Оператора несет ответственность за необеспечение конфиденциальности ПДн и несоблюдение прав и свобод субъектов ПДн в отношении их ПДн, в том числе прав на неприкосновенность частной жизни, личную и семейную тайну.
7.2. Сотрудники Оператора несут персональную ответственность за несоблюдение требований по обработке и обеспечению безопасности ПДн, установленных настоящим Положением, в соответствии с законодательством Российской Федерации.
7.3. Сотрудники Оператора может быть привлечен к ответственности в случаях:
7.3.1. Умышленного или неосторожного раскрытия ПДн;
7.3.2. Утраты материальных носителей ПДн;
7.3.3. Нарушения требований настоящего Положения и других нормативных документов Оператора в части вопросов доступа и работы с ПДн.
7.4. В случаях нарушения установленного порядка обработки и обеспечение безопасности ПДн, несанкционированного доступа к ПДн, раскрытия ПДн и нанесения Оператору, его сотрудникам, клиентам и контрагентам материального или иного ущерба виновные лица несут гражданскую. Уголовную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.

8. ПРАВА СУБЪЕКТА В ОТНОШЕНИИ ПДн, ОБРАБАТЫВАЕМЫХ ОПЕРАТОРОМ
8.1. Субъект ПДн имеет право:
— на получение информации от Оператора, касающейся обработки его ПДн. Сведения должны быть предоставлены субъекту ПДн Оператором в доступной форме, и в них не должны содержаться ПДн, относящиеся к другим субъектам ПДн, за исключением случаев, если имеются законные основания для раскрытия таких ПДн. Перечень сведений и порядок получения сведений предусмотрен действующим законодательством РФ;
— требовать от Оператора уточнения его ПДн, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законодательством РФ меры по защите своих прав;
— обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов ПДн или в судебном порядке.
8.2. Для реализации своих прав и законных интересов субъекты персональных данных имеют право обратиться к Оператору либо направить запрос лично или с помощью представителя. Запрос должен содержать сведения, указанные в ч. 3 ст. 14 ФЗ «О персональных данных».
8.3. Права и обязанности Оператора определяются действующим законодательством и соглашениями Оператора.
8.4. Предложения и замечания для внесения изменений в Политику следует направлять по адресу infoluch.ru@yandex.ru. Политика актуализируется по мере необходимости.