Политика Обработки Персональных Данных

ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

ОБЩЕСТВА С ОГРАНИЧЕННОЙ ОТВЕТСТВЕННОСТЬЮ «БЭСТСИСТЕМ»

1. НАЗНАЧЕНИЕ И ОБЛАСТЬ ПРИМЕНЕНИЯ

1.1 Настоящая Политика обработки персональных данных (далее – Политика) Общества с ограниченной ответственностью «БЭСТСИСТЕМ» (далее – Оператор и (или) Компания) является основополагающим внутренним документом Компании, определяющим ключевые направления ее деятельности в области обработки и обеспечения безопасности персональных данных (далее – персональные данные и (или) ПД), оператором которых является Компания, с целью защиты прав и свобод человека и гражданина при обработке Компанией его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2 Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», подзаконными актами к нему и рекомендациями Роскомнадзора по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее совместно именуемые - применимое законодательство в области обработки и обеспечения безопасности ПД). Организационные, распорядительные и локальные нормативные акты Компании не должны противоречить настоящей Политике.

1.3 Действие Политики распространяется:

на сотрудников Компании независимо от их должностного положения и формы трудовых отношений (включая штатных сотрудников, временных работников и внешних консультантов);
на всех субъектов персональных данных, чьи данные обрабатываются Компанией в рамках ее деятельности, включая, но не ограничиваясь, кандидатов на трудоустройство, работников, уволенных работников, клиентов, контрагентов, посетителей офисов Компании и пользователей веб-сайтов Компании.

1.4 Настоящая Политика является общедоступным документом, размещенным на официальных веб-сайтах Компании: www.decoline.org, www.decoproduct.ru, www.деколайн.рф и доступна для ознакомления всем заинтересованным лицам. Политика также доводится до сведения всех сотрудников Компании под подпись. Политика конфиденциальности, более детально регулирующая обработку персональных данных пользователей веб-сайтов Компании, размещена по следующим адресам: www.decoline.org, www.decoproduct.ru, www.деколайн.рф.

1.5 Политика подлежит ежегодной актуализации, а также может пересматриваться в случаях:

внесения изменений в применимое законодательство;
изменений в процессах обработки персональных данных в Компании.

Актуализация Политики проводится с целью приведения ее положений в соответствие с действующим законодательством и фактическими условиями обработки персональных данных Компанией.

1.6 Действующая редакция Политики всегда доступна по следующим веб-адресам: www.decoline.org, www.decoproduct.ru, www.деколайн.рф с указанием даты начала действия текущей версии.

2. ТЕРМИНЫ, ОПРЕДЕЛЕНИЯ И СОКРАЩЕНИЯ

В настоящей Политике использованы следующие термины и сокращения:

Персональные данные (ПД) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Биометрические персональные данные (Биометрические ПД) – сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность, например, изображения лица или данные отпечатков пальцев, обрабатываемые в информационных системах.
Субъект персональных данных – физическое лицо, к которому относятся ПД, обрабатываемые Компанией. Даже если Контрагентом или Клиентом является юридическое лицо, субъектом персональных данных являются физические лица, данные которых связаны с деятельностью такого Контрагента или Клиента (например, представители, сотрудники).
Контрагент (Клиент) – физическое лицо, индивидуальный предприниматель или юридическое лицо, с которым Компания вступает в гражданско-правовые отношения в процессе заключения и исполнения договоров.
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПД, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПД.
Оператор персональных данных – юридическое лицо или индивидуальный предприниматель, самостоятельно или совместно с другими лицами организующий и (или) осуществляющий обработку ПД, а также определяющий цели обработки ПД, состав подлежащих обработке ПД и действия (операции), совершаемые с ПД. Оператором персональных данных является Общество с ограниченной ответственностью «БЭСТСИСТЕМ», ОГРН 1197746459624, адрес местонахождения: РФ, 124460, Г. Москва, ВН.ТЕР.Г. МУНИЦИПАЛЬНЫЙ ОКРУГ МАТУШКИНО, Г. ЗЕЛЕНОГРАД, ПРОЕЗД 4801-Й, Д. 7, СТР. 3, ЭТАЖ 2, ПОМЕЩ. 14-15 и в соответствии с требованиями законодательства РФ о персональных данных, ответственный за организацию обработки персональных данных назначен соответствующим приказом генерального директора ООО «БЭСТСИСТЕМ».
Автоматизированная обработка персональных данных – обработка ПД с помощью средств вычислительной техники.
Распространение персональных данных – действия, направленные на раскрытие ПД неопределенному кругу лиц.
Предоставление персональных данных – действия, направленные на раскрытие ПД определенному лицу или определенному кругу лиц.
Блокирование персональных данных – временное прекращение обработки ПД (за исключением случаев, если обработка необходима для уточнения персональных данных).
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание ПД в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители ПД.
Информационная система персональных данных – совокупность содержащихся в базах данных ПД и обеспечивающих их обработку информационных технологий и технических средств.
Трансграничная передача персональных данных – передача ПД на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Специальные категории персональных данных – персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.
Согласие на обработку персональных данных (согласие субъекта ПД) – добровольное, конкретное, информированное и осознанное разрешение субъекта персональных данных на обработку его персональных данных, выраженное в любой форме, если конкретная форма согласия не предусмотрена законодательством РФ, позволяющей подтвердить факт его получения.
Конфиденциальность персональных данных – обязательное для соблюдения Оператором и иными лицами, получившими доступ к ПД, требование не раскрывать персональные данные без согласия субъекта или наличия иного законного основания.

3. ОБЩИЕ ПОЛОЖЕНИЯ

3.1 Настоящая Политика разработана в целях соблюдения требований законодательства Российской Федерации в области обработки и обеспечения безопасности персональных данных, а также направлена на защиту прав и свобод человека и гражданина при обработке его персональных данных в Компании.

3.2 Политика устанавливает цели, принципы, условия и порядок обработки персональных данных, а также официальные обязательства Компании по обеспечению их безопасности.

3.3 Цели обработки персональных данных включают:

Взаимодействие с клиентами и контрагентами:
- заключение и исполнение договоров;
- реализация товаров, работ и услуг;
- проведение маркетинговых рассылок и продвижение продукции;
- проведение аудита.
Управление трудовыми отношениями:
- подбор и оценка кандидатов;
- оформление, изменение и расторжение трудовых отношений;
- ведение кадрового и воинского учёта;
- начисление и выплата заработной платы, премий, больничных и иных выплат;
- организация отпусков, больничных, медицинского страхования;
- проведение обязательных медицинских осмотров работников.
Внутренние операционные процессы:
- кадровое администрирование, ведение архивов, организация закупок;
- обеспечение безопасности и контроль доступа на объекты Компании;
- оформление доверенностей, учёт данных для доступа к системам;
- организация технической поддержки и управление учётными записями.
Юридическое и финансовое обеспечение:
- юридическая поддержка клиентов, контрагентов и сотрудников;
- выполнение налоговых обязательств и ведение бухгалтерского учёта;
- взаимодействие с государственными органами;
- проведение статистических и аналитических исследований.

3.4 Принципы обработки персональных данных в Компании:

Законность и справедливость: обработка осуществляется на законных основаниях и в пределах установленных целей.
Прозрачность: субъекту предоставляется полная и понятная информация об обработке его данных.
Минимизация: обрабатываются только те данные, которые необходимы для достижения конкретных целей.
Точность и актуальность: Компания обеспечивает своевременное обновление персональных данных.
Ограничение сроков хранения: данные хранятся не дольше необходимого срока, если иное не предусмотрено законом.
Обеспечение безопасности: применяются технические и организационные меры для защиты данных от несанкционированного доступа, утраты или искажения.
Конфиденциальность: персональные данные не передаются третьим лицам без согласия субъекта, за исключением случаев, предусмотренных законом.

3.5 Компания обрабатывает персональные данные при наличии одного из следующих оснований:

получено согласие субъекта на обработку персональных данных;
обработка необходима для исполнения договора с субъектом или для его заключения по инициативе субъекта;
обработка осуществляется в рамках выполнения обязательств, установленных законодательством;
обработка необходима для защиты законных интересов Компании или третьих лиц, при условии, что это не нарушает права субъекта;
персональные данные являются общедоступными и предоставлены самим субъектом;
обработка осуществляется в иных случаях, предусмотренных законодательством Российской Федерации.

4. ПЕРЕЧЕНЬ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1 Компания в рамках своей деятельности обрабатывает персональные данные следующих категорий субъектов:

а. Кандидаты на замещение вакантных должностей: физические лица, претендующие на замещение вакантных должностей в Компании.
б. Работники (сотрудники): физические лица, состоящие с Компанией в трудовых отношениях, включая:
- действующих сотрудников;
- уволенных сотрудников.
в. Члены семьи работников (сотрудников): физические лица, находящиеся в семейных или родственных отношениях с сотрудниками Компании, если их персональные данные обрабатываются в рамках исполнения трудовых и иных обязательств Компании.
г. Контрагенты: физические лица, индивидуальные предприниматели или их представители (сотрудники юридических лиц), предоставляющие услуги или выполняющие работы для Компании на договорной основе.
д. Клиенты: физические лица, индивидуальные предприниматели или их представители (сотрудники юридических лиц), приобретающие товары, работы или услуги Компании на договорной основе.
е. Посетители: физические лица, не являющиеся сотрудниками Компании, осуществляющие доступ на территорию или объекты Компании на основании гостевых или постоянных пропусков.
ж. Пользователи веб-сайтов Компании: физические лица, взаимодействующие с веб-сайтами Компании, включая регистрацию, использование сервисов, интернет-магазина и предоставление данных через формы обратной связи. Политика конфиденциальности, более детально регулирующая порядок обработки персональных данных пользователей веб-сайтов, доступна по адресу: www.decoline.org, www.decoproduct.ru, www.деколайн.рф.

5 ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1 Обработка ПД кандидата

Цель обработки:

Поиск и оценка кандидатов на замещение вакантных должностей;
Проведение собеседований и тестирования кандидатов на специализированной платформе для оценки профессиональных и личностных компетенций в целях принятия решения о трудоустройстве;
Установление трудовых отношений;
Организация пропускного режима на территорию Компании.

Перечень обрабатываемых ПД:

фамилия, имя и отчество;
адрес электронной почты;
контактный номер телефона;
дата рождения;
сведения об образовании и квалификации;
сведения о трудовой деятельности;

Средства обработки: С использованием и без использования средств автоматизации.

Способы обработки:

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Правовое основание:

Согласие кандидата на обработку его данных в рамках процесса трудоустройства;
Согласие кандидата на передачу (предоставление, доступ) ПД кандидата;
Особые меры для подтверждения получения данных (например, проверка резюме, направленного через электронную почту).

Сроки обработки:

До принятия решения о трудоустройстве;
Хранение резюме – до 3 лет в кадровом резерве (с согласия кандидата).

5.2 Обработка ПД сотрудника:

Цель обработки –

Трудоустройство и управление трудовыми отношениями;
Создание учетной записи;
Ведение кадрового и воинского учета;
Начисление и выплата зарплаты, пособий, командировочных и иных выплат;
Исчисление и уплата обязательных налогов, взносов, отчислений;
Обязательное социальное и пенсионное страхование;
Добровольное медицинское страхование;
Организация командировок, в том числе и за пределы РФ;
Оформление зарплатных и бизнес банковских карт;
Организация питания;
Организация услуг связи;
Обеспечение безопасности сотрудников и имущества Компании и предотвращение возможных правонарушений. Поддержание функционирования и безопасности рабочих процессов.
Карьерное продвижение, организация обучения;
Видеонаблюдение, установление пропускного режима;
Повышение узнаваемости бренда Компании и формирование ее положительного имиджа через публикацию информации о корпоративной культуре, структуре и ключевых сотрудниках на веб-сайтах Компании, а также в рекламных и маркетинговых материалах;
Организация обязательных периодических медицинских осмотров, предрейсовых медицинских осмотров;
Предоставление автопарка;
Исполнение иных обязательств работодателя перед сотрудником.

Перечень обрабатываемых ПД –

Фамилия, имя, отчество,
Дата рождения,
Пол,
Гражданство;
ИНН;
СНИЛС;
Должность;
Паспортные данные (включая заграничный паспорт);
Адреса регистрации и проживания;
Трудовая книжка (если бумажная версия), справки по форме СТД-Р и выписка из электронной трудовой книжки (если электронная версия);
Документы воинского учета (для военнообязанных);
Копия свидетельства о браке (заключение и расторжение);
Копия свидетельства о рождении ребенка;
Справка 2-НДФЛ с предыдущего места работы;
Медицинская справка о проф. пригодности (для отдельных категория работников, для вредных и опасных условий труда);
Результаты медицинских исследований (при предрейсовом медицинском осмотре);
Данные об образовании, повышении квалификации, трудовом стаже;
Сведения о должности, табельный номер, заработная плата;
Социальные льготы, поощрения и взыскания;
Контактные данные (номер телефона, адрес электронной почты);
Фотография;
Видеозаписи.

Дополнительный перечень ПД работников, осуществляющих (имеющих право на) управление транспортными средствами Компании для исполнения служебных обязанностей в соответствии с Положением Компании об использовании служебного автотранспорта:

данные водительского удостоверения.

Средства обработки – С использованием и без использования средств автоматизации.

Способы обработки – Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Компания может осуществлять распространение ПД сотрудников (ФИО, должность, контактные данные и фотографии сотрудников) неограниченному кругу лиц в целях повышения узнаваемости бренда Компании и формирования ее положительного имиджа через публикацию информации о корпоративной культуре, структуре и ключевых сотрудниках на веб-сайтах Компании или третьих лиц, а также в рекламных и маркетинговых материалах.

Компания может осуществлять видеонаблюдение в помещениях общего пользования, производственных зонах и на рабочих местах в соответствии с Положением Компании о видеонаблюдении в целях обеспечения безопасности сотрудников и имущества Компании и предотвращения возможных правонарушений, а также поддержания функционирования и безопасности рабочих процессов.

Компания может осуществлять трансграничную передачу ПД сотрудника (ФИО, паспортные данные, контактные данные) в целях организации заграничных командировок и допуска на объекты компании.

Правовое основание –

Трудовой кодекс РФ;
Налоговый кодекс РФ;
ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
ФЗ «Об основах обязательного социального страхования»;
ФЗ «Об обязательном медицинском страховании в Российской Федерации»;
ФЗ «О бухгалтерском учете»;
ФЗ «О воинской обязанности и военной службе»;
Трудовой договор;
Согласие на обработку биометрических ПД;
Согласие на обработку специальных ПД;
Согласие на распространение ПД неограниченному кругу лиц (при публикации фотографий и иных ПД на сайтах Компании, в рекламных (маркетинговых) буклетах и(или) у третьих лиц);
Согласие на трансграничную передачу данных с обязательным информированием кандидата о характере передаваемых данных, целях обработки, месте обработки и получателе данных;
Согласие на поручение обработки ПД третьим лицам и (или) согласие на передачу ПД третьим лицам.

При приеме на работу оформляется письменное согласие работника на обработку его ПД, которое может быть оформлено в виде отдельного документа или включено в трудовой договор.

ПД без согласия работника может быть передать третьим лицам только в установленных законодательством РФ случаях, например, в налоговый орган, пенсионный фонд и т.п. В других ситуациях требуется письменное согласие работника на передачу его ПД третьим лицам.

Для обработки фото и видеоизображений сотрудников, а также результатов медицинских исследований (при предрейсовом медосмотре и (или) при получении медицинских справок о профпригодности) Компания получает отдельное согласие сотрудника на обработку его биометрических ПД и, соответственно, специальных ПД. А в случае установления видеонаблюдения на рабочих и в производственных местах, Компания уведомляет сотрудников о ведении видеонаблюдения, указав цели, места установки камер, а также порядок обработки видеозаписей.

Для публикации ПД сотрудников на сайтах Компании или у третьих лиц, в рекламных и маркетинговых буклетах, Компания получает у сотрудников отдельное согласие сотрудника на распространение его ПД неограниченному кругу лиц.

Сроки обработки –

Обработка ПД - до момента прекращения трудовых отношений;
Хранение отдельных данных (например, ПД, имеющие отношение к денежным начислениям, зарплатные ведомости, выдача премий и материальной помощи) – до 75 лет;
Хранение отдельных данных в электронной системе для ведения эффективного управленческого учета – до 10 лет;
Хранение служебной документации, командировочных, локальных приказов, справок и выписок – до 5 лет.

5.3 Обработка ПД членов семьи сотрудника

Цель обработки –

Выполнение требований трудового законодательства (например, оформление социальных выплат, медицинских страховок);
Добровольное медицинское страхование;
Оформление детских подарков.

Перечень обрабатываемых ПД –

фамилия, имя, отчество;
дата рождения;
адрес регистрации;
степень родства;
контактные данные (номер телефона, адрес электронной почты).

Средства обработки С использованием средств автоматизации.

Способы обработки

Сбора, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), передача (предоставление, доступ), извлечение, использование, блокирование, удаление, уничтожение.

Правовое основание –

Согласие членов семьи на обработку их ПД;
Согласие членов семьи на передачу ПД третьей стороне (в том числе при обработке ПД другими лицами).

Если сотрудник отказывается давать информацию, то сторонами составляется акт или сотрудником пишется отказ в предоставлении персональных данных. Отказ составляют в свободной форме.

Сроки обработки до достижения целей обработки или отзыва согласия.

5.4 Обработка ПД Контрагентов и Клиентов (физических лиц, индивидуальных предпринимателей и представителей юридических лиц)

Цель обработки –

Заключение и исполнение договоров;
Реклама и маркетинг;
Организация работы с клиентами и контрагентами;
Аудит.

Перечень обрабатываемых ПД –

ФИО;
Дата регистрации;
Паспортные данные;
ИНН (кроме физических лиц – представителей юридических лиц),
СНИЛС (кроме физических лиц – представителей юридических лиц);
Банковские реквизиты (кроме физических лиц – представителей юридических лиц);
Контактные данные (номер телефона, адрес электронной почты).

Средства обработки С использованием и без использования средств автоматизации.

Способы обработки

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.

Правовое основание –

Договор гражданского правового характера;
ГК РФ;
НК РФ;
Исполнение требований законодательства (налогового, бухгалтерского);
Согласие в случаях, предусмотренных применимым законодательством в области обработки и обеспечения безопасности ПД.

Обработка ПД контрагентов и клиентов - физических лиц, индивидуальных предпринимателей (в том числе физических лиц, являющихся представителями юридических лиц – контрагентов и клиентов), с которыми непосредственно у Компании заключен договор, может осуществляться без согласия на обработку персональных данных при условии, что эти данные не будут распространяться и предоставляться третьим лицам без согласия субъекта персональных данных и будут обрабатываться только в целях исполнения заключенных с ними договоров (купли-продажи, подряда, оказания услуг и пр.) (статья 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).

Сроки обработки Хранение данных бухгалтерского учета – минимум 5 лет.

5.5 Обработка ПД посетителей

Цель обработки –

Организация пропускного и внутриобъектового режимов;
Обеспечение безопасности посетителей при визите на производство для оформления журналов по технике безопасности.

Перечень обрабатываемых ПД –

Фамилия, имя и отчество;
Данные документов, удостоверяющих личность (только для оформления журналов по технике безопасности);
Марка и номер автомобиля.

Средства обработки С использованием и без использования средств автоматизации.

Способы обработки

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.

Правовое основание –

Согласие посетителя на обработку его ПД (только при визите на производство для оформления журналов по технике безопасности);
Выполнение обязанностей, возложенных законодательством РФ (при организации пропускного режима).

При организации пропуска посетителя на территорию охранник визуально знакомится с данными паспорта и в журнал доступа на территорию записывает исключительно ФИО посетителя, без фиксации паспортных данных. Более того, при оформлении пропуска Компания исполняет требования законодательства, включая ТК РФ (ст.209, 212, 219 ТК РФ, которые обязывают работодателя обеспечивать безопасность на территории предприятия. Таким образом, обработка данных посетителей (ФИО) обусловлена законом и не требует согласия.

Сроки обработки на срок действия пропуска.

5.6 Обработка специальных категорий персональных данных:

5.6.1

Обработка ПД, касающихся состояния здоровья, осуществляется для медицинских осмотров и оформления листков нетрудоспособности сотрудников Компании.
5.6.2

Обработка специальных категорий ПД, касающихся, расовой, политических взглядов, религиозных или философских убеждений, интимной жизни, в Компании не осуществляется.
5.6.3

Обработка сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные), осуществляется в соответствии с настоящей Политикой.

5.7 Детальный перечень обрабатываемых в Компании ПД представлен в Реестре процессов обработки персональных данных Компании.

6. СОГЛАСИЕ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ НА ОБРАБОТКУ ЕГО ПД

6.1 Субъект персональных данных принимает решение о предоставлении своих ПД и дает согласие на их обработку свободно, своей волей и в своих интересах. Согласие может быть оформлено:

в письменной форме (в случаях, предусмотренных применимым законодательством в области обработки и обеспечения безопасности ПД);
в электронной форме;
иным способом, позволяющим подтвердить факт получения согласия.

6.2 Компания обязуется:

хранить доказательства получения согласия в течение срока их действия и трех лет после завершения обработки данных;
предоставлять субъекту ПД информацию о правах на основании статьи 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

6.3 Согласие субъекта ПД должно содержать:

ФИО субъекта и контактные данные (например, адрес электронной почты или номер телефона);
Конкретные цели обработки данных;
Объем и категории обрабатываемых данных;
Действия с персональными данными;
Способы обработки (автоматизированные и/или ручные);
Срок действия согласия и порядок его отзыва.

6.4 В случае, если субъектом персональных данных является несовершеннолетнее лицо, согласие на обработку данных предоставляется его законными представителями (родителями, опекунами или иными уполномоченными лицами).

6.5 Субъект может отозвать согласие в любое время, направив заявление в письменной или электронной форме. Компания обязуется прекратить обработку данных в течение 10 рабочих дней с момента получения заявления. Исключением являются случаи, когда обработка данных обязательна по закону.

6.6 Согласие не требуется, если обработка осуществляется:

для исполнения договора, стороной которого является субъект;
для выполнения требований законодательства Российской Федерации;
для защиты законных интересов Компании или третьих лиц, при условии, что права субъекта не нарушаются.

7. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1 Сбор ПД

7.1.1 Сбор ПД осуществляется исключительно в целях, определенных настоящей Политикой, с обязательным уведомлением субъекта ПД о целях, правовых основаниях обработки и его правах.

7.1.2 При сборе персональных данных Компания обязана уведомить субъекта ПД до начала обработки данных, за исключением случаев, предусмотренных применимым законодательством в области обработки и обеспечения безопасности ПД.
Так, до начала сбора данных, Компания предоставляет субъекту ПД возможность ознакомления с настоящей Политикой и дать согласие на обработку персональных данных свободно, своей волей и в своем интересе.

7.1.3 Если ПД получены не от субъекта персональных данных, Компания до начала обработки таких персональных данных обязана предоставить субъекту ПД следующую информацию:

наименование и адрес Компании;
цель обработки ПД и ее правовое основание;
перечень ПД;
предполагаемые пользователи ПД;
установленные законодательством о персональных данных права субъекта персональных данных;
источник получения ПД.

Компания освобождается от обязанности предоставлять субъекту перечисленные сведения, в случаях, если субъект уведомлен об осуществлении обработки его ПД, либо если персональные данные получены Компанией на основании федерального закона или в связи с исполнением договора, стороной которого является субъект.

7.2 Передача ПД

7.2.1 Передача ПД осуществляется только с согласия субъекта, за исключением случаев, установленных применимым законодательством в области обработки и обеспечения безопасности ПД.

7.2.2 При трансграничной передаче данных Компания обеспечивает их защиту в соответствии с требованиями применимого законодательства в области обработки и обеспечения безопасности ПД.

7.2.3 Предоставление ПД субъектов органам государственной власти, органам местного самоуправления, а также иным уполномоченным органам и организациям допускается в случаях и на основаниях, предусмотренных применимым законодательством в области обработки и обеспечения безопасности ПД.

7.2.4 Передача ПД между подразделениями Компании осуществляется только между работниками, имеющими специальной доступ к персональным данным субъектов, и подписавших соответствующие обязательства о неразглашении.

7.2.5 Представителю субъекта (в том числе родственникам или членам семьи) ПД субъекта передаются в порядке, установленном применимым законодательством в области обработки и обеспечения безопасности ПД, при наличии документов, подтверждающих полномочия таких представителей, и документов, удостоверяющих личность представителя.

7.2.6 Передача ПД субъекта третьему лицу осуществляется только с согласия субъекта. В согласии субъекта персональных данных указывается третье лицо, которому передаются персональные данные, а также цель передачи и обработки персональных данных.
Передача ПД или поручение обработки ПД третьему лицу осуществляется на основании договора, существенными условиями которого являются соблюдение третьим лицом конфиденциальности и обеспечение безопасности персональных данных в соответствии с требованиями применимого законодательства в области обработки и обеспечения безопасности ПД.
При передаче ПД третьим лицам, которые на основании договоров осуществляют обработку персональных данных в порядке, установленном применимым законодательством в области обработки и обеспечения безопасности ПД, Компания ограничивает эту информацию только теми персональными данными, которые необходимы для выполнения указанными лицами их функций (услуг, работ).

7.3 Хранение ПД

7.3.1 Хранение ПД осуществляется с применением мер защиты, включая шифрование, резервное копирование и ограничение доступа.

7.3.2 Документы на бумажных носителях хранятся в специально выделенных помещениях с контролируемым доступом.

7.3.4 Сроки обработки ПД определяются в соответствии с:

целями обработки персональных данных;
договором, стороной которого является субъект персональных данных;
согласием субъекта персональных данных на обработку его персональных данных.

7.3.5 В случае утраты документов и иных носителей, содержащих персональные данные, а также их порчи, приводящей к невозможности использования, Компания принимает все возможные меры по их восстановлению.

7.4 Прекращение обработки ПД

7.4.1 Обработка ПД прекращается в случаях, указанных в статье 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», включая отзыв согласия и достижение целей обработки.

7.4.2 В случае выявления неправомерной обработки персональных данных, Компания в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, прекращает неправомерную обработку персональных данных и в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки персональных данных, уничтожает такие персональные данные.
В случае отзыва субъектом согласия на обработку его персональных данных Компания прекращает такую обработку и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожает персональные данные в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва, если иное не предусмотрено законодательством Российской Федерации, нормами архивного хранения документов, содержащих персональные данные, а также договором стороной которого является субъект.
В случае обращения субъекта персональных данных с требованием о прекращении обработки персональных данных Компания в срок, не превышающий 10 (десяти) рабочих дней с даты получения соответствующего требования, прекращает их обработку, за исключением случаев, предусмотренных применимым законодательством в области обработки и обеспечения безопасности ПД.
В случае утраты необходимости в достижении целей Компания уничтожает обрабатываемые персональные данные в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено применимым законодательством в области обработки и обеспечения безопасности ПД.
По истечении установленных сроков хранения персональных данных Компания уничтожает обрабатываемые персональные данные в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено применимым законодательством в области обработки и обеспечения безопасности ПД.

7.5 Уничтожение ПД

7.5.1 Уничтожение ПД оформляется актом, подписываемым уполномоченными лицами.

7.5.2 Электронные данные уничтожаются средствами управления базами данных. Документы на бумажных носителях уничтожаются с использованием шредеров.

8. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1 Трансграничная передача данных:

8.1.1 Компания в ходе своей деятельности может осуществлять трансграничную передачу ПД на территорию иностранных государств органам власти иностранного государства, иностранным физическим или юридическим лицам. При этом вопросы обеспечения адекватной защиты прав субъектов ПД и обеспечения безопасности их ПД при трансграничной передаче являются наивысшим приоритетом для Компании, решение которых реализуется в соответствии с применимым законодательством.
8.1.2 Так, Компания по мере необходимости может осуществлять трансграничную передачу персональных данных кандидатов и сотрудников Компании в целях оформления командировок сотрудников в другую страну.

8.2 Процедура трансграничной передачи

8.2.1 Компания уведомляет Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее – Роскомнадзор) о намерении осуществлять трансграничную передачу данных до начала осуществления трансграничной передачи.
8.2.2 После направления уведомления о намерении осуществлять трансграничную передачу ПД и до принятия Роскомнадзором решения о возможности передачи ПД Компания:

может осуществлять трансграничную передачу ПД на территорию государств, являющегося стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке ПД и включенных в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПД.
не осуществляет трансграничную передачу ПД на иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке ПД и не включенных перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПД.

8.2.3 В случае принятия Роскомнадзором решения о запрете или ограничении трансграничной передачи ПД, Компания обеспечивает уничтожение иностранным лицом ранее переданных им ПД.
8.2.4 Передача данных осуществляется только после получения согласия субъекта. Согласие должно содержать:

Государство, в которое передаются данные;
Цель передачи;
Перечень передаваемых данных;
Информацию о гарантиях защиты данных.

Согласие может быть оформлено в письменной или электронной форме и должно быть добровольным, информированным и конкретным для каждой страны или группы стран, на территорию которых осуществляется передача.

8.2.5 Субъект ПД имеет право отказаться от передачи данных за границу, уведомив об этом Компанию. В случае отказа от передачи Компания обязуется не передавать персональные данные субъекта в указанные страны.

8.3 Меры защиты персональных данных при трансграничной передаче

8.3.1 Меры защиты данных включают:

Использование зашифрованных каналов связи;
Заключение договоров с получателями данных, содержащих обязательства по соблюдению российского законодательства.

8.3.2 Компания обязуется применять все необходимые правовые и организационные меры для защиты передаваемых данных, в том числе заключение соглашений с получателями данных в иностранных государствах, которые обязывают их соблюдать аналогичные стандарты защиты персональных данных, предусмотренные российским законодательством.
8.3.3 В случае передачи данных в страны, не обеспечивающие адекватную защиту, компания обязана гарантировать наличие механизмов, таких как стандартные договорные положения (например, модели контрактов), утвержденные Роскомнадзором или иным уполномоченным органом, обеспечивающие соответствующую защиту данных.
8.3.4 Ограничения по передаче данных в страны без адекватной защиты:
Компания обязуется не осуществлять передачу персональных данных в страны, не обеспечивающие адекватную защиту, если:

Роскомнадзор или иные компетентные органы Российской Федерации приняли решение о запрете или ограничении передачи данных в такие страны;
Компания не может гарантировать соблюдение указанных выше мер безопасности.

8.4 Отчетность и уведомление субъектов персональных данных:

8.4.1 При получении согласия субъекта персональных данных на трансграничную передачу его данных, компания обязуется информировать субъекта о результатах такой передачи и принятых мерах по защите его данных.
8.4.2 В случае утечки данных при трансграничной передаче компания обязана незамедлительно уведомить субъект персональных данных и уполномоченные органы о факте утечки и предпринятых мерах по минимизации последствий.

9. ОСНОВНЫЕ МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

9.1 Основной целью обеспечения безопасности персональных данных является защита прав и свобод субъектов персональных данных, предотвращение утечки, утраты, искажения, несанкционированного доступа и других угроз.

9.2 С целью обеспечения безопасности персональных данных при их обработке, а именно для предотвращения утечки, утраты конфиденциальности и несанкционированного использования персональных данных, предотвращения финансовых потерь, ущерба репутации, а также любого другого экономического и социального ущерба для субъекта персональных данных, Компания самостоятельно определяет состав и перечень мер, необходимых и достаточных для выполнения обязанностей, предусмотренных применимым законодательством в области обработки и обеспечения безопасности ПД. Так, Компания принимает следующие меры:

9.2.1 Организационные и правовые меры:

Назначает ответственного за обработку персональных данных.
Разрабатывает и принимает политики обработки персональных данных и другие локальные нормативные документы, определяющие политику Компании в отношении порядка обработки ПД, категории субъектов, персональные данные которых обрабатываются, цели обработки и перечня обрабатываемых ПД, способов, сроков обработки и хранения ПД, порядка уничтожения ПД, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений применимого законодательства в области обработки и обеспечения безопасности ПД, устранения последствий таких нарушений.
Ограничивает доступ к персональным данным сотрудников, не связанных с их обработкой.
Проводит обучение работников применимым требованиям законодательства.
Организует прием и обработку запросов субъектов персональных данных.
Обеспечивает пропускной режим на территории Компании и охрану помещений.

9.2.3 Технические меры:

Использует шифрование для защиты данных.
Применяет сертифицированные средства антивирусной защиты и межсетевые экраны.
Ограничивает доступы к данным с помощью паролей и систем аутентификации. Ведет журналы учета доступа к данным.
Выполняет резервное копирование и обеспечивает его безопасное хранение.
Контролирует использование съемных носителей информации.

9.2.4 Оценка и управление рисками

Регулярно проводит анализ рисков обработки данных.
Управляет рисками через минимизацию обрабатываемых данных, ограничение доступа и улучшение технологий защиты.

9.2.5 Меры в случае утечки данных

Уведомляет субъекты и уполномоченные органы в течение 3 рабочих дней.
Устраняет причины утечки и усиливает меры безопасности.
Информирует субъекты о предпринятых мерах.

9.2.6 Совершенствование системы безопасности

Регулярное обучение сотрудников.
Проведение аудитов безопасности.
Внедрение современных технологий защиты.

9.3 В случае утечки ПД Компания выполняет все меры, предписанные применимым законодательством в области обработки и обеспечения безопасности ПД.

9.4 Компания осознает и подтверждает важность и необходимость обеспечения безопасности ПД и поощряет постоянное совершенствование системы защиты ПД, обрабатываемых в рамках осуществления деятельности Компании.

10. КОНФИДЕНЦИАЛЬНОСТЬ ПЕРСОНАЛЬНЫХ ДАННЫХ

10.1 Персональные данные субъектов являются конфиденциальной информацией и подлежат защите в соответствии с законодательством Российской Федерации и настоящей Политикой.

10.2 Компания принимает организационные и технические меры для предотвращения утечки, несанкционированного доступа и распространения персональных данных.

10.3 Ограничение доступа к персональным данным:

Доступ к персональным данным предоставляется только сотрудникам Компании, для которых доступ необходим в рамках их должностных обязанностей.
Разграничение доступа осуществляется на основании должностных инструкций, внутренних регламентов и с учетом принципа минимизации данных.

Все сотрудники, получившие доступ к персональным данным, обязаны:

Подписать соглашение о неразглашении информации;
Соблюдать требования законодательства и локальных нормативных актов Компании по обеспечению конфиденциальности и безопасности данных.

10.4 Компания передает персональные данные третьим лицам только при наличии законных оснований и с согласия субъекта, за исключением случаев, предусмотренных законодательством Российской Федерации. Все третьи лица, получившие доступ к персональным данным, обязуются:

Подписать договор или соглашение с Компанией, предусматривающее обязательства по защите конфиденциальности данных;
Соблюдать меры безопасности в соответствии с законодательством Российской Федерации и требованиями Компании.

10.5 Сотрудники, нарушившие требования конфиденциальности, привлекаются к дисциплинарной, административной или уголовной ответственности в соответствии с законодательством Российской Федерации и внутренними регламентами Компании.
Третьи лица, допустившие утечку или несанкционированное раскрытие персональных данных, несут ответственность в соответствии с условиями договора с Компанией и применимым законодательством.

10.5. Меры по обеспечению конфиденциальности

Технические меры:

Использование шифрования данных;
Ограничение доступа через системы управления доступом;
Регулярное обновление программного обеспечения.

Организационные меры:

Обучение сотрудников принципам конфиденциальности;
Проведение регулярных проверок соблюдения требований законодательства и внутренних актов;
Контроль за работой сотрудников, имеющих доступ к данным.

11 ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

11.1 Компания гарантирует субъектам персональных данных следующие права на безвозмездной основе:

11.1.1 Права на получение информации:

Получать информацию, касающуюся обработки их персональных данных, включая цели, правовые основания, объем обрабатываемых данных, срок обработки, категории получателей данных (статья 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).

11.1.2 Права на управление данными:

Отозвать согласие на обработку данных с последующим прекращением их обработки и уничтожением, за исключением случаев, предусмотренных законодательством (статья 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).
Требовать уточнения, удаления или ограничения обработки своих данных в случае их неполноты, неточности или незаконной обработки (статья 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).
Устанавливать запреты на передачу своих данных неограниченному кругу лиц, а также условия их обработки (часть 9 статьи 10.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).
Прекращать передачу данных, ранее разрешенных для распространения (часть 12 статьи 10.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).

11.1.3 Права на защиту:

Подавать жалобы в уполномоченные надзорные органы в случае нарушения их прав при обработке данных (статья 17 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»).
Быть уведомленными о фактах утечки данных и принятых мерах по минимизации последствий.

11.1.4 Иные права:

Прекращение обработки данных (часть 5.1 статьи 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»);
Использование других прав, предусмотренных действующим законодательством.

11.2 Для реализации своих прав субъект может обратиться в Компанию с письменным заявлением, отправленным в соответствии с Разделом 14 Политики. Компания обязуется рассмотреть запрос и предоставить ответ в течение 10 рабочих дней с момента получения заявления. В случае отказа в удовлетворении запроса Компания обязана обосновать свое решение в письменной форме.

11.3 Субъекты персональных данных обязаны:

Предоставлять достоверные и актуальные данные для их обработки.
В случае изменения данных уведомлять Компанию для их своевременного обновления.

Понимать, что предоставление ложных данных может привести к:

Невозможности оказания услуг или выполнения обязательств со стороны Компании;
Привлечению к ответственности в случаях, предусмотренных законодательством Российской Федерации.

12. ПРАВА И ОБЯЗАННОСТИ КОМПАНИИ (ОПЕРАТОРА ПЕРСОНАЛЬНЫХ ДАННЫХ)

12.1 Компания обязуется:

12.1.1 Взаимодействовать с субъектами персональных данных:

Предоставлять субъекту персональных данных информацию по его запросам, а также в иных случаях, предусмотренных законодательством, в сроки, установленные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (10 рабочих дней со дня получения запроса).
Выполнять требования субъекта об отзыве согласия, уточнении, блокировании или удалении данных в сроки, установленные законодательством.
Разъяснять субъекту персональных данных юридические последствия отказа предоставить данные, если их предоставление является обязательным.

12.1.2 Соблюдать требования локализации данных:

При сборе персональных данных граждан РФ посредством сети Интернет или иными способами, обеспечивать их запись, систематизацию, накопление и хранение в базах данных, расположенных на территории Российской Федерации, за исключением случаев, предусмотренных законодательством.

12.1.3 Осуществлять меры по защите персональных данных:

Принимать правовые, организационные и технические меры для предотвращения неправомерного или случайного доступа к данным, уничтожения, изменения, блокирования, копирования или распространения данных.
Обеспечивать регулярное обновление средств защиты данных.
Назначать лицо, ответственное за организацию обработки данных, и обеспечивать его полномочиями для выполнения задач.

12.1.4 Публиковать информацию:

Обеспечивать неограниченный доступ к настоящей Политике и Политике конфиденциальности в отношении обработки персональных данных пользователей сайта, а также к сведениям о реализуемых мерах защиты данных, включая размещение документов на официальных сайтах Компании.

12.1.5 Взаимодействовать с Роскомнадзором:

Уведомлять уполномоченный орган (Роскомнадзор) о намерении обработки данных, а также о внесении изменений в ранее предоставленные сведения.
Своевременно информировать Роскомнадзор об утечках персональных данных и принятых мерах по их устранению.

12.1.6 Проводить регулярные проверки соблюдения требований законодательства и внутренних актов Компании по защите данных.

12.2 Компания вправе:

Определять состав и перечень мер, необходимых для обеспечения выполнения обязанностей, предусмотренных законодательством.
Запрашивать дополнительные персональные данные у субъектов, если это необходимо для выполнения обязательств перед ними.
Отказать в обработке персональных данных, если субъект не предоставил согласие, предусмотренное законодательством, или нарушил условия предоставления достоверных данных.
Привлекать третьих лиц для обработки персональных данных при условии заключения договоров, содержащих обязательства по защите данных.

13. АУДИТ И МОНИТОРИНГ В ОБЛАСТИ ОБРАБОТКИ И ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

13.1 Аудит и мониторинг процессов обработки и защиты персональных данных проводятся с целью обеспечения соответствия требованиям законодательства Российской Федерации в области персональных данных, выявления уязвимостей и рисков в процессах обработки и защиты данных, а также совершенствования мер по защите персональных данных.

13.2. Аудит процессов обработки персональных данных проводится не реже одного раза в год или в случае:

а. Изменения применимого законодательства;
б. Внедрения новых информационных систем;
в. Инцидентов, связанных с утечками данных или нарушением их защиты.

Мониторинг функционирования процедур защиты персональных данных осуществляется на постоянной основе.

13.3. Задачами аудита является проверка соблюдения требований законодательства и внутренних нормативных актов Компании, оценка эффективности правовых, организационных и технических мер защиты данных, контроль правильности документирования процессов обработки данных, выявление и оценка новых рисков в области обработки персональных данных.

13.4. По результатам аудита составляется отчет, включающий:

Выявленные несоответствия и риски;
Рекомендации по устранению нарушений и совершенствованию процессов.
Корректирующие действия:

Разработка и внедрение мероприятий по устранению выявленных нарушений;
Актуализация внутренних нормативных документов и процедур.

13.5. Обязанности лица, ответственного за организацию обработки ПД

а. Организовывать и координировать проведение аудитов и мониторинга.
б. Обеспечивать регулярное повышение осведомленности сотрудников путем:

Проведения обучающих мероприятий и тренингов;
Рассылки информационных материалов о законодательных изменениях и лучших практиках защиты данных.

в. Обеспечивать реализацию корректирующих действий на основе результатов аудита.

13.6. Все материалы аудита, включая отчеты и планы действий, хранятся в архиве Компании в течение 5 лет. Доступ к материалам аудита предоставляется только уполномоченным лицам.

14. КОНТАКТЫ

14.1. Компания приветствует вопросы, обращения и запросы, связанные с обработкой персональных данных и реализацией прав субъектов персональных данных, и обязуется рассмотреть запросы и обращения субъектов персональных данных в сроки, установленные Федеральным законом № 152-ФЗ «О персональных данных»:

в течение 10 рабочих дней с момента получения запроса предоставить ответ или информацию о его обработке.
Если требуется предоставление более сложной информации, срок ответа может быть продлен на 5 рабочих дней, с обязательным уведомлением субъекта о причинах продления.

Порядок реагирования Оператора на обращения субъектов персональных данных установлен Регламентом реагирования Оператора на запросы и обращения субъектов персональных данных и их представителей, уполномоченных органов по поводу неточности персональных данных, неправомерности их обработки, отзыва согласия и доступа субъекта персональных данных к своим персональных данных, размещенным на сайтах Компании: www.decoline.org, www.decoproduct.ru, www.деколайн.рф.

14.2. Запросы могут быть направлены:

в письменной форме по почтовому адресу Компании, указанному в пункте 14.3;
по электронной почте на адрес, указанный в пункте 14.3;
через специальную форму на сайте Компании.

Ответ предоставляется в той же форме, в которой был получен запрос, если иное не указано субъектом в его обращении.

14.3 Контакты ответственного за организацию обработки персональных данных в Компании:

Почтовый адрес: РФ, 124460, Г. Москва, ВН.ТЕР.Г. МУНИЦИПАЛЬНЫЙ ОКРУГ МАТУШКИНО, Г. ЗЕЛЕНОГРАД, ПРОЕЗД 4801-Й, Д. 7, СТР. 3, ЭТАЖ 2, ПОМЕЩ. 14-15.
Телефон: +7 (985) 33 66 999, +7 (495) 980 08 79.
Электронная почта: info@decoline.org.
Веб-сайт Компании (для подачи запросов): www.decoline.org, www.decoproduct.ru, www.деколайн.рф.

14.4. Для удобства субъектов персональных данных Компания предоставляет возможность подачи запросов через контакты, указанные на странице своего сайта: https://decoline.org/contact/. После отправки запроса субъект получит подтверждение его получения на указанный в форме или сообщенный сотруднику Компании по телефону или через мессенджер контактный адрес или телефон.

Запросы, поданные через сайт, рассматриваются в порядке, установленном законодательством, аналогично запросам, поданным иными способами.