ПОЛИТИКА
в отношении обработки персональных данных и защищаемой информации в ЗАО «Краснодарзооветснаб»
1.1. Настоящая Политика в отношении обработки персональных данных и защищаемой информации, в ЗАО «Краснодарзооветснаб» (далее – Политика) разработана в соответствии с Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных».
1.2. Политика определяет основные цели и назначение, а так же особенности обработки защищаемой информации, в ЗАО «Краснодарзооветснаб» (далее – Оператор):
1.3. Политика вступает в силу с момента ее утверждения генеральным директором ЗАО «Краснодарзооветснаб».
1.4. Политика подлежит пересмотру в ходе периодического анализа со стороны руководства ЗАО «Краснодарзооветснаб», а также в случаях изменения законодательства Российской Федерации в области обеспечения безопасности защищаемой информации.
1.5. Политика подлежит опубликованию на официальном сайте ЗАО «Краснодарзооветснаб» в течение 10 дней после её утверждения.
2. ОСНОВНЫЕ ПОНЯТИЯ
2.1. Для целей Политики используются следующие понятия:
персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
оператор – гражданин или юридическое лицо, осуществляющие деятельность по эксплуатации информационной системы, в том числе по обработке информации, содержащейся в ее базах данных. В случае обработки персональных данных под оператором понимается государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
распространение информации – действия, направленные на получение информации неопределенным кругом лиц или передачу информации неопределенному кругу лиц;
предоставление персональных данных – действия, направленные на получение информации определенным кругом лиц или передачу информации определенному кругу лиц;
блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
информация – сведения (сообщения, данные) независимо от формы их представления;
информационная система – совокупность содержащейся в базах данных защищаемой информации и обеспечивающих их обработку информационных технологий и технических средств;
информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
конфиденциальность информации – обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя;
трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
угрозы безопасности персональных данных – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных.
3. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1. Обработка информации в информационных системах, осуществляется ЗАО «Краснодарзооветснаб» в соответствии со следующими принципами:
- Свобода поиска, получения, передачи, производства и распространения информации любым законным способом;
- Установление ограничений доступа к информации только федеральными законами;
- Достоверность информации и своевременность ее предоставления;
3.2. Обработка персональных данных осуществляется ЗАО «Краснодарзооветснаб» в соответствии со следующими принципами:
- Обработка персональных данных осуществляется на законной и справедливой основе;
- Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;
- Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
- Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
- Обработке подлежат только персональные данные, которые отвечают целям их обработки;
- Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки;
- Обрабатываемые персональные данные не избыточны по отношению к заявленным целям их обработки;
- При обработке персональных данных обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных;
- ЗАО «Краснодарзооветснаб» принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных;
- Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому, является субъект персональных данных;
- Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом;
- ЗАО «Краснодарзооветснаб», получившее доступ к персональным данным, обеспечивает их конфиденциальность, а также обязуется не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
4. СФЕРЫ ОТВЕТСТВЕННОСТИ
4.1. Лица, нарушившие требования Федерального закона «О персональных данных», несут ответственность согласно законодательству РФ.
4.2. Нарушение Федерального закона «Об информации, информационных технологиях и о защите информации» влечет дисциплинарную, гражданско-правовую, административную или уголовную ответственность.
4.3. Пострадавшие от разглашения или неправомерного использования информации ограниченного доступа могут обратиться в суд с исками о возмещении убытков, компенсации морального вреда и защите чести, достоинства и деловой репутации. Иск о возмещении убытков не удовлетворяется, если истец не соблюдал требования по защите конфиденциальности, возложенные на него законом.
4.4. Лицо, предоставляющее услуги по передаче информации без изменений или по ее хранению и обеспечению доступа, не несет гражданско-правовой ответственности за распространение информации, если не знало о ее незаконности.
ПОЛОЖЕНИЕ ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
5. КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ И ЦЕЛИ ИХ ОБРАБОТКИ
| Категории субъектов персональных данных | Цели обработки персональных данных |
|---|---|
| Сотрудники и бывшие работники | Ведение кадрового и бухгалтерского учета, учета военнообязанных |
| Соискатели и кандидаты на замещение вакантных должностей | Подбор персонала (соискателей) на вакантные должности |
| Контрагенты, представители контрагентов, клиенты | Подготовка, заключение и исполнение гражданско-правового договора |
| Сотрудники, посетители | Организация контрольно-пропускного режима и охранных мероприятий |
| Посетители сайта (клиенты) | Исполнение интернет-заказов |
| Посетители сайта (клиенты) | Предоставление доступа пользователю к сервисам, информации и/или материалам, содержащимся в личном кабинете на сайте https://kzvs.ru, получение отзывов от клиентов о товарах и услугах |
6. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Обработка персональных данных осуществляется в соответствии с требованиями Федерального закона №152-ФЗ «О персональных данных» и иными нормативными актами Российской Федерации.
6.2. Персональные данные собираются только для конкретных, заранее определённых и законных целей, необходимых для осуществления деятельности организации.
6.3. Обработка персональных данных проводится с соблюдением принципов конфиденциальности, минимизации объёма данных и обеспечения их точности.
6.4. Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
6.5. Доступ к персональным данным имеют только уполномоченные сотрудники, прошедшие соответствующее обучение и ознакомленные с требованиями по защите данных.
6.6. ЗАО «Краснодарзооветснаб» принимает необходимые организационные меры для защиты персональных данных от несанкционированного доступа, изменения, раскрытия или уничтожения.
6.7. Передача персональных данных третьим лицам осуществляется только при наличии оснований, предусмотренных законодательством, и с соблюдением условий конфиденциальности.
6.8. Лица, чьи персональные данные обрабатываются, имеют право на доступ к своим данным, их уточнение, блокирование или уничтожение в порядке, установленном законодательством.
6.9. При выявлении фактов неправомерной обработки персональных данных организация обязуется принять меры по устранению нарушений и информировать субъектов данных в соответствии с законодательством.
7. ПРАВОВЫЕ ОСНОВАНИЯ
7.1. Обработка персональных данных субъектов осуществляется на основании следующих правовых оснований:
- Согласие субъекта персональных данных на обработку его персональных данных, предоставленное в порядке, установленном законодательством РФ;
- Договорные отношения — обработка персональных данных необходима для исполнения договора, стороной которого является субъект персональных данных, либо для заключения договора по инициативе субъекта персональных данных (например, договоры с работниками, подрядчиками, контрагентами, заказчиками);
- Трудовые отношения — обработка персональных данных работников и бывших работников, а также соискателей и кандидатов на замещение вакантных должностей, осуществляется в целях кадрового администрирования, соблюдения трудового законодательства, ведения бухгалтерского и налогового учета, а также повышения квалификации сотрудников;
- Выполнение обязанностей, предусмотренных законодательством РФ — обработка персональных данных необходима для соблюдения требований трудового, налогового, пенсионного, гражданского, административного и иного применимого законодательства, а также для участия в судебных и иных правовых процедурах;
- Законные интересы оператора или третьих лиц — обработка персональных данных в целях обеспечения безопасности, организации доступа на территорию и функционирования сервисов, технической поддержки, маркетинговой деятельности, а также для рассмотрения обращений, жалоб и иных запросов субъектов персональных данных;
- Обработка персональных данных клиентов, пользователей сайта осуществляется с целью оформление и выполнение заказов.
8. ОБЯЗАННОСТИ ОПЕРАТОРА ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Оператор обязан обеспечить соблюдение требований законодательства Российской Федерации в области защиты персональных данных, включая Федеральный закон № 152-ФЗ «О персональных данных» и иные нормативные правовые акты.
8.2. Оператор обязан:
- Принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.
- Обеспечить конфиденциальность персональных данных и не раскрывать их без согласия субъекта персональных данных, за исключением случаев, предусмотренных законодательством.
- Информировать субъектов персональных данных о целях, способах и сроках обработки их персональных данных, а также об их правах и обязанностях в соответствии с законодательством.
- Обеспечить возможность реализации субъектами персональных данных своих прав, включая право на доступ к персональным данным, их уточнение, блокирование и уничтожение.
- Своевременно рассматривать обращения и запросы субъектов персональных данных в соответствии с установленными сроками и порядком.
- Проводить обучение и инструктаж сотрудников, имеющих доступ к персональным данным, по вопросам обеспечения их защиты.
- Вести учет обращений субъектов персональных данных и действий, связанных с обработкой персональных данных.
- Принимать меры по выявлению и пресечению фактов нарушения требований законодательства в области персональных данных и информировать уполномоченные органы в случаях, предусмотренных законом.
9. УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. Уничтожение персональных данных осуществляется в случаях, предусмотренных действующим законодательством Российской Федерации, а также по достижении целей их обработки, если иное не установлено договором или соглашением с субъектом персональных данных.
9.2. Персональные данные подлежат уничтожению, если:
- Истек срок их хранения, установленный внутренними нормативными актами или законодательством;
- Субъект персональных данных отозвал согласие на обработку, и иные правовые основания для обработки отсутствуют;
- Данные были обработаны с нарушением законодательства или условий обработки.
9.3. Уничтожение персональных данных производится таким образом, чтобы исключить возможность их восстановления и дальнейшего использования. В зависимости от формата данных уничтожение может включать:
- Физическое уничтожение бумажных носителей;
- Удаление электронных данных с использованием специализированных программных средств, обеспечивающих невозможность восстановления.
9.4. Ответственность за организацию и контроль процесса уничтожения персональных данных возлагается на уполномоченных сотрудников организации.
9.5. По требованию субъекта персональных данных организация обязуется подтвердить факт уничтожения его персональных данных.
10. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
10.1. Субъектами персональных данных в рамках настоящей Политики являются сотрудники, клиенты, партнеры, соискатели, контрагенты и иные лица, персональные данные которых обрабатываются Организацией.
10.2. Субъекты персональных данных имеют право на получение информации, касающейся обработки их персональных данных, включая цели обработки, используемые способы, сроки хранения и категории третьих лиц, которым данные могут быть переданы.
10.3. Субъекты персональных данных вправе требовать уточнения, блокирования или уничтожения их персональных данных в случаях, если данные являются неполными, устаревшими, неточными, получены незаконно или не являются необходимыми для заявленных целей обработки.
10.4. Субъекты персональных данных имеют право отозвать согласие на обработку персональных данных в любое время, если обработка основана на таком согласии. Отзыв согласия не влияет на законность обработки, осуществленной до момента отзыва.
10.5. Субъекты персональных данных могут направлять свои заявления, касающиеся реализации прав, связанных с обработкой персональных данных, на электронную почту Организации: kzvs@kzvs.pro, kadr@kzvs.pro.
10.6. Организация обязуется рассмотреть обращения субъектов персональных данных и предоставить ответ в следующие сроки:
- Предоставление сведений о наличии персональных данных в течение 30 рабочих дней с даты получения запроса. Срок может быть продлён не более чем на 5 рабочих дней при условии направления субъекту персональных данных мотивированного уведомления с указанием причин продления.
- Мотивированный ответ в случае отказа в срок, не превышающий 10 рабочих дней со дня обращения субъекта персональных данных или его представителя.
- Внесение изменений в персональные данные в срок, не превышающий 7 рабочих дней со дня предоставления субъектом или его представителем подтверждающих сведений о неполноте, неточности или неактуальности персональных данных.
- Уничтожение персональных данных в срок, не превышающий 7 рабочих дней со дня предоставления субъектом или его представителем подтверждающих сведений о незаконном получении данных или их ненужности для заявленной цели обработки.
- Сообщение в уполномоченный орган по защите прав субъектов персональных данных в течение 10 рабочих дней с даты получения соответствующего запроса.
11. ПОРЯДОК ОБРАБОТКИ ОБРАЩЕНИЙ И ЗАПРОСОВ СУБЪЕКТОВ
11.1. В день поступления запроса субъекта персональных данных указанный запрос необходимо внести соответствующую запись в Журнал учета обращений субъектов персональных данных.
11.2. Ответственный за организацию обработки персональных данных обеспечивает рассмотрение запроса и подготовку необходимой информации в установленный действующим законодательством срок.
11.3. При необходимости субъекта информируют о его правах в области защиты персональных данных и возможностях обжалования решений.
11.4. Запрос считается исполненным, если рассмотрены все поставленные в нем вопросы, приняты необходимые меры и даны исчерпывающие ответы заявителю.
11.5. Нарушение установленного порядка рассмотрения запросов влечет в отношении виновных должностных лиц ответственность в соответствии с законодательством Российской Федерации.
12. ПОРЯДОК ДЕЙСТВИЙ В СЛУЧАЕ ЗАПРОСОВ УПОЛНОМОЧЕННОГО ОРГАНА ПО ЗАЩИТЕ ПРАВ СУБЪЕКТОВ ПДН
12.1. При получении запроса от уполномоченного органа по защите прав субъектов персональных данных оператор должен зарегистрировать его как входящую корреспонденцию.
12.2. Далее назначается ответственный сотрудник, который анализирует запрос, собирает необходимую информацию и готовит официальный ответ с учетом требований законодательства.
12.3. Ответ согласовывается с руководством и направляется в уполномоченный орган в установленные сроки.
12.4. Все документы, связанные с запросом и ответом, сохраняются в архиве для возможных проверок.
12.5. Если по результатам запроса выявлены нарушения, ЗАО «Краснодарзооветснаб» принимает корректирующие меры и фиксирует их.
12.6. При необходимости информируются субъекты персональных данных.
13. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ СУБЪЕКТА
13.1. Организация принимает все необходимые технические и организационные меры для защиты персональных данных субъектов от несанкционированного доступа, изменения, раскрытия, уничтожения или других неправомерных действий.
13.2. Доступ к персональным данным имеют только уполномоченные сотрудники, которым эти данные необходимы для выполнения служебных обязанностей.
13.3. Все сотрудники, работающие с персональными данными, проходят обучение и ознакомление с требованиями законодательства и внутренними правилами по защите персональных данных.
13.4. В случае выявления фактов нарушения безопасности персональных данных оператор незамедлительно принимает меры по устранению последствий и информирует уполномоченные органы в соответствии с законодательством.
14. ОБЯЗАННОСТИ ЛИЦ, ДОПУЩЕННЫХ К РАБОТЕ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ
14.1. Лица, допущенные к работе с персональными данными, обязаны:
14.2. Обеспечивать соблюдение требований законодательства РФ и внутренних нормативных актов, регулирующих обработку и защиту персональных данных;
- Использовать персональные данные исключительно в целях, предусмотренных договором, внутренними нормативными документами и законодательством;
- Гарантировать конфиденциальность персональных данных и принимать меры по предотвращению их несанкционированного доступа, изменения, уничтожения, блокирования, копирования и распространения;
- Блокировать неправомерно обрабатываемые персональные данные и прекращать их обработку в соответствии с требованиями законодательства РФ;
- Своевременно информировать непосредственного руководителя или уполномоченное лицо о случаях утечки или иных инцидентах, связанных с нарушением безопасности персональных данных;
- Уведомлять субъектов персональных данных об устранении выявленных нарушений при обработке их персональных данных;
- Принимать необходимые меры для восстановления нарушенных прав субъектов персональных данных в случае выявления нарушений;
- Проходить обучение и инструктаж по вопросам обработки и защиты персональных данных.
15. СРОКИ ОБРАБОТКИ И ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
15.1. Персональные данные обрабатываются и хранятся Организацией в течение срока, необходимого для достижения целей обработки, предусмотренных настоящей Политикой, а также в соответствии с требованиями действующего законодательства Российской Федерации.
15.2. Сроки хранения персональных данных устанавливаются с учётом:
- Целей обработки персональных данных;
- Сроков, установленных нормативными правовыми актами, договорами и иными обязательствами;
- Необходимости обеспечения прав и законных интересов субъектов персональных данных и Организации.
15.3. По истечении сроков хранения персональные данные подлежат уничтожению либо обезличиванию, за исключением случаев, если иное предусмотрено федеральными законами или иными нормативными правовыми актами.
15.4. Организация вправе продлить сроки обработки и хранения персональных данных в случаях, предусмотренных законодательством Российской Федерации, в том числе для соблюдения требований налогового, трудового, гражданского и иного законодательства.
15.5. Ответственность за своевременное уничтожение или обезличивание персональных данных возлагается на уполномоченных сотрудников Организации.
16. ПОРЯДОК ВНЕСЕНИЯ ИЗМЕНЕНИЙ В ПОЛИТИКУ
16.1. Изменения и дополнения в настоящую Политику вносятся при необходимости в связи с изменением законодательства, внутренних процедур Организации, технологических процессов или иных обстоятельств, влияющих на обработку персональных данных.
16.2. Инициатором внесения изменений может выступать уполномоченное лицо Организации, ответственное за обработку персональных данных, руководитель Организации или иные компетентные подразделения.
16.3. Все предлагаемые изменения проходят согласование с ответственными подразделениями и, при необходимости, с юридическим отделом.
16.4. После утверждения изменения и дополнения оформляются в письменном виде и являются неотъемлемой частью настоящей Политики с момента их утверждения.
16.5. О внесении изменений в Политику Организация обязуется своевременно информировать субъектов персональных данных и иных заинтересованных лиц удобным способом, включая публикацию обновлённой версии Политики на официальном сайте Организации или иными доступными способами.
16.6. В случае существенных изменений, влияющих на права и обязанности субъектов персональных данных, Организация может запрашивать повторное согласие субъектов на обработку их персональных данных в соответствии с законодательством.
