Положение

об обработке и защите персональных данных клиентов SWM

 
1.       Общие положения

1.1.  Настоящее Положение разработано в соответствии с законодательством

Российской Федерации о персональных данных (далее по тексту - ПДн) и определяет

политику ООО «РУМОС-КИА» (далее по тексту – Оператор) в отношении обработки и

защиты ПДн Клиентов ООО «РУМОС-КИА».

1.2. В настоящем Положении используются следующие термины:

- клиент - физическое лицо, потребитель услуг Оператора, субъект персональных

данных;

- персональные данные (ПДн) Клиентов- любая информация, относящаяся к

прямо или косвенно определенному или определяемому физическому лицу (субъекту

ПДн), необходимая Оператору в связи с исполнением им договорных обязательств перед

Клиентом;

- обработка ПДн - любое действие (операция) или совокупность действий

(операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение,

уточнение (обновление, изменение), извлечение, использование, передачу

(распространение, предоставление, доступ), обезличивание, блокирование, удаление,

уничтожение ПДн;

- автоматизированная обработка ПДн – обработка ПДн с помощью средств

вычислительной техники;

- распространение ПДн - действия, направленные на раскрытие ПДн

неопределенному кругу лиц;

- предоставление ПДн - действия, направленные на раскрытие ПДн

определенному лицу или определенному кругу лиц;

- блокирование ПДн - временное прекращение обработки ПДн (за исключением

случаев, если обработка необходима для уточнения ПДн);

- уничтожение ПДн - действия, в результате которых становится невозможным

восстановить содержание ПДн в ИСПДн и/или в результате которых уничтожаются

материальные носители ПДн;

- обезличивание ПДн - действия, в результате которых становится невозможным

без использования дополнительной информации определить принадлежность ПДн

конкретному субъекту ПДн;

- информационная система персональных данных (ИСПДн) - совокупность

содержащихся в базах данных ПДн и обеспечивающих их обработку информационных

технологий и технических средств;

- трансграничная передача ПДн - передача ПДн на территорию иностранного

государства органу власти иностранного государства, иностранному физическому лицу

или иностранному юридическому лицу.

- специальные категории ПДн - персональные данные, касающиеся расовой,

национальной принадлежности, политических взглядов, религиозных или философских

убеждений, состояния здоровья, частной жизни субъектов персональных данных.

- биометрические персональные данные - сведения, которые характеризуют

физиологические и биологические особенности человека, на основании которых можно

установить его личность и которые используются оператором для установления личности субъекта персональных данных, и не обрабатываются сведения, относящиеся к

специальным категориям персональных данных.

- общедоступные персональные данные - персональные данные субъектов

персональных данных, полученные только из общедоступных источников персональных

данных, созданных в соответствии со статьей 8 Федерального закона "О персональных

данных".

1.3. Настоящее Положение определяет:

1.3.1. порядок и условия обработки ПДн Оператором, включая порядок передачи

ПДн третьим лицам, особенности автоматизированной и неавтоматизированной обработки ПДн, порядок доступа к ПДн, порядок организации внутреннего контроля и

ответственность за нарушения при обработке ПДн,

1.3.2. процедуры, направленные на выявление и предотвращение нарушений

законодательства Российской Федерации в сфере персональных данных,

1.3.3. цели обработки ПДн,

1.3.4. содержание обрабатываемых ПДн для каждой цели обработки ПДн,

1.3.5. категории субъектов, персональные данные которых обрабатываются,

1.3.6. сроки обработки и хранения обрабатываемых ПДн,

1.3.7. порядок уничтожения ПДн при достижении целей обработки или при

наступлении иных законных оснований.

1.4. Действие настоящего Положения распространяется на все процессы по сбору,

систематизации, накоплению, хранению, уточнению, использованию, распространению

(в том числе передачу), обезличиванию, блокированию, уничтожению ПДн,

осуществляемых с использованием средств автоматизации и без их использования.

1.5. Настоящее Положение вступает в силу с момента его утверждения

Генеральным директором ООО «РУМОС-КИА» (далее по тексту - Руководитель

Оператора) и действует бессрочно, до замены его новым Положением.

1.6. Все изменения в Положение вносятся соответствующим Приказом.

1.7. Все работники Оператора должны быть ознакомлены с настоящим Положением под роспись.

2. Цели и задачи обработки персональных данных

2.1. Обработка ПДн должна ограничиваться достижением конкретных, заранее

определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора ПДн.

2.2. Не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, не совместимых между собой.

2.3. Обработке подлежат только ПДн, которые отвечают целям их обработки.

2.4. Содержание и объем обрабатываемых ПДн должны соответствовать

заявленным целям обработки. Обрабатываемые ПДн не должны быть избыточными по

отношению к заявленным целям их обработки.

2.5. Получение персональных данных может осуществляться как путем

представления их самими субъектами персональных данных, так и путем получения их из иных источников.

2.6. Персональные данные следует получать у самого субъекта персональных

данных. Если персональные данные возможно получить только у третьей стороны, то

субъект должен быть уведомлен об этом заранее и от него должно быть получено

письменное согласие. Оператор должен сообщить субъекту персональных данных о целях, предполагаемых источниках и способах получения персональных данных, а также о

характере подлежащих получению персональных данных и последствиях отказа субъекта дать письменное согласие на их получение.

2.7. Обработка ПДн клиентов ООО «РУМОС-КИА» может осуществляться

исключительно в целях обеспечения соблюдения законов и иных нормативных правовых

актов, при наличии договорных отношений между субъектами ПДн и Оператором, при

обращении субъектов к Оператору с обращениями, заявлениями и жалобами, а также за

оказанием услуг, предоставляемых Оператором, и в иных случаях, связанных с

осуществлением Оператором его деятельности.

2.8. Общество осуществляет обработку ПДн клиентов, общедоступные ПДн и

биометрические данные в порядке, указанном в настоящем Положении и согласно

Перечня обрабатываемых персональных данных. Общество не осуществляет обработку

специальных категорий ПДн.

2.9. Основными целями обработки ПДн являются: оказание услуг в сфере продаж;

оформления гражданско-правовых отношений, продвижение товаров и услуг,

поставляемых Оператором / ООО «ВОСТОК ВЕТЕР РУС»; получение и исследование

статистических данных об объемах продаж и качестве услуг, оказываемых Оператором / 

ООО «ВОСТОК ВЕТЕР РУС» при продаже автомобилей; изучение конъюнктуры рынка

автомобилей, автомобильных запасных частей и аксессуаров; совершенствование уровня

предоставляемых Оператором / ООО «ВОСТОК ВЕТЕР РУС» услуг; осуществление

гарантийного ремонта и технического обслуживания автомобилей; осуществление других видов деятельности в рамках законодательства РФ с обязательным выполнением

требований законодательства РФ в области персональных данных.

2.10. Документами, содержащими персональные данные, являются:

- паспорт или иной документ, удостоверяющий личность;

- свидетельство о регистрации транспортного средства,

- паспорт транспортного средства,

- полис КАСКО, ОСАГО,

- водительское удостоверение.

3.       Содержание персональных данных, обрабатываемых Оператором

3.1. В ООО «РУМОС-КИА» обрабатываются ПДн следующих субъектов ПДн:

- клиентов - физических лиц (потребителей услуг Оператора и покупателей

Оператора);

- индивидуальных предпринимателей, самозанятых – клиентов и контрагентов

Оператора;

- руководителей, сотрудников юридического лица или индивидуального

предпринимателя, являющихся контрагентами Оператора.

3.2. Данный перечень может пересматриваться по мере необходимости.

3.3. К персональным данным клиентов Оператора, обрабатываемых Оператором,

относятся:

- фамилия, имя, отчество;

- пол;

- число, месяц, год и место рождения;

- контактный телефон;

- адрес электронной почты (e-mail);

-  вид, серия, номер документа, удостоверяющего личность, наименование органа,

выдавшего его, дата выдачи;

- данные водительского удостоверения;

-   место работы;

- профессия;

- данные об автомобиле (VIN, модель, дата продажи и т.д.), количество автомобилей в семье;

- семейное положение, численность семьи, количество детей;

- профессия, доход,

- адрес регистрации,

- банковские реквизиты.

4. Доступ к персональным данным.  Порядок доступа в помещения, в которых обрабатываются персональные данные:

4.1. Сотрудники Оператора, которые в силу выполняемых должностных

обязанностей постоянно работают с ПДн, получают допуск к необходимым категориям

ПДн на срок выполнения ими соответствующих должностных обязанностей на основании Приказов Руководителя.

4.2. Список лиц, имеющих доступ к ПДн для информационной системы, должен

поддерживаться в актуальном состоянии.

4.3. Оператором установлен разрешительный порядок доступа к ПДн. Сотрудникам Оператора предоставляется доступ к работе с ПДн исключительно в пределах и объеме,

необходимых для выполнения ими своих должностных обязанностей на основании

решения Руководителя.

4.4. В случае, если сотруднику сторонней организации необходим доступ к ПДн

Оператора, то необходимо, чтобы в договоре со сторонней организацией были прописаны условия конфиденциальности ПДн и обязанность сторонней организации и ее сотрудников по соблюдению требований текущего законодательства в области защиты ПДн (поручение Оператора). Кроме того, в случае доступа к ПДн лиц, не являющихся сотрудниками

Оператора, должно быть получено согласие субъектов ПДн на предоставление их ПДн

третьим лицам. Указанное согласие не требуется, если ПДн предоставляются в целях

исполнения гражданско-правового договора, заключенного Оператором с субъектом ПДн.

4.6. Доступ сотрудника Оператора к ПДн прекращается с даты прекращения

трудовых отношений, либо даты изменения должностных обязанностей сотрудника и/или исключения сотрудника из списка лиц, имеющих право доступа к ПДн.

4.7. Оператор вправе поручить обработку персональных данных другому лицу с

согласия субъекта персональных данных. Лицо, осуществляющее обработку

персональных данных по поручению Оператора, обязано соблюдать принципы и правила

обработки персональных данных, предусмотренные настоящим Положением и

действующим законодательством.  В случае, если Оператор поручает обработку

персональных данных другому лицу, ответственность перед субъектом персональных

данных за действия указанного лица несет Оператор. Лицо, осуществляющее обработку

персональных данных по поручению Оператора, несет ответственность перед

Оператором.

4.8. Запрещается оставлять материальные носители ПДн без присмотра в

незапертых помещениях, в которых осуществляется обработка персональных данных.

4.9. Сотрудники, постоянно работающие в помещениях, в которых осуществляется обработка ПДн, должны быть допущены к работе с соответствующими видами

персональных данных Руководителем Оператора.

4.10. В служебных помещениях Оператора применяются административные,

технические, физические и процедурные меры, направленные для защиты ПДн от

нецелевого использования, несанкционированного доступа, раскрытия, потери, изменения и уничтожения обрабатываемых ПДн. 

К указанным мерам относятся:

-  физические меры защиты: двери, снабженные замками, сейфы и безопасное

уничтожение носителей, содержащих ПДн;

-   технические меры защиты: применение антивирусных программ, программ

защиты, установление паролей на персональных компьютерах;

-   организационные меры защиты: обучение и ознакомление с принципами

безопасности и конфиденциальности, доведение до сотрудников, допущенных к обработке ПДн, важности защиты персональных данных и способов обеспечения защиты.

5. Процедуры, направленные на выявление и предотвращение нарушений

законодательства в сфере персональных данных.

5.1. Оператор обязан принимать необходимые правовые, организационные,

технические и другие меры для обеспечения безопасности ПДн.

5.2. При обработке ПДн в информационных системах должно быть обеспечено:

-   проведение мероприятий, направленных на предотвращение

несанкционированного доступа к персональным данным и/или передачи их лицам, не

имеющим права доступа к такой информации;

-    своевременное обнаружение фактов несанкционированного доступа к ПДн;

-    недопущение воздействия на технические средства автоматизированной

обработки ПДн, в результате которого может быть нарушено их функционирование;

-    возможность незамедлительного восстановления ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

-    постоянный контроль над обеспечением уровня защищенности ПДн.

5.3. Оператором используются технические средства и программное оборудование для обработки и защиты ПДн, а именно: антивирусное программное обеспечение,

межсетевой экран между локальной и глобальной сетями, прокси-сервер, а также

дополнительные меры, такие как исключение доступа в помещения, в которых находится

оборудование информационной системы, посторонних лиц.

5.4. Обработка ПДн без использования средств автоматизации (далее –

неавтоматизированная обработка ПДн) может осуществляться в виде документов на

бумажных носителях и в электронном виде (файлы, базы данных) на электронных

носителях информации.

5.5. При неавтоматизированной обработке ПДн должно быть обеспечено:

-  осуществление обработки ПДн таким образом, чтобы в отношении каждой

категории персональных данных можно было определить места хранения персональных

данных (материальных носителей) и установить перечень лиц, осуществляющих

обработку персональных данных либо имеющих к ним доступ;

-   раздельное хранение персональных данных (материальных носителей),

обработка которых осуществляется в различных целях;

-   соблюдение условий, обеспечивающих сохранность персональных данных и

исключающих несанкционированный к ним доступ, при хранении материальных

носителей.

5.6. Документы и внешние электронные носители информации, содержащие ПДн,

должны храниться в служебных помещениях в надежно запираемых и опечатываемых

шкафах (сейфах). При этом должны быть созданы надлежащие условия, обеспечивающие их сохранность.

5.7. Сотрудники обязаны незамедлительно сообщать Руководителю Оператора об

утрате или недостаче носителей информации, составляющей ПДн, а также о причинах и

условиях возможной утечки ПДн. В случае попытки посторонних лиц получить от

сотрудника ПДн, обрабатываемых Оператором, незамедлительно известить об этом

Руководителя Оператора.

5.8. В случае выявления неправомерной обработки ПДн при обращении субъекта

ПДн или его представителя либо по запросу субъекта ПДн или его представителя либо

уполномоченного органа по защите прав субъектов ПДн Оператор обязан осуществить

блокирование неправомерно обрабатываемых ПДн, относящихся к этому субъекту ПДн,

или обеспечить их блокирование (если обработка персональных данных осуществляется

другим лицом, действующим по поручению Оператора) с момента такого обращения или

получения указанного запроса на период проверки. В случае выявления неточных ПДн

при обращении субъекта ПДн или его представителя либо по их запросу или по запросу

уполномоченного органа по защите прав субъектов ПДн Оператор обязан осуществить

блокирование ПДн, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка ПДн осуществляется другим лицом, действующим по

поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование ПДн не нарушает права и законные интересы

субъекта ПДн или третьих лиц.

5.9. В случае подтверждения факта неточности ПДн Оператор на основании

сведений, представленных субъектом ПДн или его представителем либо уполномоченным органом по защите прав субъектов ПДн, или иных необходимых документов обязан

уточнить ПДн либо обеспечить их уточнение (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) в течение срока, указанного в ч. 2 ст. 21 ФЗ «О персональных данных», и снять блокирование персональных данных.

5.10. В случае выявления неправомерной обработки ПДн, осуществляемой

Оператором или лицом, действующим по поручению Оператора, Оператор в срок, не

превышающий трех рабочих дней с даты этого выявления, обязано прекратить

неправомерную обработку ПДн или обеспечить прекращение неправомерной обработки

ПДн лицом, действующим по поручению Оператора. В случае, если обеспечить

правомерность обработки ПДн невозможно, Оператор в срок, указанный в ч. 3 ст. 21 ФЗ

«О персональных данных», обязано уничтожить такие ПДн или обеспечить их

уничтожение. Об устранении допущенных нарушений или об уничтожении ПДн Оператор обязан уведомить субъекта ПДн или его представителя, а в случае, если обращение

субъекта ПДн или его представителя либо запрос уполномоченного органа по защите прав субъектов ПДн были направлены уполномоченным органом по защите прав субъектов

ПДн, также указанный орган.

5.11. В случае установления факта неправомерной или случайной передачи

(предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, Оператор обязан с момента выявления такого инцидента Оператором,

уполномоченным органом по защите прав субъектов ПДн или иным заинтересованным

лицом уведомить уполномоченный орган по защите прав субъектов ПДн:

1)      в срок, указанный в п. 1 ч. 3.1 ст. 21 ФЗ «О персональных данных» -

о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав

субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов ПДн, о принятых мерах по устранению последствий соответствующего инцидента, а

также предоставить сведения о лице, уполномоченном оператором на взаимодействие с

уполномоченным органом по защите прав субъектов ПДн, по вопросам, связанным с

выявленным инцидентом;

2)      в срок, указанный в п. 2 ч. 3.1 ст. 21 ФЗ «О персональных данных» -

о результатах внутреннего расследования выявленного инцидента, а также предоставить

сведения о лицах, действия которых стали причиной выявленного инцидента (при

наличии).

6. Согласие на обработку ПДн

6.1. Субъект ПДн принимает решение о предоставлении своих ПДн и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку ПДн

должно быть конкретным, информированным и сознательным. Согласие на обработку

ПДн может быть дано субъектом ПДн в любой позволяющей подтвердить факт его

получения форме, если иное не установлено законодательством РФ. В случае получения

согласия на обработку ПДн от представителя субъекта ПДн полномочия данного

представителя на дачу согласия от имени субъекта ПДн проверяются Оператором.

6.2. Обработка биометрических ПДн (рост, вес, группа крови и т.д.), в соответствии со ст. 11 Федерального закона № 152 ФЗ «О персональных данных», Оператором не

осуществляется.

7. Права субъекта в отношении персональных данных, обрабатываемых

Оператором

7.1. Субъект ПДн имеет право на получение информации, касающейся обработки

его ПДн, в том числе содержащей:

-  подтверждение факта обработки ПДн Оператором;

-  правовые основания и цели обработки ПДн;

-  цели и применяемые Оператором способы обработки ПДн;

-  наименование и место нахождения Оператора, сведения о лицах (за исключением сотрудников Оператора), которые имеют доступ к ПДн или которым могут быть

раскрыты ПДн на основании договора с Оператором или на основании федерального

закона;

-   обрабатываемые ПДн, относящиеся к соответствующему субъекту ПДн,

источник их получения, если иной порядок представления таких данных не

предусмотрен федеральным законом;

-   сроки обработки ПДн, в том числе сроки их хранения;

-   порядок осуществления субъектом ПДн прав, предусмотренных Федеральным

законом «О персональных данных»;

-   информацию об осуществленной или о предполагаемой трансграничной

передаче данных;

-   наименование или фамилию, имя, отчество и адрес лица, осуществляющего

обработку ПДн по поручению оператора, если обработка поручена или будет поручена

такому лицу;

-  иные сведения, предусмотренные Федеральным законом «О персональных

данных» или другими федеральными законами.

7.2. Запрос субъекта персональных данных должен содержать сведения

позволяющие провести его идентификацию:

-  фамилию, имя, отчество субъекта ПДн или его представителя;

-  номер основного документа, удостоверяющего личность субъекта ПДн или его

представителя, сведения о дате выдачи указанного документа и выдавшем его органе;

-  сведения, подтверждающие участие субъекта ПДн в отношениях с оператором

(номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн

Оператором;

-  подпись субъекта ПДн или его представителя.

Запрос может быть направлен почтовым отправлением ФГУП «Почта России»,

электронной почтой и подписан электронной подписью в соответствии с

законодательством Российской Федерации.

7.3. При обращении либо при получении запроса субъекта ПДн или его

представителя Оператор должен предоставить сведения в доступной форме и в них не

должны содержаться ПДн, относящиеся к другим субъектам ПДн, за исключением

случаев, если имеются законные основания для раскрытия таких ПДн. Оператор обязан

предоставить информацию по запросу субъекта ПДн или его представителя в порядке,

предусмотренном Федеральным законом «О персональных данных».

7.4. Субъект ПДн вправе требовать от Оператора уточнения его ПДн, их

блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими,

неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

7.5. Возможность ознакомления с ПДн предоставляется на безвозмездной основе

лицом ответственным за обработку ПДн.

8. Права и обязанности Оператора при обработке персональных данных

8.1. Оператор вправе:

8.1.1. Поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное

не предусмотрено законодательством РФ, на основании заключаемого с этим лицом

договора, в том числе государственного или муниципального контракта, либо путем

принятия государственным или муниципальным органом соответствующего акта.

8.1.2. В случае отзыва субъектом ПДн согласия на обработку ПДн, продолжить

обработку ПДн без согласия субъекта ПДн при наличии оснований, указанных в

законодательстве РФ.

8.1.3. Отказать субъекту ПДн в выполнении повторного запроса сведений, не

соответствующего условиям, предусмотренным законодательством РФ. Такой отказ

должен быть мотивированным.  Обязанность представления доказательств

обоснованности отказа в выполнении повторного запроса лежит на Операторе.

8.1.4. Самостоятельно определять состав и перечень мер, необходимых и

достаточных для обеспечения выполнения обязанностей Оператора, предусмотренных

законодательством РФ.

8.2. Оператор обязан:

8.2.1. Оператор до начала обработки ПДн обязан уведомить уполномоченный орган по защите прав субъектов ПДн о своем намерении осуществлять обработку ПДн, за

исключением случаев, предусмотренных законодательством РФ.

8.2.2. При получении доступа к ПДн не раскрывать третьим лицам и не

распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено

законодательством РФ.

8.2.3. При сборе ПДн, предоставить субъекту ПДн по его просьбе информацию,

предусмотренную законодательством РФ.

Если предоставление ПДн Оператору для субъекта ПДн является обязательным в

соответствии с Федеральным законом «О персональных данных», Оператор обязан

разъяснить субъекту ПДн юридические последствия отказа предоставить его ПДн.

8.2.4. Если ПДн получены не от субъекта ПДн, Оператор, за исключением случаев, предусмотренных законодательством РФ, до начала обработки таких ПДн обязан

предоставить субъекту ПДн следующую информацию:

-   наименование и адрес Оператора или его представителя;

- цель обработки ПДн и ее правовое основание;

-  предполагаемые пользователи ПДн;

-  установленные Федеральным законом «О персональных данных» права субъекта ПДн;

-   источник получения ПДн.

8.2.5. Принимать меры, необходимые и достаточные для обеспечения выполнения

обязанностей Оператора, предусмотренных законодательством РФ.

8.2.6. Опубликовать на сайте Оператора настоящее Положение, определяющее

политику Оператора в отношении обработки ПДн.

8.2.7. Представить документы и локальные акты, предусмотренные

законодательством РФ, и/или иным образом подтвердить принятие мер, необходимых и

достаточных для обеспечения выполнения обязанностей Оператора, по запросу

уполномоченного органа по защите прав субъектов ПДн.

8.2.8. При обработке ПДн принимать необходимые правовые, организационные и

технические меры или обеспечивать их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования,

предоставления, распространения ПДн, а также от иных неправомерных действий в

отношении ПДн.

8.2.9. Сообщить в порядке, предусмотренном законодательством РФ, субъекту ПДн или его представителю безвозмездно информацию о наличии ПДн, относящихся к

соответствующему субъекту ПДн, а также предоставить возможность ознакомления с

этими ПДн при обращении субъекта ПДн или его представителя либо в течение десяти

дней с даты получения запроса субъекта ПДн или его представителя.

8.2.10. В случае отказа в предоставлении информации о наличии ПДн о

соответствующем субъекте ПДн или ПДн субъекту ПДн или его представителю при их

обращении либо при получении запроса субъекта ПДн или его представителя оператор

обязан дать в письменной форме мотивированный ответ, содержащий ссылку на

положение законодательства РФ, являющееся основанием для такого отказа, в срок,

установленный законодательством РФ.

8.2.11. В установленный законодательством РФ срок Оператор обязан внести

необходимые изменения в ПДн в случае обращения субъекта ПДн или его представителя. Оператор обязан уведомить субъекта ПДн или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым ПДн этого субъекта были переданы.

8.2.12. Сообщить в уполномоченный орган по защите прав субъектов ПДн по

запросу этого органа необходимую информацию в срок, установленный законодательством РФ.

8.2.13. В случае выявления неправомерной обработки ПДн, осуществляемой

Оператором или лицом, действующим по поручению Оператора, Оператор в срок,

установленный законодательством РФ, обязан прекратить неправомерную обработку ПДн или обеспечить прекращение неправомерной обработки ПДн лицом, действующим по

поручению Оператора. В случае если обеспечить правомерность обработки ПДн

невозможно, Оператор обязан уничтожить такие ПДн или обеспечить их уничтожение.

Об устранении допущенных нарушений или об уничтожении ПДн Оператор обязан

уведомить субъекта ПДн или его представителя, а в случае, если обращение субъекта ПДн или его представителя либо запрос уполномоченного органа по защите прав субъектов

ПДн были направлены уполномоченным органом по защите прав субъектов ПДн, также

указанный орган.

8.2.14. В случае достижения цели обработки ПДн Оператор обязан прекратить

обработку ПДн или обеспечить ее прекращение (если обработка ПДн осуществляется

другим лицом, действующим по поручению Оператора) и уничтожить ПДн или

обеспечить их уничтожение (если обработка ПДн осуществляется другим лицом,

действующим по поручению Оператора) в срок, не превышающий тридцати дней с даты

достижения цели обработки ПДн, если иное не предусмотрено договором, стороной

которого, выгодоприобретателем или поручителем, по которому является субъект ПДн,

иным соглашением между Оператором и субъектом ПДн либо если Оператор не вправе

осуществлять обработку ПДн без согласия субъекта ПДн на основаниях, предусмотренных законодательством РФ.

8.2.15. В случае отзыва субъектом ПДн согласия на обработку его ПДн, прекратить их обработку или обеспечить прекращение такой обработки (если обработка ПДн

осуществляется другим лицом, действующим по поручению Оператора) и в случае, если

сохранение ПДн более не требуется для целей обработки ПДн, уничтожить ПДн или

обеспечить их уничтожение (если обработка ПДн осуществляется другим лицом,

действующим по поручению Оператора) в срок, не превышающий тридцати дней с даты

поступления указанного отзыва, если иное не предусмотрено договором, стороной

которого, выгодоприобретателем или поручителем, по которому является субъект ПДн,

иным соглашением между оператором и субъектом ПДн либо если Оператор не вправе

осуществлять обработку ПДн без согласия субъекта ПДн на основаниях, предусмотренных законодательством РФ.

8.2.16. В случае установления факта неправомерной или случайной передачи

(предоставления, распространения, доступа) персональных данных, повлекшей

нарушение прав субъектов персональных данных, Оператор обязан с момента выявления

такого инцидента Оператором, уполномоченным органом по защите прав субъектов

персональных данных или иным заинтересованным лицом уведомить уполномоченный

орган по защите прав субъектов персональных данных:

1)      в течение двадцати четырех часов о произошедшем инциденте, о

предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить

сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным

органом по защите прав субъектов персональных данных, по вопросам, связанным с

выявленным инцидентом;

2)      в течение семидесяти двух часов о результатах внутреннего расследования

выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

9. Порядок обработки и защиты персональных данных

  9.1. Обеспечение конфиденциальности ПДн, обрабатывающихся Оператором,

является обязательным требованием для всех лиц, которым ПДн стали известны.

9.2. Сотрудники Оператора, осуществляющие оформление документов, обязаны

получать в установленных случаях согласие субъектов ПДн на обработку.

9.3. В случае нарушения установленного порядка обработки ПДн сотрудники

Оператора несут ответственность в соответствии с разделом 10 настоящего Положения.

9.4. ПДн субъектов на бумажных носителях, обрабатываемые Оператором, хранятся в отделах (на рабочих местах сотрудников), имеющих допуск к обработке

соответствующих ПДн.  Носители ПДн не должны оставаться без присмотра.  При

оставлении рабочего места, сотрудники, осуществляющие обработку ПДн, должны

убирать носители в сейф, запираемый шкаф или иным образом ограничивать

несанкционированный доступ к носителям. При утере или порче ПДн осуществляется

по возможности их восстановление.

9.5. Места хранения документов, содержащих ПДн.

ПДн Клиентов, обрабатываемые Оператором (договоры, акты, соглашения, анкеты, копии паспортов, иные подобные документы, содержащие ПДн Клиентов, носители

информации (флеш-карты, CD-диски, и т.п.)), хранятся в соответствующих отделах

(подразделениях) Оператора, осуществляющих обработку ПДн Клиентов в запираемых

шкафах (сейфах), и в персональных компьютерах, оборудованных системой защиты от

несанкционированного доступа, а именно: ПДн клиентов на печатных носителях хранятся в бухгалтерии (ДКП, заказ-наряды, акты выполненных работ), анкеты тест-драйва,

соглашения, претензии и т.п. хранятся у Руководителя клиентской службы, а также все

ПДн хранятся в информационной системе 1С.

9.6. При неавтоматизированной обработке различных категорий ПДн должен

использоваться отдельный материальный носитель для каждой категории ПДн.

9.7. При неавтоматизированной обработке ПДн на бумажных носителях:

-  не допускается фиксация на одном бумажном носителе ПДн, цели обработки

которых заведомо несовместимы;

-  ПДн должны обособляться от иной информации, в частности путем фиксации их на отдельных бумажных носителях, в специальных разделах или на полях форм (бланков).

9.8. Хранение ПДн должно осуществляться в форме, позволяющей определить

субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн.

9.9. Под уничтожением обработанных ПДн понимаются действия, в результате

которых невозможно восстановить содержание ПДн в ИСПДн или в результате которых

уничтожаются материальные носители ПДн.

9.10. Обрабатываемые ПДн подлежат уничтожению либо обезличиванию по

достижении целей обработки или в случае утраты необходимости в достижении этих

целей, если иное не предусмотрено действующим законодательством.

9.11. Уничтожение обработанных ПДн производится комиссией по уничтожению

документов с составлением соответствующего Акта об уничтожении.

9.12. Уничтожение или обезличивание части персональных данных, если это

допускается материальным носителем, может производиться способом, исключающим

дальнейшую обработку этих ПДн с сохранением возможности обработки иных данных,

зафиксированных на материальном носителе (удаление, вымарывание).

9.13. Уточнение ПДн при осуществлении их обработки без использования средств

автоматизации производится путем обновления или изменения данных на материальном

носителе, а если это не допускается техническими особенностями материального

носителя - путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными ПДн.

9.14. Уничтожение носителей, содержащих ПДн, осуществляется в следующем

порядке:

-  ПДн на бумажных носителях уничтожаются путем использования шредера

(уничтожители документов), установленного в офисе Оператора.

-  ПДн, размещенные в памяти персональных компьютеров, уничтожаются путем

удаления их из памяти персональных компьютеров.

-  ПДн, размещенные на флеш-карте, CD-диске, ином носителе информации

уничтожаются путем удаления файла с носителя, при необходимости путем нарушения

работоспособности флеш-карты или CD-диска.

9.15. Все помещения Оператора по окончании рабочего дня и отсутствия сотрудников, должны запираться, окна должны быть закрыты, должна быть включена сигнализация

(при наличии).

9.16. Сетевое оборудование, серверы следует располагать в местах, недоступных

для посторонних лиц (в специальных помещениях, шкафах, коробах).

9.17. Оператор должен осуществлять внутренний контроль процесса обработки

ПДн в целях изучения и оценки фактического состояния защищенности ПДн,

своевременного реагирования на нарушения установленного порядка их обработки, а

также в целях совершенствования этого порядка и обеспечения его соблюдения.

9.18. Мероприятия по осуществлению внутреннего контроля обработки и

обеспечения безопасности ПДн направлены на решение следующих задач:

-  обеспечение соблюдения сотрудниками Оператора требований настоящего

Положения и нормативно-правовых актов, регулирующих сферу ПДн;

- оценка компетентности персонала, задействованного в обработке ПДн;

-   обеспечение работоспособности и эффективности технических средств ИСПДн и средств защиты ПДн, их соответствия требованиям уполномоченных органов

исполнительной власти по вопросам безопасности ПДн;

-   выявление нарушений установленного порядка обработки ПДн и своевременное предотвращение негативных последствий таких нарушений;

-  принятие корректирующих мер, направленных на устранение выявленных

нарушений, как в порядке обработки ПДн, так и в работе технических средств ИСПДн;

-  разработка рекомендаций по совершенствованию порядка обработки и

обеспечения безопасности ПДн по результатам контрольных мероприятий;

-  осуществление внутреннего контроля за исполнением рекомендаций и указаний

по устранению нарушений.

10. Сроки обработки и хранения персональных данных

10.1. Сроки обработки и хранения ПДн иных субъектов ПДн, обрабатываемых

Оператором, осуществляется по достижении цели обработки персональных данных или

периода, указанного в согласии на обработку персональных данных или по достижении

сроков хранения персональных данных, установленных нормативными актами Российской Федерации.

10.2. Срок хранения ПДн, внесенных в ИСПДн Оператора, должен соответствовать сроку хранения бумажных оригиналов.

11. Ответственность за нарушение настоящего Положения

11.1. Руководитель Оператора несет ответственность за необеспечение

конфиденциальности ПДн и несоблюдение прав и свобод субъектов ПДн в отношении их ПДн, в том числе прав на неприкосновенность частной жизни, личную и семейную тайну.

11.2. Сотрудники Оператора, допущенные к работе с персональными данными,

несут персональную ответственность за несоблюдение требований по обработке и

обеспечению безопасности ПДн, установленных настоящим Положением, в соответствии с законодательством Российской Федерации.

11.3. Сотрудник Оператора может быть привлечен к ответственности в случаях:

- умышленного или неосторожного раскрытия ПДн;

-  утраты материальных носителей ПДн;

-  нарушения требований настоящего Положения и других нормативных

документов Оператора в части вопросов доступа и работы с ПДн.

11.4. В случаях нарушения установленного порядка обработки и обеспечения

безопасности ПДн, несанкционированного доступа к ПДн, раскрытия ПДн и нанесения

Оператору, его сотрудникам, клиентам и контрагентам материального или иного ущерба

виновные лица несут уголовную, гражданскую, административную, дисциплинарную и

иную предусмотренную законодательством РФ ответственность.

ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. ООО «ВОСТОК ВЕТЕР РУС»