ИНДИВИДУАЛЬНЫЙ ПРЕДПРИНИМАТЕЛЬ
КОКОУРОВА МАРИНА ВЛАДИМИРОВНА
Владелец Франшизы
Автоцентр «ВИАДУК»
Омская область, город Омск, ИНН 550711926919, ОГРНИП 31055432900161
адрес деятельности: город Омск, ул. 10 лет Октября 195А.
Приложение № 1
К приказу № 1 от 15.01.2025
ПОЛИТИКА ЗАЩИТЫ И ОБРАБОТКИ
ПЕРСОНАЛЬНЫХ ДАННЫХ КЛИЕНТОВ, КОНТРАГЕНТОВ И РАБОТНИКОВ
1.1. Настоящая Политика по обработке и защите персональных данных (далее – «Политика») определяет основные цели, порядок сбора, хранения, принципы и условия обработки персональных данных Индивидуальным предпринимателем Кокоурова М.В. (далее Оператор), а также меры по обеспечению безопасности персональных данных их обезличиванию и уничтожению.
1.2. Политика разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», иных федеральных законов, постановлений Правительства РФ, других нормативных актов уполномоченных органов, регулирующих вопросы работы с персональными данными, а также принятых во их исполнение подзаконных нормативных правовых актов и внутренних актов Оператора.
1.3. Политика направлена на обеспечение прав и свобод человека и гражданина при обработке Оператором его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, в соответствии с требованиями действующих нормативных правовых актов.
1.4. Политика обязательна для исполнения всеми работниками Оператора, участвующими в процессе обработки персональных данных, а также работниками, кому данная информация по отдельному субъекту персональных данных, стала доступна в процессе выполнения должностных обязанностей.
1.5. Политика является общедоступной и подлежит размещению на официальном сайте Оператора.
Правовые основания обработки персональных данных
3.1. При разработке Политики были использованы следующие нормативные документы:
Акты Президента Российской Федерации
Федеральные законы
Акты Правительства РФ
Акты уполномоченных органов в сферу деятельности которых входят вопросы регулирования деятельности организаций по защите персональных данных.
2. ПОНЯТИЯ, ИСПОЛЬЗУЕМЫЕ В ПОЛИТИКЕ
2.1. Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
2.2. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
2.3. Сайт – совокупность графических и информационных материалов, а также программ для ЭВМ и баз данных, обеспечивающих их доступность в сети Интернет.
2.4. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
2.5. Обезличивание персональных данных – действия, в результате которых невозможно определить без использования дополнительной информации принадлежность персональных данных конкретному Пользователю или иному субъекту персональных данных.
2.6. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
2.7. Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо (Индивидуальный предприниматель), самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
2.8. Персональные данные (далее ПДн) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) и разрешенные субъектом ПДн для обработки и распространения, а так-же персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом ПДн путем дачи согласия на обработку ПДн, разрешенных субъектом ПДн для распространения в порядке, предусмотренном Федеральным Законом о персональных данных (далее – персональные данные, разрешенные для распространения), а также любая информация, относящаяся прямо или косвенно к определенному или определяемому Пользователю Сайта.
2.9. Пользователь ПДн – строго определенный круг работников Оператора, которым в распорядительном порядке предоставлено право сбора, записи, систематизации, накопление, хранения, уточнения (обновления, изменения), извлечения, использования, передачу (распространения, предоставления, доступа), обезличивания, блокирование, удаления, уничтожения ПДн, в соответствии с установленными целями и способами обработки ПДн.
2.10. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
2.11. Распространение персональных данных – любые действия, направленные на раскрытие персональных данных неопределенному кругу или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом.
2.12. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.
2.13. Уничтожение персональных данных – любые действия, в результате которых персональные данные уничтожаются безвозвратно с невозможностью дальнейшего восстановления содержания персональных данных в информационной системе персональных данных и (или) уничтожаются материальные носители персональных данных.
3. ЦЕЛИ И СПОСОБЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1. Оператор осуществляет обработку персональных данных следующих категорий
субъектов персональных данных:
- кандидаты на вакантные должности;
- штатные работники Оператора;
- близкие родственники штатных работников (и члены семьи);
- контрагенты – физические лица, индивидуальные предприниматели, лица, с которыми
заключены гражданско-правовые договоры;
- родственники, члены семьи контрагентов-физических лиц (супруги);
- представители контрагентов – юридических лиц (в т.ч. партнеров, корреспондентов);
- клиенты – физические лица (в т.ч. их представители);
- близкие родственники клиентов – физических лиц (и члены семьи);
- клиенты ИП – лица, занимающиеся в установленном законодательством РФ порядке частной
деятельностью, государственные, муниципальные и другие юридические лица (далее - Организации);
- представители клиентов – юридических лиц (в т.ч. по доверенности);
- косвенные участники сделок с клиентами Оператора;
- посетители сайта Оператора;
3.2. Целями обработки персональных данных являются:
- подбор персонала (соискателей) на вакантные должности оператора;
- ведение кадрового и бухгалтерского учета;
-обеспечение соблюдения налогового законодательства;
-обеспечение трудового законодательства;
-подготовка, заключение и исполнение гражданско-правового договора;
- участие лиц (ПДн или Оператора) в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
-исполнение судебных актов;
-продвижение товаров, работ, услуг на рынке;
-обеспечение пропускного режима и безопасности на территории Оператора;
-обеспечение прохождения ознакомительной, производственной или преддипломной практики на основании договора с учебным заведением;
Иные цели:
-осуществление функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Оператора, в том числе по предоставлению сведений в Пенсионный фонд Российской Федерации, в Фонд социального страхования Российской Федерации, в Федеральный фонд обязательного медицинского страхования, а также в иные государственные и муниципальные органы;
-контроль количества и качества выполняемых работ при техническом ремонте и обслуживании автотранспортных средств;
- предоставление услуг физическим и юридическим лицам и/или рассмотрение возможности их предоставления по техническому обслуживанию, ремонту автотранспортных средств и розничной и оптовой торговле автомобильными деталями, узлами и принадлежностями, в том числе лакокрасочными материалами;
- проверка любых предоставленных сведений (и получение, при необходимости, дополнительных
сведений в пределах, разрешенных применяемым законодательством РФ) в государственных, муниципальных и/или иных органах/организациях;
- осуществление функций, возложенных на Оператора внутренними распорядительными документами;
-оказание услуг по бухгалтерскому учету, проведению финансового аудита, налоговому консультированию, кадровых услуг и делопроизводства сторонним организациям на основании договоров аутсорсинга (Франшизы);
-консультирование по вопросам коммерческой деятельности и управления на основании договоров аутсорсинга (Франшизы);
-аренда интеллектуальной собственности и подобной продукции, кроме авторских прав на основании договоров аутсорсинга (Франшизы);
-формирования, ведение справочных и клиентских баз для повышения качества обслуживания клиентов и внутреннего информационного обеспечения деятельности Оператора;
-деятельность по складированию и хранению;
- организация деловых поездок;
- поддержание корпоративной культуры;
- достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
3.3. Оператор не имеет права: получать и обрабатывать ПДн, касающиеся
расовой, национальной принадлежности, политических взглядов, религиозных или
философских убеждений, состояния здоровья, интимной жизни, за исключением случаев,
предусмотренных законодательством РФ, а так же осуществлять трансграничную передачу персональных данных, без соответствующего решения уполномоченных органов.
3.4. Перечень действий с персональными данными, которые могут осуществляться Оператором
при обработке персональных данных субъектов:
- сбор;
- запись;
- систематизация;
- накопление;
- хранение;
- уточнение (обновление, изменение);
- извлечение;
- использование;
- передача (распространение, предоставление, доступ);
- обезличивание;
- блокирование;
- удаление;
- уничтожение.
3.5. Оператор осуществляет обработку ПДн, как с использованием средств автоматизации, так и без использования таких средств.
4.1. Обработка ПДн Оператором осуществляется только с соблюдением следующих условий:
- после получения согласия субъекта ПДн, за исключением случаев, предусмотренных законодательством РФ;
- после принятия необходимых мер по защите ПДн.
4.2. Содержание, объем и способы обработки ПДн должны соответствовать заявленным целям обработки. Обрабатываемые ПДн не должны быть избыточными по отношению к заявленным целям их обработки.
4.3. При обработке ПДн должны быть обеспечены их точность, достаточность
и актуальность по отношению к целям обработки ПДн. Необходимо
принимать меры либо обеспечивать их принятие по удалению или уточнению неполных
или неточных данных.
4.4. Не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях несовместимых между собой.
4.5. Оператор не имеет права основываться на ПДн, полученных
исключительно в результате их автоматизированной обработки или электронного
получения, при принятии решений, затрагивающих интересы субъекта ПДн и порождающих
юридические последствия.
4.6. Работникам Оператора, получившим доступ к ПДн, обрабатываемым Оператором, запрещается раскрывать их работникам, не имеющим отношение к обработке ПДн, а также третьим лицам (не являющимися работниками или внешними совместителями Оператора) и распространять
ПДн без согласия субъекта персональных данных, если иное не
предусмотрено законодательством РФ.
4.7. В целях организации трудового взаимодействия и поддержания корпоративной культуры
могут создаваться общедоступные источники ПДн. Сведения о работниках включаются в данные источники только после получения соответствующего согласия.
4.8. Сроки хранения ПДн не должны быть дольше, чем этого требуют цели
обработки ПДн или должны определяться в соответствии истребованиями федеральных законов, сроками действия договоров, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПДн .
4.9. Обрабатываемые ПДн уничтожаются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
5. УВЕДОМЛЕНИЕ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Обработка ПДн Оператором осуществляется с обязательным уведомлением об обработке ПДн Управления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций РФ (далее- Роскомнадзор).
5.2. Уведомление об обработке персональных данных поддерживается в актуальном состоянии
лицом, ответственным за организацию обработки персональных данных (Ответственный
за организацию обработки ПДн). Ответственный за организацию обработки ПДн
назначается приказом руководителя Оператора.
5.3. Уведомление должно содержать актуальные сведения, в случае изменения, Оператором подается уточненная форма уведомления.
5.4. В случае изменения сведений, указанных в уведомлении, а также в случае прекращения
обработки ПДн Ответственный за организацию обработки ПДн Оператора должен уведомить об этом
Роскомнадзор в течение 10 рабочих дней с даты возникновения изменений или прекращения обработки ПДн.
6. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. ПОЛУЧЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1.1 При приеме на работу:
- с работников Оператора взимается согласие на обработку ПДн. Согласие оформляется отдельным документом.
6.1.2. В повседневной деятельности:
-если ПДн работника возможно получить только у третьей стороны, то работник должен быть уведомлен об этом заранее, и от него должно быть получено письменное согласие. Оператор должен сообщить работнику о целях, предполагаемых источниках и способах получения ПДн, а также о характере подлежащих получению ПДн и последствиях отказа работника дать письменное
согласие на их получение.
6.1.3. При устройстве на производственную практику студентов образовательных учреждений:
- ответственным Оператора за обработку ПДн взимается согласие на обработку ПДн. Согласие оформляется отдельным документом. После окончания практики ПДн подлежат уничтожению.
6.1.4. С клиентов Оператора согласие на обработку персональных данных взимается:
- отдельным документом, в рамках дополнения к заказ-наряда (анкете, заявлению) до заключения договора;
- в рамках дополнения к договору, стороной которого является клиент Оператора;
- при предоставлении услуг, которые предполагают обработку персональных
данных без заполнения заказ-наряда (анкеты, заявления) или договора в виде отдельного
документа;
- в электронной форме на официальном сайте Оператора при регистрации или
формировании заявки на предоставление услуг.
- с использованием комплекса программных продуктов верификации с использованием стандарта простой электронной подписи (ПЭП), персонального смс сообщения.
6.1.5. Согласие на обработку ПДн с клиентов и работников Оператора может взимается отдельно в случае, если оно не было взято при заполнении заказ-наряда, анкеты (карточки клиента), заявления или договора, личного дела или в случае изменения законодательства РФ в вопросах обработки ПДн.
6.1.6. Согласие, подлежащее включению в виде дополнения в документ (анкету, заявление или договор), подписываемый и/или заключаемый с клиентом физическим/юридическим лицом,
предоставляющим Оператору, содержащие ПДн уполномоченных лиц такого юридического лица, должно содержать все положения типовой формы согласия, установленной внутренними документами Оператора, при этом, в случае необходимости, структура и содержание данного согласия могут быть дополнены иной информацией или изменены, в зависимости от контекста документа и характера заключаемой сделки. В таком случае согласие должно быть согласовано с Ответственным за организацию обработки ПДн.
6.1.7. Если получение персональных данных возможно только у третьей стороны, субъект персональных данных должен быть заранее уведомлен об этом в соответствии с ч.3 ст. 18
152-ФЗ «О персональных данных». Оператор может не уведомлять о получении
персональных данных субъекта персональных данных в случаях, если:
- ПДн получены в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных (ПДн, указанные при заключении договора в основном тексте);
- ПДн получены из общедоступного источника;
- в иных случаях, предусмотренных законодательством РФ.
6.1.8. Получение согласия субъекта ПДн не требуется, если Оператор обрабатывает ПДн на основании договора (поручения на обработку персональных данных), заключенного с Оператором этих персональных данных, в рамках аутсорсинга или франшизы.
6.2. ХРАНЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ И ИСПОЛЬЗОВАНИЕ НОСИТЕЛЕЙ
6.2.1. Хранение ПДн субъектов персональных данных осуществляется в течение сроков, указанных в «Перечень обрабатываемых персональных данных», и непротиворечащих нормам действующего законодательства РФ, в информационных системах персональных данных и (или) на материальных носителях (электронных, бумажных). ПДн на бумажных носителях хранятся в течение установленных сроков. Хранение ПДн в информационных системах персональных данных и на электронных носителях прекращается в случае достижения целей хранения ПДн (если иное не установлено
требованиями федеральных законов или договором с субъектом персональных данных).
6.2.2. При хранении ПДн Оператор создает условия, обеспечивающие сохранность ПДн и исключающие несанкционированный доступ к ним третьих лиц. Материальные, в том числе съемные, носители ПДн должны храниться в сейфе или запираемом шкафу, в охраняемом помещении ограниченного доступа.
6.3. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ
6.3.1. Передача ПДн сторонним лицам (организациям) возможна только с согласия субъекта ПДн или в случаях и порядке, предусмотренном действующим законодательством РФ и Положением о работе с ПДн Оператора.
6.3.2. Передача носителей ПДн осуществляется лично работником Оператора, ответственного за работу с ПДн или с использованием курьерской службы, обеспечивающей необходимые требования по защите передаваемых носителей. Передача ПДн осуществляется в защищенном от несанкционированного доступа вида, что гарантирует конфиденциальность и целостность передаваемых данных.
6.3.3. Передача персональных данных по каналам связи, в сети Интернет, осуществляется с использованием защищенных каналов или с применением средств защиты информации от раскрытия и модификации.
6.3.4. Если Предприятие поручает обработку персональных данных с согласия субъекта
персональных данных другому лицу, то в договоре в обязательном порядке должны
быть определены:
-перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку ПДн;
-цели обработки;
-должна быть установлена обязанность такого лица соблюдать конфиденциальность
персональных данных и обеспечивать безопасность ПДн при их обработке, а также должны быть указаны требования к защите обрабатываемых ПДн в соответствии со статьёй 19 152- ФЗ «О персональных данных» и законодательством Российской Федерации в области защиты персональных данных.
Ответственность за действия лица, которое обрабатывает ПДн по поручению, несет Оператор.
Лицо, которое обрабатывает ПДн по поручению, несет ответственность в соответствии с законодательством РФ.
6.3.5. Работники Оператора- пользователи ПДн, обязаны использовать эти данные исключительно в целях, для которых они сообщены. Передача ПДн возможна только работникам, которым доступ к передаваемым ПДн определен распорядительным порядком и необходим для исполнения должностных обязанностей.
6.4. ПРЕКРАЩЕНИЕ ОБРАБОТКИ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.4.1. Прекращение обработки и при необходимости уничтожение ПДн Оператором осуществляется в следующих случаях с соблюдением требований законодательства РФ:
- истечение определенного срока хранения и обработки ПДн;
- достижение или утрата необходимости в достижении цели обработки ПД;
- отзыв субъектом ПДн (или его представителя) согласия на обработку своих ПДн (при отсутствии других законных оснований на обработку ПДн);
- выявление недостоверных ПД;
- выявления неправомерной обработки ПДн;
- истечение срока или прекращения действия договора с оператором ПДн, в соответствии с которым Оператором осуществляется обработка и хранение ПДн;
- в случае прекращения деятельности как Оператора обработки ПДн.
6.4.2. Уничтожение ПДн должно быть выполнено необратимым (не позволяющим восстановить данные впоследствии) способом.
6.5. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ БЕЗ ИСПОЛЬЗОВАНИЯ СРЕДСТВ
АВТОМАТИЗАЦИИ
6.5.1. При обработке Оператором ПДн на бумажных носителях обеспечиваются требования «Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденного Постановлением Правительства РФ от 15.09.2008 № 687.
6.5.2. Перечень работников, имеющих доступ к материальным носителям ПДн (бумажным носителям) определяется на основании Перечня мест хранения материальных носителей ПДн, обрабатываемых без использования средств автоматизации в соответствии с установленной внутренними распорядительными документами формой.
7. ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ
7.1. Работники Оператора имеют право получать доступ только к тем ПДн субъектов ПДн, которые им необходимы для выполнения должностных обязанностей. Перечень работников, имеющих доступ к ПДн в связи с выполнением должностных обязанностей, определяется штатным расписанием и распорядительными документами Оператора.
7.2. Практикантам, на период прохождения учебной или производственной практики, может создаваться учетная запись и строго под контролем наставника предоставляться доступ к информационным системам ПДн, в зависимости от программы прохождения практики.
7.3. Работники и практиканты допускаются к обработке ПДн только после ознакомления с Положением о защите и обработке персональных данных и другими локальными актами Оператора, определяющими порядок обработки и обеспечения безопасности персональных данных.
7.4. Представители органов государственной власти и контролирующих организаций получают доступ к персональным данным, обрабатываемым Оператором, в объеме и порядке, установленном законодательством РФ и заданием на проверку, выданным руководителем органа (организации) под контролем ответственного за работу с ПДн.
8. МЕРОПРИЯТИЯ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ
ДАННЫХ
8.1. Оператором назначается ответственное лицо за выполнение организационно-технических мероприятий, направленных на обеспечение защиты персональных данных от неправомерного или
случайного доступа к ним, уничтожения, изменения, блокирования, копирования,
распространения персональных данных, а также от иных неправомерных действий при
обработке персональных данных и мест их хранения и обеспечивается их выполнение.
Требования ответственного подлежат обязательному исполнению всеми работниками Оператора.
8.2. Защите подлежат:
- документы, содержащие персональные данные;
- электронные носители информации, содержащие персональные данные;
- информационные системы персональных данных;
- компьютерная сеть передачи информации с применением криптографических средств.
9. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. Субъект персональных данных имеет право на получение сведений об обработке своих
персональных данных, вправе требовать их уточнения, блокирования или уничтожения в
случае, если персональные данные являются неполными, устаревшими, недостоверными,
незаконно полученными или не являются необходимыми для заявленной цели обработки.
9.2. Субъект персональных данных при обращении к Оператору имеет право на получение
информации, касающейся обработки его персональных данных, в том числе содержащей:
- порядок осуществления субъектом персональных данных прав, осуществляется в рамках Федерального закона 152-ФЗ «О персональных данных»;
9.3 Право субъекта персональных данных на доступ к своим персональным данным может быть
ограничено в соответствии с федеральными законами, в том числе если:
- обработка персональных данных осуществляется в соответ
