Политика по обработке и защите персональных данных субъектов персональных данных ООО «ВОСТОК ПОСТ»

     —  Федеральный закон от 27 июля 2006 г. № 152-ФЗ "О персональных данных"  (в случаях предусмотренных  пунктом 5 статьи 6)

Цели обработки персональных данных

3.1.   Подготовка, заключение и исполнение гражданско-правового договора.

3.2.   Для осуществления прав и законных интересов Оператора или третьих лиц.

4.Состав обрабатываемых персональных данных

      4.1. В Состав обрабатываемых персональных данных входят иные категории персональных данных Субъекта персональных данных:

-  фамилия, имя, отчество;

-  сведения о документе, удостоверяющем личность (серия, номер, код подразделения, кем и когда выдан, адрес регистрации по месту жительства);

-  номер расчетного счета;

-  должность;

-  сведения об идентификационном номере налогоплательщика;

-  контактная информация (номер телефона, адрес электронной почты);

-   иные сведения о Контрагенте, получение которых обусловлено целью обработки.

4.2. Состав обрабатываемых персональных данных утверждается Руководителем Оператора. 

5. Принципы обработки персональных данных

5.1. Обработка персональных данных Субъекта персональных данных организуется и осуществляется Оператором на принципах:

-     законности и справедливости;

-     обработки только персональных данных, которые отвечают целям их обработки;

-     соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;

-     недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

-     обеспечения точности персональных данных, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки персональных данных. Организация принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных;

-     хранения персональных данных в форме, позволяющей определить Субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных.

5.2. Оператор не имеет права запрашивать, получать и обрабатывать персональные данные Субъектов персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, членства в общественных объединениях или профсоюзной деятельности, кроме случаев, когда Субъект персональных данных предоставил указанные персональные данные по собственному желанию.

5.3. Обработка персональных данных Субъектов персональных данных ведется смешанным способом (с применением средств вычислительной техники и без помощи средств вычислительной техники) с учётом технологических процессов обработки персональных данных.

5.4.  Решения, на основании исключительно автоматизированной обработки персональных данных Субъекта персональных данных, порождающее юридические последствия в отношении Субъекта персональных данных, не принимаются.

5.5. Оператор в соответствии с требованиями Федерального закона от 1 декабря 2007 года № 315-ФЗ распространяет персональные данные Субъекта персональных данных, при наличии письменного согласия и в соответствии с пунктом 11  части 1 статьи 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных», если иное не предусмотрено федеральным законом и/или международным договором Российской Федерации и/или международной конвенцией.

6. Порядок получения Организацией персональных данных Субъекта персональных данных

6.1. Получение персональных данных Субъекта персональных данных осуществляется путем представления их самим Субъектом персональных данных или его законным представителем.

6.2. Персональные данные Субъекта персональных данных могут быть предоставлены Оператору одним из следующих способов:

-     непосредственной передачей (лично) по месту нахождения Оператора, почтовой или курьерской связью;

-     путем направления документов электронными средствами связи с подтверждением квалифицированной электронной подписью Контрагента.

6.3. В соответствии со статьёй 18.1 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»  законный представитель обязан принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных». Законный представить самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных».

6.4. В соответствии с пунктом 4 статьи 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» Оператор, осуществляющий обработку персональных данных субъекта персональных данных по поручению законного представителя, не обязан получать согласие субъекта персональных данных на обработку его персональных данных.

6.5. В соответствии с пунктом 5 статьи 6 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» в случае, если законный представитель поручает обработку персональных данных Оператору, ответственность перед субъектом персональных данных за действия Оператора несёт законный представитель. Оператор, осуществляющее обработку персональных данных по поручению законного представителя, несет ответственность перед законным представителем.

6.6. Оператор вправе требовать подтверждения выполнения требований, установленных Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных».

6.7. В целях обеспечения достоверности персональных данных, Субъект персональных данных или его законный представитель обязан предоставить Оператору комплекс достоверных, документированных персональных данных, состав которых установлен действующим законодательством Российской Федерации. Уполномоченное должностное лицо удостоверяет достоверность персональных данных, представленных Субъектом персональных данных или его законным представителем.

6.8. По мере необходимости, обусловленной спецификой деятельности Оператора, Оператор вправе запросить от Субъекта персональных данных или его законного представителя предоставления дополнительных сведений, содержащих персональные данные. Субъект персональных данных или его законный представитель представляет необходимые сведения и в случае необходимости, предъявляет документы, подтверждающие достоверность этих сведений.

6.9. Запрещается запрашивать от Субъектов персональных данных предоставления персональных данных, кроме тех, что определены в разделе 4 Политики.

7. Передача персональных данных

7.1. Передача персональных данных Субъектов персональных данных третьей стороне осуществляется только в целях, определённых в разделе 3 Политики.

8. Меры по обеспечению безопасности персональных данных при их обработке

8.1. Персональные данные относятся к конфиденциальной информации.

8.2. Оператор при обработке персональных данных принимает все необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении них. Обеспечение безопасности персональных данных достигается, в частности, следующими способами:

-     назначением ответственного за организацию обработки и защиты персональных данных;

-     изданием документов, определяющих Политику Оператора в отношении обработки и защиты персональных данных, локальных актов по вопросам обработки и защиты персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений. Такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на Оператора не предусмотренные законодательством Российской Федерации полномочия и обязанности;

-     осуществлением внутреннего контроля и (или) аудита соответствия обработки и защиты персональных данных Федеральному закону от 27 июля 2006 года № 152-ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, Политике Оператора в отношении обработки и защиты персональных данных, локальным актам Оператора;

-     оценкой вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных, который может быть причинен субъектам персональных данных в случае нарушения требований, соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных»;

-     ознакомлением работников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими Политику Оператора в отношении обработки и защиты персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников.

-     определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

-     применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

-     оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

-     учетом машинных носителей персональных данных;

-     обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;

-     восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

-     установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;

-     контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

8.3. Перечень должностных лиц, осуществляющих обработку персональных данных Субъектов персональных данных определяется Руководителем Организации.

8.4. Персональные данные на бумажных носителях хранятся в определённых для этого закрывающихся на ключ шкафах (сейфах).

8.5. Персональные данные на электронных носителях информации хранятся в определенных для этого местах (сейфах), либо в составе автоматизированного рабочего места, входящего в состав информационной системы персональных данных Оператора. При этом создаться надлежащие условия, обеспечивающие их сохранность. Правила работы со съемными носителями, содержащими персональные данные, закреплены локальными организационными распорядительными документами.

8.6. Электронные носители информации, содержащие персональные данные, учитываются в журнале установленной формы.

8.7. В отношении некоторых документов действующим законодательством Российской Федерации могут быть установлены иные требования хранения, чем предусмотрено Политикой. В таких случаях Оператор руководствуется правилами, установленными соответствующим нормативным актом Российской Федерации.

8.8. Для должностных лиц Оператора, получившего доступ к персональным данным, обязательным является требование не допускать распространение данной информации без согласия Субъекта персональных данных, или без иного законного основания. Перед получением доступа к персональным данным работник Оператора подписывает обязательство о неразглашении информации, содержащей персональные данные.

8.9. Должностные лица Оператора, получившие доступ к персональным данным, для соблюдения режима конфиденциальности руководствуются требованиями Политики, должностными регламентами, иными локальными организационными распорядительными документами Оператора и действующим законодательством Российской Федерации.

8.10. Обо всех фактах и попытках нарушения безопасности персональных данных должностные лица Оператора обязаны ставить в известность ответственное лицо за организацию обработки персональных данных, а также Руководителя Оператора.

8.11. При передаче персональных данных третьей стороне должен использоваться безопасный канал передачи.

8.12. Запрещается передавать персональные данные (кроме общедоступных) через сеть международного информационного обмена (отправлять по электронной почте и т.п.) без применения необходимых программных и/или аппаратных средств защиты.

8.13. Ответственное лицо за организацию обработки персональных данных контролируют соблюдение требований действующего законодательства Российской Федерации по обработке и защите персональных данных и организуют мероприятия по их реализации.

8.14. Администратор информационной безопасности обеспечивает техническое обслуживание и сопровождение средств защиты персональных данных.

8.15. Действующая редакция хранится в месте нахождения Оператора по адресу: 456313, Челябинская область, г. Миасс, Тургоякское шоссе, зд. 3/21/1; электронная версия Политики – на сайте по адресу: www.vostokpost.ru в разделе «Документы».

9. Права субьектов  персональными данными

9.1. Субъект персональных данных имеет право:
-      получать сведения об обработке его персональных данных Оператором.
-     требовать от Оператора, уточнения персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не могут быть признаны необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

9.2. Доступ к своим персональным данным предоставляется Оператором Субъекту персональных данных или его законному представителю, после письменного обращения по установленной форме. Запрос должен содержать данные основного документа, удостоверяющего личность Субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись Субъекта персональных данных или его законного представителя. Обращения Субъектов персональных данных фиксируются в журнале установленной формы.

10.1. В случае прямого отказа Субъекта персональных данных от услуг Оператора, выраженного в письменной форме, либо по истечении срока предусмотренного законодательством Российской Федерации по обработке персональных данных Субъекта персональных данных, Оператор прекращает обработку его персональных данных, уничтожает бумажные носители информации содержащие персональные данные и стирает  персональные данные Субъекта персональных данных с электронных носителей, если иное не предусмотрено Федеральным законом и другими нормативными правовыми актами Российской Федерации. Уничтожение персональных данных производится Оператором при условии окончания срока хранения документации.

10.2.  Уничтожение документов (носителей), содержащих персональные данные производится путем сожжения, дробления (измельчения), химического разложения, превращения в бесформенную массу или порошок. Для уничтожения бумажных документов допускается применение шредера.

10.3.   Персональные данные на электронных носителях уничтожаются путем стирания или форматирования носителя с применением для уничтожения персональных данных, прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, в составе которых реализована функция уничтожения информации.

10.4.  Уничтожение производится комиссией. Факт уничтожения персональных данных подтверждается документально актом об уничтожении персональных данных, подписанным членами комиссии.

11.1. Должностные лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных Субъектов персональных данных, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом Российской Федерации и иными федеральными законами, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.