Политика в отношении обработки персональных данных ООО «УКЛАДКА»

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) разработана ООО «Укладка» (ОГРН 1197746552728, ИНН 9701145699) (далее — Компания) в соответствии с требованиями пункта 2 статьи 18.1 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее — Закон) и определяет принципы и условия обработки.

1.2. В соответствии с Законом к настоящей Политике должен быть обеспечен неограниченный доступ субъектов персональных данных, в том числе путем публикации на сайте Компании в сети Интернет.

1.3. Действие настоящей Политики распространяется на все процессы по сбору, записи, систематизации, накоплению, хранению, уточнению, извлечению, использованию, передаче (распространению, предоставлению, доступу), обезличиванию, блокированию, удалению, уничтожению персональных данных, осуществляемых с использованием средств автоматизации и без использования таких средств.

1.4. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Компания осуществляет обработку персональных данных, в том числе:

• Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ;
• Гражданский кодекс Российской Федерации (часть первая) от 30.11.1994 № 51-ФЗ;
• Гражданский кодекс Российской Федерации (часть вторая) от 26.01.1996 № 14-ФЗ;
• Гражданский кодекс Российской Федерации (часть третья) от 26.11.2001 № 146-ФЗ;
• Гражданский кодекс Российской Федерации (часть четвертая) от 18.12.2006 № 230-ФЗ;
• Налоговый кодекс Российской Федерации (честь первая) от 31.07.1998 № 146-ФЗ;
• Налоговый кодекс Российской Федерации (честь вторая) от 05.08.2000 № 117-ФЗ;
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
• Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
• Федеральный закон от 16.07.1999 № 165-ФЗ «Об основах обязательного социального страхования»;
• Федеральный закон от 07.07.2003 № 126-ФЗ «О связи»;
• Закон РФ от 07.02.1992 №2300-1 «О защите прав потребителей»;
• Устав Компании;
• Согласие субъектов персональных данных;
• Договор с субъектом персональных данных, клиентом, контрагентом, агентом, поручителем, заказчиком, покупателем, потребителем.

2. Термины и определения

2.1. Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

2.2. Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

2.3. Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

2.4. Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

2.5. Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя в том числе сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.6. Оператор — ООО «Укладка», самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

2.7. Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

2.8. Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

2.9. Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

2.10. Субъект персональных данных — физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных.

2.11. Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

3. Принципы обработки персональных данных

3.1. Обработка персональных данных в Компании осуществляется в соответствии с принципами:

• законности целей и способов обработки персональных данных и добросовестности;
• соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям Компании;
• недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, не совместимых между собой;
• соответствия объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных;
• достоверности персональных данных, их актуальности и достаточности для целей обработки, недопустимости обработки избыточных по отношению к целям сбора персональных данных;
• легитимности организационных и технических мер по обеспечению безопасности персональных данных;
• непрерывности повышения уровня знаний работников Компании в сфере обеспечения безопасности персональных данных при их обработке;
• стремления к постоянному совершенствованию системы защиты персональных данных.

4. Цели обработки персональных данных

4.1. Обработка персональных данных осуществляется Компанией в следующих и целях:

• исполнение требований федеральных законов и иных нормативных правовых актов Российской Федерации, формирование и направление в налоговые органы, иные уполномоченные органы и организации отчетности, предусмотренной нормативно-правовыми актами Российской Федерации и применимыми международными договорами, ведение Компанией бухгалтерского, налогового и внутреннего учета;
• осуществление Компанией своей деятельности в соответствии с уставом и внутренними документами Компании;
• ведение переговоров, направленных на заключение, исполнение, расторжение любых не запрещенных законодательством Российской Федерации гражданско-правовых договоров, вне зависимости от результатов таких переговоров, а также проявления должной степени заботливости и осмотрительности при выборе контрагента, клиента;
• заключение, исполнение, изменение и расторжение любых не запрещенных законодательством Российской Федерации гражданско-правовых договоров, стороной которых является субъект персональных данных;
• предоставление электронных сервисов пользователям интернет-сайта Компании;
• обеспечение связи с клиентом и (или) потенциальным клиентом и (или) контрагентом, в том числе направление уведомлений, сообщений, запросов и информации, касающихся оказания услуг и (или) использования сервисов;
• проведение маркетинговых и рекламных мероприятий Компанией, проведение Компанией акций, опросов, исследований, направление информации о продуктах и услугах Компании, в том числе, таргетированных рекламных материалов, а также реализация партнерских программ; выявление случаев мошенничества и иных противоправных действий, предотвращение таких противоправных действий в дальнейшем и локализация последствий таких действий;
• улучшение качества и удобства использования интернет-сервисов Компании;
• обеспечение условий для выполнения работниками Компании трудовых обязанностей, включая обеспечение личной безопасности работников Компании, контроль количества и качества выполняемой работы, обеспечение сохранности имущества работников Компании (в том числе: осуществление пропускного режима, оказание работникам содействия в обучении и карьерном росте, содействие в получении работниками Компании социальных льгот и компенсаций);
• привлечение и отбор соискателей на работу в Компанию, включение соискателей в состав кадрового резерва Компании.

5. Правила обработки персональных данных

5.1. Обработка персональных данных осуществляется с соблюдением принципов и правил, установленных Законом. Обработка персональных данных в Компании допускается в следующих случаях:

• обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
• обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или Законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
• обработка персональных данных необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
• обработка персональных данных необходима для исполнения договора, стороной которого, либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
• обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
• обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
• обработка персональных данных осуществляется в статистических или иных исследовательских целях, при условии обязательного обезличивания персональных данных;
• обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем (клиентом) с помощью средств связи;
• обработка персональных данных, доступ неограниченного круга лиц, к которым предоставлен субъектом персональных данных, либо по его просьбе (далее — персональные данные, сделанные общедоступными субъектом персональных данных);
• обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с Законом.

5.2. При отсутствии предусмотренной в Законе необходимости получения согласия субъекта на обработку ПДн в письменной форме согласие субъекта может быть дано субъектом ПДн или его представителем в любой позволяющей подтвердить факт получения согласия форме, в том числе в электронном виде.

5.3. Компания вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных на основании заключаемого с этим лицом договора, если иное не предусмотрено действующим законодательством РФ. Лицо, осуществляющее обработку персональных данных по поручению Компании, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящей Политикой и Законом.

5.4. В случае если Компания поручает обработку ПДн другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Компания. Лицо, осуществляющее обработку ПДн по поручению Компании, несет ответственность перед Компанией за нарушение конфиденциальности персональных данных.

5.5. Компания не распространяет ПДн без согласия субъекта персональных данных, если иное не предусмотрено Законом.

5.6. Компания не раскрывает третьим лицам ПДн без согласия субъекта ПДН, за исключением нижеперечисленных случаев:

• раскрытие ПДн необходимо для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Компанию функций, полномочий и обязанностей;
• раскрытие ПДн осуществляется в связи с участием субъекта ПДн в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
• раскрытие ПДн необходимо для исполнения судебного акта, акта другого органа власти или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
• раскрытие ПДн необходимо для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн, а также для заключения договора по инициативе субъекта персональных ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем.

5.7. Компания не принимает решений на основании исключительно автоматизированной обработки ПДн, порождающих юридические последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы.

5.8. В ходе осуществления уставной деятельности и в ходе исполнения требований законодательства Российской Федерации Компания может осуществлять обработку ПДн следующих категорий субъектов ПДн:

• физических лиц, предоставивших свои ПДн в связи с намерением заключения договоров с Компанией;
• физических лиц, заключивших или намеревающихся заключить с Компанией договоры в связи с осуществлением Компанией административно-хозяйственной деятельности при условии, что их персональные данные включены в автоматизированные системы Компании (например, при совершении сделок в отношении Компании и (или) его имущества, при определении наследников имущества, учитываемого в Компании);
• физических лиц, являющихся соискателями открытых вакансий Компании;
• физических лиц, являющихся работниками, уволенными работниками Компании и их близкими родственниками;
• физических лиц, являющихся розничными клиентами или представляющих интересы корпоративного клиента (например, представители, выгодоприобретатели, бенефициарные владельцы клиентов, потенциальных клиентов, контрагентов Компании);
• иных представителей юридических лиц и физических лиц, выразивших согласие на обработку Компанией их ПДн или физических лиц, обработка ПДн которых необходима Компании для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Компанию функций, полномочий и обязанностей.

6. Обязанности компании и субъекта пдн

6.1. Получив доступ к персональным данным, Компания гарантирует субъектам ПДн выполнение следующих обязанностей:

• обрабатывать персональные данные в соответствии с Законом и целями, для которых персональные данные были получены;
• предоставлять субъекту ПДн по его запросу информацию, касающуюся обработки его ПДн (в том числе, о направлении копии ПДн, которые обрабатываются Компанией), либо на законных основаниях предоставить отказ в течение 30 (тридцати) календарных дней с даты поступления запроса;
• по требованию субъекта ПДн, направившего запрос в Компанию, уточнять обрабатываемые ПДн, блокировать или удалять, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, либо обеспечить блокирование, удаление, в случае если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора;
• в случае достижения целей обработки персональных данных незамедлительно прекратить обработку персональных данных и уничтожить либо обезличить соответствующие персональные данные в срок, не превышающий 30 (тридцати) календарных дней с даты достижения цели обработки персональных данных, если иное не предусмотрено действующим законодательством Российской Федерации, либо обеспечить уничтожение, обезличивание, в случае если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора. Уведомить об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган;
• в случае отзыва субъектом ПДн согласия на обработку своих ПДн по запросу, направленному на адрес Компании ukladka.studio@yandex.ru, прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий 30 (тридцати) календарных дней с даты поступления указанного отзыва, если иное не предусмотрено действующим законодательством Российской Федерации и (или) соглашением между Компанией и субъектом персональных данных либо обеспечить прекращение обработки ПДн и их уничтожение, в случае если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора (если иное не предусмотрено действующим законодательством Российской Федерации и (или) соглашением между Компанией и субъектом персональных данных). Об уничтожении персональных данных Компания обязана уведомить субъекта персональных данных;
• предоставлять субъекту персональных данных доступ к его персональным данным, за исключением случаев, установленных Законом. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено, если Компания обрабатывает персональные данные в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;
• обеспечивать точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных;
• уточнять, блокировать, уничтожать персональные данные субъекта персональных данных в том числе по его требованию в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки (если иное не предусмотрено действующим законодательством Российской Федерации и (или) соглашением между Компанией и субъектом персональных данных);
• разъяснять субъекту персональных данных юридические последствия отказа предоставить его персональные данные, если предоставление персональных данных является обязательным в соответствии с требованиями действующего законодательства Российской Федерации;
• принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных в соответствии требованиями Закона;
• соответствовать применимому законодательству в области защиты ПДн, а также условиям договоров между Компанией и ее клиентами, подрядчиками и иными организациями;
• не получать (либо не обрабатывать, а уничтожать в случае получения) персональные данные, которые являются избыточными или несовместимыми по отношению к заявленным и разрешенным целям сбора и обработки персональных данных;
• не объединять базы данных, содержащие персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• хранить персональные данные в форме, позволяющей определить субъекта персональных данных;
• хранить персональные данные не дольше, чем этого требуют цели обработки персональных данных, если иной срок хранения персональных данных не установлен действующим законодательством РФ и (или) договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
• уничтожать либо обезличивать персональные данные по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Законом.

6.2. Субъект ПДн обязан периодически обновлять и (или) актуализировать свои ПДн с помощью сервисов, реализованных в информационных системах Компании, или путем направления запроса на адрес ответственного за организацию обработки ПДн в Компании ukladka.studio@yandex.ru.

6.3. В случае обнаружения Компанией инцидента информационной безопасности, который может повлечь за собой (или повлекшего) нарушение конфиденциальности и целостности персональных данных, Компания обязуется уведомить субъекта персональных данных о выявленном инциденте в течение 24 (двадцати четырех) часов после выявления и локализации (установления деталей) инцидента.

7. Меры по обеспечению безопасности персональных данных при их обработке

7.1. С целью обеспечения безопасности персональных данных при их обработке Компания осуществляет соответствующие технические и организационные мероприятия для защиты персональных данных, предусмотренные Законом, иными нормативно-правовыми актами Российской Федерации, в области обработки и обеспечения безопасности персональных данных, включая (но не ограничиваясь):

• определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• назначение лиц, ответственных за организацию обработки и обеспечение безопасности персональных данных;
• применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные нормативно-правовыми актами Российской Федерации уровни защищенности персональных данных;
• применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
• оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• учет машинных носителей персональных данных;
• принятие мер для обнаружения фактов несанкционированного доступа к персональным данным;
• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
• контроль доступа в помещения, в которых осуществляется обработка персональных данных;
• контроль эффективности применяемых мер и средств по обеспечению безопасности персональных данных, а также контроль уровня защищенности информационных систем персональных данных;
• оценка вреда, который может быть причинен субъектам персональных данных.