1.Общие положения
1.1Положение о работе с персональными данными клиентов, контрагентов и пользователей сайта КСОРА. (https://ксора.рф/) (далее - Положение) разработано в соответствии с Конституцией, Федеральным законом от 27.07.2006 № 152-ФЗ, Федеральным законом от 30.12.2020 № 519-ФЗ и иными нормативно-правовыми актами, действующими на территории России.
1.2Использование персональных данных осуществляется Оператором (ИП Широков Г.В.) в соответствии с действующим законодательством.
1.3Настоящее Положение определяет порядок сбора, учета, обработки, накопления, использования, распространения и хранения персональных данных субъектов персональных данных и гарантии конфиденциальности сведений о физических лицах: клиентах и/или представителях компаний-клиентов, контрагентах и/или представителях компаний-контрагентов и пользователях сайта КСОРА. (https://ксора.рф/), которые предоставили свои персональные данные.
1.4Цель настоящего Положения - защита персональных данных клиентов, контрагентов и пользователей сайта КСОРА. (https://ксора.рф/) от несанкционированного доступа и разглашения. Персональные данные вышеперечисленных лиц являются конфиденциальной, строго охраняемой информацией.
1.5В целях настоящего Положения:
под персональными данными понимается любая информация, прямо или косвенно относящаяся к субъекту персональных данных;
под угрозами безопасности ПД понимается совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных;
под уровнем защищенности ПД понимается комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности ПД при их обработке в информационной системе.
1.6В состав персональных данных по смыслу настоящего Положения входят:
пол;
e-mail;
ФИО;
год, месяц и дата рождения;
место рождения;
адрес регистрации по месту жительства;
серия и номер паспорта или иного документа удостоверяющего личность;
кем и когда выдан документ удостоверяющий личность (в том числе копия паспортов с фото);
сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;
номер мобильного телефона;
иные персональные данные, предоставляемые представителями (работниками) клиентов и контрагентов, необходимые для заключения и исполнения договоров;
личные данные Пользователей сайта Компании: ФИО; телефон; Email; место работы; должность; данные о совершенных Пользователям заказах и/или полученных услугах через Сайт; данные и информация, получаемая в результате объединения тех или иных Персональных данных конкретного Пользователя, а также данные и информация, получаемые данные о Пользователе, получаемые от третьих лиц (партнеров, маркетологов, исследователей)1.
1.7Документами, которые содержат персональные данные субъектов персональных данных, являются:
контракты на оказание услуг с Оператором
договоры гражданско-правового характера на оказание услуг, заключённые с оператором
информация из анкет обратной связи с официального сайта или e-mail рассылок Оператора и
1.8Настоящее Положение и изменения к нему утверждается Оператором. Настоящее Положение размещается на официальном сайте КСОРА. (https://ксора.рф/) и находится в свободном доступе. Доступ к положению есть у всех пользователей сайта.
1.9Настоящее Положение вступает в силу с даты утверждения
2.Получение и обработка персональных данных
2.1Персональные данные КСОРА. (https://ксора.рф/) получает непосредственно от клиентов, контрагентов или пользователей сайта. Оператор вправе получать персональные данные от третьих лиц только при наличии письменного согласия субъекта персональных данных или в иных случаях, прямо предусмотренных в законодательстве.
2.2Оператор должен сообщить субъекту персональных данных о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа дать письменное согласие на их получение.
2.3Оператор не вправе требовать от субъекта персональных данных представления персональных данных, которые будут избыточны для целей обработки, которые преследует Оператор
2.4Субъект персональных данных представляет Оператору достоверные сведения о себе.
2.5Чтобы обрабатывать персональные данные субъектов персональных данных, Оператор получает от каждого субъекта согласие на обработку его персональных данных. Такое согласие Оператор получает, если закон не предоставляет Оператор права обрабатывать персональные данные без согласия.
2.6Согласие на обработку персональных данных может быть отозвано субъектом персональных данных в любой момент. Для этого необходимо направить Оператору письменное уведомление об отзыве согласия. В случае отзыва согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия при наличии оснований, указанных в пунктах 2-11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ.
Угрозы защищенности персональных данных.
2.7Для Оператора характерны угрозы третьего типа. Потенциальной опасности ни от системного, ни от программного обеспечения нет.
Уровни защищенности персональных данных.
2.8Общество должно обеспечить третий уровень защищенности:
если при втором типе угрозы Оператор обрабатывает общие ПД субъектов персональных данных или менее чем 100 тыс. физических лиц, или;
при третьем типе угрозы Оператор обрабатывает специальные категории ПД субъектов или менее чем 100 тыс. физических лиц, или при третьем типе угрозы Общество обрабатывает биометрические ПД, или;
при третьем типе угрозы оператор обрабатывает общие ПД более чем 100 тыс. физических лиц.
При третьем уровне защищенности ПД:
Оператор назначает ответственного за обеспечение безопасности ПД в информационной системе;
обеспечивает режим безопасности помещений, в которых размещена информационная система;
обеспечивает сохранность носителей информации;
утверждает перечень работников, допущенных до ПД субъектов персональных данных;
использует средства защиты информации, которые прошли оценку соответствия требованиям закона в области обеспечения безопасности информации.
3.Хранение персональных данных
3.1Оператор обеспечивает защиту персональных данных субъектов персональных данных от неправомерного использования или утраты.
3.2Персональные данные субъектов персональных данных хранятся в электронном виде в локальной компьютерной сети, а также на бумажных носителях.
3.3Доступ к электронным базам данных, содержащим персональные данные субъектов персональных данных, обеспечивается двухступенчатой системой паролей: на уровне локальной компьютерной сети и на уровне баз данных. Пароли устанавливаются системным администратором (а в его отсутствие непосредственно Оператором) и сообщаются индивидуально работникам, имеющим доступ к персональным данным субъектов персональных данных.
3.4Изменение паролей производится системным администратором (а в его отсутствие непосредственно Оператором) по мере необходимости.
3.5В целях защиты ПД на бумажных носителях Оператор:
приказом назначает ответственного за обработку ПД;
ограничивает допуск в помещения, где хранятся документы, которые содержат ПД субъектов персональных данных;
хранит документы, содержащие ПД субъектов персональных данных в шкафах запирающихся на ключ.
3.6Доступ к персональным данным имеют Оператор, главный бухгалтер, руководители департаментов, руководители объектов, сотрудники юридического департамента, а также руководитель коммерческого департамент.
3.7Доступ специалистов других отделов к персональным данным осуществляется на основании письменного разрешения Оператора
3.8Сотрудники, допущенные к ПД субъекта персональных данных, подписывают обязательства о неразглашении ПД. В противном случае до обработки ПД не допускаются.
3.9Копировать и делать выписки из персональных данных субъектов персональных данных разрешается исключительно в служебных целях с письменного разрешения оператора
3.10Передача информации, содержащей сведения о ПД субъекта персональных данных, по телефону в связи с невозможностью идентификации лица, запрашивающего информацию, запрещается.
4.Использование персональных данных
4.1Персональные данные используются для целей, связанных с взаимодействием субъекта персональных данных с Оператором: заключение договора, обмен письмами, подписка на рассылки Оператора, получение услуг Оператора. Оператор для этих цели запрашивает:
пол;
e-mail;
ФИО;
год, месяц и дата рождения;
место рождения;
адрес регистрации по месту жительств
серия и номер паспорта или иного документа удостоверяющего личность;
кем и когда выдан документ удостоверяющий личность (в том числе копия паспортов с фото);
сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;
номер мобильного телефона;
иные персональные данные, предоставляемые представителями (работниками) клиентов и контрагентов, необходимые для заключения и исполнения договоров;
Место работы;
Должность;
4.2Общество также собирает данные пользователей сайта:
данные о совершенных Пользователям заказах и/или полученных услугах через Сайт;
данные и информация, получаемая в результате объединения тех или иных Персональных данных конкретного Пользователя сайта, а также данные и информация, получаемые данные о Пользователе, получаемые от третьих лиц (партнеров, маркетологов, исследователей).
4.3Персональные данные, представленные субъектом персональных данных, обрабатываются автоматизированным, и без использования средств автоматизации способами. Персональные данные хранятся столько, сколько нужно для достижения целей их обработки.
4.4После истечения срока нормативного хранения документов, которые содержат персональные данные субъектов персональных данных, документы подлежат уничтожению. Для этого Оператор комиссию и проводит экспертизу ценности документов. В ходе проведения экспертизы комиссия отбирает дела с истекшими сроками хранения и по итогам отбора составляет акт о выделении к уничтожению дел, не подлежащих хранению. После чего документы уничтожаются в шредере. Персональные данные в электронном виде стираются с информационных носителей, либо физически уничтожаются сами носители, на которых хранится информация.
4.5Если в штате Оператора отсутствуют иные лица, кроме него уничтожение носителей, содержащих персональные данные субъектов персональных данных, производится непосредственно Оператором.
5.Передача и распространение персональных данных
5.1При передаче Оператором персональных данных, субъект персональных данных должен дать на это согласие в письменной или электронной форме. Если субъект оформил согласие на передачу персональных данных в электронной форме, то он подписывает согласие усиленной электронной цифровой подписью, или, для Пользователей сайта Компании - нажатием кнопки "Принимаю"(иной кнопки, означающей выражение согласие), что считается активным и информированным действием, выражающим согласие.
5.2Оператор вправе передать информацию, которая относится к персональным данным, без согласия субъекта персональных данных, если такие сведения нужно передать по запросу государственных органов, в порядке, установленном законодательством.
5.3Оператор не вправе распространять персональные данные третьим лицам без согласия субъекта персональных данных на передачу таких данных.
5.4Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.
5.5В случае если из предоставленного субъектом персональных данных согласия на распространение персональных данных не следует, что он согласился с распространением персональных данных, такие персональные данные обрабатываются Оператором без права распространения.
5.6В случае если из предоставленного субъектом персональных данных согласия на передачу персональных данных не следует, что он не установил запреты и условия на обработку персональных данных или не указал категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты, Оператор обрабатывает такие персональные данные без возможности передачи (распространения, предоставления, доступа) неограниченному кругу лиц.
5.7Согласие на распространение персональных данных может быть предоставлено Оператору:
непосредственно;
с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.
5.8В согласии на распространение персональных данных субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных Оператору неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ Оператора в установлении субъектом персональных данных запретов и условий не допускается.
5.9Оператор обязан в срок не позднее трех рабочих дней с момента получения согласия субъекта персональных данных на распространение персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных субъекта для распространения.
5.10Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по его требованию. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта, а также перечень персональных данных, обработка которых подлежит прекращению.
5.11Действие согласия субъекта персональных данных на распространение персональных данных прекращается с момента поступления Оператору требования, указанного в пункте 5.10 настоящего Положения.
5.12Субъект персональных данных вправе обратиться с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее разрешенных для распространения, к любому лицу, обрабатывающему его персональные данные, в случае несоблюдения положений Федерального закона от 27.07.2006 № 152-ФЗ или обратиться с таким требованием в суд. Оператор или третье лицо обязано прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента получения требования или в срок, указанный во вступившем в законную силу решении суда. Если такой срок в решении суда не указан, то Оператор или третье лицо обязаны прекратить передачу персональных данных в течение трех рабочих дней с момента вступления решения суда в законную силу.
6.Гарантии конфиденциальности персональных данных
6.1Информация, относящаяся к персональным данным субъекта персональных данных, является служебной тайной и охраняется законом.
6.2Субъект персональных данных вправе требовать полную информацию о своих персональных данных, об их обработке, использовании и хранении.
6.3Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, несут дисциплинарную, административную, гражданскоправовую или уголовную ответственность в соответствии с законодательством.