1. Термины и определения
Сайт
Совокупность программ для электронных вычислительных машин и иной информации, содержащейся в информационной системе, доступ к которой обеспечивается посредством информационно-телекоммуникационной сети интернет и расположенной по адресу: http://basis-integration.ru
Уничтожение персональных данных
Действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных
Субъект персональных данных
Физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных
Распространение персональных данных
Действия, направленные на раскрытие персональных данных неопределенному кругу лиц
Предоставление персональных данных
Действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц
Персональные данные, разрешенные субъектом персональных данных для распространения
Персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путём дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном федеральным законом «О персональных данных» от 27.07.2006 № 152-ФЗ
Персональные данные
Любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных)
Оператор / общество
ООО «Центр Финансовых Технологий Базис», ОГРН 1 187 746 658 670, ИНН/КПП 7 703 461 865/770301001, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными
Обработка персональных данных
Любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных
Обезличивание персональных данных
Действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных
Несанкционированный доступ
Доступ к информации или к ресурсам автоматизированной информационной системы, осуществляемый с нарушением установленных прав и (или) правил доступа
Использование персональных данных
Действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных, либо иным образом затрагивающих права и свободы субъекта персональных данных
Информационная система персональных данных
Совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств
Блокирование персональных данных
Временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных)
Биометрические персональные данные
Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных
Автоматизированная обработка персональных данных
Обработка персональных данных с помощью средств вычислительной техники. Обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из неё
2. Общие положения
При осуществлении деятельности Общество соблюдает требования законодательства РФ и осуществляет обработку Персональных данных («ПДн») на законной и справедливой основе.
Политика разработана в соответствии с требованиями Федерального закона «О персональных данных» от 27.07.2006 № 152-ФЗ («Закон № 152-ФЗ») и иными требованиями законодательства РФ.
Политика определяет цели и общие принципы обработки ПДн, а также реализуемые меры защиты ПДн в Обществе.
Действие Политики распространяется на все процессы и операции, совершаемые Обществом с персональными данными.
Положения Политики обязательны для исполнения работниками Общества, участвующими в процессе обработки ПДн, а также для иных лиц, обрабатывающих ПДн по поручению Общества.
Положения Политики являются основой для организации работы по обработке ПДн в Обществе, в том числе, для разработки организационно-распорядительных документов, регламентирующих обработку и защиту ПДн.
2.1.
2.2.
2.3.
2.4.
2.5.
2.6.
2.7.
2.8.
2.9.
Политика разработана на основании следующих документов:
- Конституция РФ от 12.12.1993;
- Трудовой кодекс РФ от 30.12.2001 № 197-ФЗ;
- Гражданский кодекс РФ от 30.11.1994 № 51-ФЗ;
- Налоговый кодекс РФ от 31.07.1998 № 146-ФЗ;
- Федеральный закон РФ от 27.07.2006 № 1 52-ФЗ «О персональных данных»;
- Федеральным законом РФ от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
- Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденным Постановлением Правительства РФ от 15.09.2008 № 687;
- Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными Постановлением Правительства РФ от 01.11.2012 № 1119;
- Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
- Приказ ФСБ России от 10.07.2014 № 378 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности»;
- Уставные документы Общества;
- Иные нормативно-правовые акты РФ в области защиты ПДн.
Общество обрабатывает ПДн, если получено согласие на обработку ПДн или имеются иные основания, установленные законодательством РФ.
В Положении об обработке ПДн Общества урегулированы вопросы, которые не отражены в Политике (в том числе положения о правах и обязанностях субъектов и Оператора ПДн).
3. Цели обработки персональных данных
Общество обрабатывает ПДн в целях:
- соблюдения трудового законодательства, заключения и исполнения трудовых договоров, а также регулирования трудовых и иных непосредственно связанных с ними отношений;
- соблюдения налогового, пенсионного и страхового законодательства;
- подбора персонала и рассмотрение соискателей на вакантные должности;
- организации и проведения производственной / преддипломной практики;
- обработки запросов, писем и обращений от Субъектов ПДн;
- организации пропускного режима;
- организации конференций, семинаров, вебинаров, иных публичных мероприятий в интересах Общества, партнерских организаций, профессиональных сообществ;
- заключения договоров (соглашений, контрактов и прочее) и исполнение обязательств по ним, включая договоры, стороной в которых либо выгодоприобретателем или поручителем, по которым выступает Субъект ПДн / заключение договора по инициативе Субъекта ПДн;
- взаимодействия с государственными органами в соответствии с требованиями законодательства РФ;
- осуществления деятельности, направленной на выполнение требований применимого законодательства;
- осуществления закупочной деятельности, взаимодействие с контрагентами при заключении договоров и их исполнении;
- сбора и обработки аналитических и статистических данных по тематике деятельности Общества, использования информационных ресурсов, продуктов и услуг Общества;
- предоставления информации об услугах Общества и их продвижения на рынке;
- обработки входящих запросов посетителей Сайта;
- аналитики действий посетителей Сайта улучшения качества Сайта, удобства использования, разработки новых сервисов и услуг
4. Принципы обработки
При обработке ПДн Общество придерживается следующих принципов:
- законности и справедливости обработки ПДн;
- соответствия целей обработки ПДн целям, заранее определённым и заявленным при сборе ПДн;
- соответствия содержания и объёма обрабатываемых ПДн целям обработки ПДн;
- точности, достаточности и актуальности при обработке ПДн;
- недопустимости обработки ПДн, избыточных по отношению к целям, заявленным при сборе ПДн;
- недопустимости объединения баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
- хранения ПДн в форме, позволяющей определить Субъекта ПДн, не дольше, чем этого требуют цели их обработки, если срок хранения ПДн не установлен федеральным законом или, договором;
- уничтожения или обезличивания ПДн по достижении целей их обработки, или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом;
- обеспечения конфиденциальности и безопасности обрабатываемых ПДн.
5. Категории обрабатываемых персональных данных
Общество может обрабатывать персональные данные следующих Субъектов:
- работники Общества;
- уволенных работников Общества;
- физических лиц, заключивших с Обществом гражданско-правовые договоры;
- физических лиц — представителей и клиентов Общества;
- физических лиц, являющихся представителями / работниками юридических лиц клиентов и контрагентов Общества
- соискатели (кандидаты) на замещение вакантных должностей;
- практиканты (ученики / студенты учебных заведений, проходящие производственную / преддипломную практику);
- посетители офисов;
- пользователи Сайта;
- родственники работников Общества;
- физических лиц, являющихся аффилированными лицами Общества;
- иных физических лиц, выразивших согласие на обработку их персональных данных.
5.1.
5.2.
5.3.
Общество обрабатывает общие категории ПДн.
Общество не обрабатывает биометрические и специальные категории ПДн, если иное не установлено законодательством.
6. Порядок и условия обработки персональных данных
Обработка ПДн в Обществе включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение.
Обработка ПДн в Обществе осуществляется с согласия Субъекта ПДн на обработку его ПДн, если иное не предусмотрено законодательством РФ.
Общество не раскрывает третьим лицам и не распространяет ПДн без согласия Субъекта ПДн, если иное не предусмотрено федеральным законом.
Обработка ПДн осуществляется как с применением средств автоматизации, так и без применения таких средств.
Общество принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении обрабатываемых ПДн.
Для информационного обеспечения работников Общество может создавать справочники, содержащие контакты работников. Общество предоставляет доступ к таким справочникам только авторизованным лицам в соответствии с внутренним документом, регулирующим правила доступа к информационным ресурсам.
6.1.
6.2.
6.3.
6.4.
6.5.
6.6.
6.7.
6.8.
6.9.
Общество может осуществлять обработку ПДн, разрешенных Субъектом ПДн для распространения, в соответствии со статьей 10.1 Закона № 152-ФЗ.
Обрабатываемые персональные данные подлежат прекращению обработки, уничтожению, блокированию либо обезличиванию в сроки и порядке, установленные статьей 21 Закона № 152-ФЗ.
Общество может осуществлять трансграничную передачу ПДн. До начала осуществления трансграничной передачи ПДн Общество обязано убедиться в том, что иностранным государством, на территорию которого осуществляется передача ПДн, обеспечивается адекватная защита прав Субъектов. Трансграничная передача ПДн на территории иностранных государств, не обеспечивающих адекватной защиты прав Субъектов ПДн, может осуществляться только в случае наличия согласия в письменной форме Субъекта ПДн на трансграничную передачу его ПДн и / или исполнения договора, стороной которого является Субъект, а также иных случаях определенных в законе.
Общество вправе поручить обработку ПДн третьему лицу с согласия Субъекта ПДн, если иное не предусмотрено федеральным законом. Такая обработка ПДн осуществляется третьим лицом на основании договора, а его содержание определяется с учётом положений Закона № 152-ФЗ.
6.10
7. Обеспечение безопасности персональных данных
Общество предпринимает необходимые правовые, организационные и технические меры для обеспечения безопасности и конфиденциальности ПДн в соответствии с требованиями законодательства РФ и нормативными правовыми актами в области обработки и защиты ПДн.
В целях обеспечения безопасности ПДн при их обработке Общество предпринимает следующие меры:
- назначает лиц, ответственных за организацию обработки ПДн;
- разрабатывает и внедряет организационно-распорядительные документы и иные документы в области обработки и защиты ПДн;
- проводит инструктажи и обучение работников по вопросам обработки ПДн и мер по их защите;
- обеспечивает раздельное хранение ПДн и их материальных носителей, обработка которых осуществляется в разных целях и которые содержат разные категории ПДн;
- обеспечивает разделение ПДн, обрабатываемых без использования средств автоматизации от иной информации;
- обеспечивает физическую безопасность помещений и мест хранений ПДн;
- определяет угрозы безопасности ПДн при их обработке в Информационных системах персональных данных (ИСПДн);
- применяет организационные и технические меры по обеспечению безопасности ПДн при их обработке в ИСПДн, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности ПДн;
- применяет прошедшие в установленном порядке процедуру оценки соответствия средства защиты информации;
- даёт оценку эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;
- ведет учёт машинных носителей ПДн;
- обнаруживает и расследует факты несанкционированного доступа
- к персональным данным, в том числе реализует меры по обнаружению, предупреждению и ликвидации последствий компьютерных атак на ИСПДн
- и по реагированию на компьютерные инциденты в них;
- осуществляет резервное копирование, восстанавливает персональные данные, модифицированные или уничтоженные вследствие несанкционированного доступа к ним;
- устанавливает правила доступа к персональным данным, обрабатываемым в ИСПДн, а также обеспечивает регистрацию и учёта всех действий, совершаемых с персональными данными в ИСПДн;
- осуществляет контроль за принимаемыми мерами по обеспечению безопасности ПДн и уровнем защищенности ИСПДн.
7.1.
7.2.
8. Ответственность
Ответственность за выполнение требований настоящей Политики возложена на руководителей подразделений и работников Компании в рамках своих полномочий в процессе обработки ПДн.
Лица, случайно или намеренно нарушившие требования настоящей Политики, несут дисциплинарную и административную ответственность в соответствии с действующими документами Компании, а также могут быть привлечены к ответственности в соответствии с Трудовым кодексом, Гражданским кодексом, Кодексом об административных правонарушениях и Уголовным кодексом РФ.
8.1.
8.2.
8. Заключительные положения
Общество знакомит работников с требованиями Политики под роспись (либо в бумажной форме с собственноручной подписью, либо в форме документа с электронной подписью).
Запросы, письма и обращения субъектов в отношении обработки их ПДн принимаются в письменной форме по адресу: 123112, Россия, г. Москва, Пресненская набережная 6c2, эт 18, пом 1, часть 1.
9.1.
9.2.
© ЦФТ Базис, 2023