Политика обработки и защиты персональных данных ООО «Тринити Моторс»

1.1 Назначение документа

Политика ООО «Тринити Моторс» (далее по тексту – Компания) в области обработки и защиты персональных данных (далее по тексту - Политика) определяет основные цели, задачи и принципы обработки персональных данных (далее по тексту – ПД), правила и условия, направленные на защиту ПД, а также требования к конфиденциальности и обеспечению безопасности ПД для предотвращения нарушений законодательства Российской Федерации при осуществлении Компанией обработки ПД.

1.2 Область применения

Положения Политики распространяются на всех работников Компании, проходящих в Компании стажировку и практику лиц, учитываются в отношениях с клиентами (потребителями товаров, работ, услуг), контрагентами (поставщиками, партнерами, консультантами) и иными взаимодействующими с Компанией лицами, а так же при продвижении Компанией своей продукции (товаров, работ, услуг).

1.3          Термины и определения

Персональные данные – любая информация, относящаяся к прямо или косвенно определённому, или определяемому физическому лицу (субъекту ПД).

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПД, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПД.

Субъект персональных данных - физическое лицо, которое прямо или косвенно определено или определяемо с помощью ПД.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПД, а также определяющие цели обработки ПД, состав ПД, подлежащих обработке, действия (операции), совершаемые с ПД.

Безопасность персональных данных - состояние защищенности ПД от неправомерных действий, характеризуемое способностью пользователей, технических средств и информационных систем обеспечить конфиденциальность, целостность и доступность ПД при их обработке, независимо от формы их представления.

* Исчерпывающий перечень используемых определений содержится в статье 3 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных».

1.4 Принципы обработки персональных данных

Обработка ПД в Компании осуществляется с соблюдением следующих принципов:

Принцип законности. Обработка ПД осуществляется на основе законодательства Российской Федерации, требований органов государственной власти, локальных актов Компании в области обработки и обеспечения безопасности ПД.

Принцип определенности. Обработка ПД должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПД, несовместимая с целями их сбора.

Принцип разделенности. Не допускается объединение баз данных, содержащих ПД, обработка которых осуществляется в целях, несовместимых между собой.

Принцип цели. Обработке подлежат только ПД, которые отвечают целям их обработки.

Принцип соответствия. Содержание и объем обрабатываемых ПД должны соответствовать заявленным целям обработки. Обрабатываемые ПД не должны быть избыточными по отношению к заявленным целям их обработки.

Принцип комплексности. При обработке ПД должна быть обеспечена их точность, достаточность и актуальность по отношению к целям обработки ПД. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.

Принцип хранения. Хранение ПД должно осуществляться в форме, позволяющей определять субъекта ПД не дольше, чем этого требуют цели обработки ПД, если срок хранения ПД не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПД.

Принцип уничтожения. Обрабатываемые ПД подлежат уничтожению либо обезличиванию при достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

1.5 Цели и задачи обработки персональных данных

Ключевой целью настоящей Политики является определение условий и способов обработки ПД, порядка обработки ПД, обеспечение защиты прав и свобод человека и гражданина при обработке ПД в соответствии с требованиями нормативных правовых актов Российской Федерации в области обработки и защиты ПД. Компания при обработке ПД преследует исключительно те цели, которые были определены перед началом сбора данных. Последующие изменения целей возможны только в ограниченной мере и подлежат обоснованию и предварительному информированию об этом субъекта ПД.

Основными целями обработки персональных данных в Компании являются:

■ взаимодействие с клиентами и контрагентами;

■ кадровое делопроизводство;

■ бухгалтерский учет.

Основными задачами обработки персональных данных в Компании являются:

■ обработка содержащихся в документах сведений, предоставление информации о Компании и ее продуктах, оказание технической поддержки и консультаций, совершение сделок, выполнение иных договорных обязательств;

■ установление обратной связи, включая направление сообщений, уведомлений, предложений, запросов и ответов, связанных с реализацией и обслуживанием продуктов Компании;

■ предоставление доступа к информации, сервисам и ресурсам официального сайта Компании и ее партнеров;

■ учет сведений о работниках Компании и других лицах, взаимодействующих с Компанией;

■ выполнение иных обязательных действий, возложенных на Компанию ее внутренними документами, локальными актами, законами Российской Федерации.

1.6 Правила и условия обработки персональных данных

Обработка ПД проводится Компанией исключительно на установленной законом правовой основе. Обработка ПД выполняется при наличии хотя бы одного из следующих критериев:

■ обработка ПД осуществляется с согласия субъекта ПД на обработку его ПД;

■ обработка ПД необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПД, если получение согласия субъекта ПД невозможно;

■ обработка ПД необходима для исполнения действующего законодательства Российской Федерации, а также для выполнения функций, исполнения полномочий и обязанностей Компании;

■ обработка ПД необходима для осуществления правосудия, исполнения судебного акта, акта другого органа государственной власти, местного самоуправления или их должностных лиц, подлежащих исполнению в соответствии с законодательством Российской Федерации;

■ обработка ПД необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПД, а также для заключения договора по инициативе субъекта ПД или договора, по которому субъект ПД будет являться выгодоприобретателем или поручителем;

■ обработка ПД необходима для обеспечения прав и законных интересов Компании или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПД;

■ обработка ПД необходима для опубликования данных в соответствии с действующим законодательством Российской Федерации;

■ обработка ПД необходима в статистических или иных исследовательских целях, при условии обязательного обезличивания ПД;

■ обработка ПД необходима для осуществления внутриобъектового и пропускного режима Компании.

Компания в ходе своей деятельности вправе поручать обработку ПД третьим лицам, если иное не предусмотрено действующим законодательством Российской Федерации. При этом обязательным условием поручения обработки ПД другому лицу является обязанность по соблюдению конфиденциальности и обеспечению безопасности ПД при их обработке, а также обязательство третьего лица использовать данные исключительно в заранее определенных целях и объемах. Актуальная информация о лицах, которым Компания вправе передать ПД, должна быть предоставлена для ознакомления субъекту ПД, в том числе посредством размещения соответствующей информации на сайте Компании в информационно-телекоммуникационной сети Интернет.

Компания при получении ПД от третьего лица требует от последнего представление всех подтверждений того, что это лицо имеет все основания для передачи Компании полученных ПД.

Компания не обрабатывает ПД, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.

Компания организовывает процессы взаимодействия с субъектами ПД таким образом, чтобы субъект мог обратиться в Компанию по всем предусмотренным законом вопросам, связанным с обработкой его ПД.

Компания хранит ПД в форме, позволяющей определить субъекта ПД не дольше, чем этого требуют цели обработки ПД кроме случаев, когда срок хранения ПД установлен федеральным законом и/или договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПД. Конкретные сроки хранения ПД определяются согласием субъекта ПД и/или договором, заключенным с субъектом ПД и/или локальными актами Компании.

Компания предоставляет ПД органам государственной власти и местного самоуправления, в суды, правоохранительные органы, контролирующие и надзорные органы исключительно в случаях и в порядке, предусмотренных действующим законодательством Российской Федерации.

1.7 Права субъекта персональных данных

В соответствии с Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных» субъект ПД имеет право на получение актуальных сведений, касающихся обработки Компанией его ПД, в том числе:

■ подтверждение факта обработки ПД;

■ правовые основания, цели и способы обработки ПД;

■ местонахождение Компании, сведения о лицах (за исключением информации о сотрудниках Компании), которые имеют доступ к ПД или которым могут быть раскрыты ПД на основании договора с Компанией или на основании закона;

■ наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПД по поручению Компании, если обработка поручена или будет поручена такому лицу;

■ обрабатываемые ПД, источник их получения, сроки обработки и хранения ПД, в том числе информация об осуществлённой или о предполагаемой трансграничной передаче данных;

■ иные сведения, предусмотренные действующим законодательством Российской Федерации.

Субъект ПД имеет право на получение от Компании сведений об обработке его ПД в течение 10 (десяти) рабочих дней с момента получения Компанией запроса субъекта ПД или его уполномоченного представителя. Указанный срок может быть продлен компанией, но не более чем на 5 (пять) рабочих дней в случае направления Компанией в адрес субъекта ПД мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Компания предоставляет сведения субъекту ПД или его уполномоченному представителю в указанной в запросе форме.

Субъект ПД вправе требовать от Компании уточнения его ПД, их блокирования или уничтожения, в случае если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также предпринимать иные предусмотренные законом меры по защите своих прав.

Право субъекта ПД на доступ к его ПД может быть ограничено в соответствии с действующим законодательством Российской Федерации.

Субъект ПД при наличии на то достаточных оснований вправе обжаловать действия или бездействие Компании в уполномоченный орган по защите прав субъектов ПД или обратиться в суд.

Субъект ПД имеет право заявить возражение против принятия в его отношении решений, порождающих юридические последствия на основе исключительно автоматизированной обработки ПД.

Субъект ПД имеет право отозвать свое согласие на обработку его ПД, направив соответствующее письменное обращение по адресу места нахождения Компании. В своем обращении субъект ПД в целях корректной идентификации и определения принадлежности ПД обратившемуся лицу обязан указать принадлежащие ему данные: фамилия, имя, отчество, паспортные данные, контактные данные для обратной связи. В случае отзыва субъектом ПД согласия на обработку его ПД Компания вправе продолжить обработку ПД без согласия субъекта ПД при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных».

Субъект ПД имеет другие права и несет обязанности, предусмотренные действующим законодательством Российской Федерации.

1.8 Обязательства Компании

В соответствии с Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных» Компания обязуется:

■ до начала обработки ПД, если иное не предусмотрено законом, предоставить субъекту ПД или его уполномоченному представителю следующую информацию: наименование либо фамилию, имя, отчество, адрес оператора или его представителя; цель обработки ПД и ее правовое основание; предполагаемые пользователи ПД; по запросу субъекта ПД или его уполномоченного представителя иные сведения, связанные с обработкой ПД;

■ по запросу субъекта ПД или его уполномоченного представителя представлять ему или его уполномоченному представителю информацию о наличии у Компании ПД субъекта, а также предоставлять ему или его уполномоченному представителю возможность ознакомления с этими ПД;

■ в срок, не превышающий 7 (семи) рабочих дней со дня предоставления субъектом ПД или его уполномоченным представителем сведений, подтверждающих, что ПД являются неполными, неточными или неактуальными, Компания обязана внести в ПД необходимые изменения;

■ в срок, не превышающий 7 (семи) рабочих дней со дня представления субъектом ПД или его уполномоченным представителем сведений, подтверждающих, что такие ПД являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Компания обязана уничтожить такие ПД в порядке, установленном действующими правилами и требованиями;

■ в срок, не превышающий 10 (десяти) рабочих дней с даты получения Компанией от субъекта ПД или его уполномоченного представителя требования о прекращении обработки ПД, Компания обязана прекратить обработку ПД или обеспечить прекращение такой обработки (если обработка ПД осуществляется другим лицом, действующим по поручению Компании), за исключением случаев, предусмотренных пунктами 2 - 11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных». Указанный срок может быть продлен Компанией, но не более чем на 5 (пять) рабочих дней, в случае направления Компанией в адрес субъекта ПД мотивированного уведомления с указанием причин продления срока выполнения требования. В случае отсутствия возможности уничтожения ПД в течение установленного срока, Компания осуществляет блокирование таких ПД или обеспечивает их блокирование (если обработка ПД осуществляется другим лицом, действующим по поручению Компании), и обеспечивает уничтожение ПД в срок не более чем 6 (шесть) месяцев, если иной срок не установлен федеральными законами;

■ Компания обязана по письменному запросу уполномоченного органа государственной власти в течение 10 (десяти) рабочих дней с даты получения такого запроса (если иной срок не установлен законом) предоставить всю информацию и сведения, связанные с осуществлением Компанией обработки ПД.

Компания при осуществлении обработки ПД несет иные обязательства, предусмотренные действующим законодательством Российской Федерации.

1.9 Обеспечение конфиденциальности и безопасности персональных данных

Субъект ПД принимает решение о предоставлении его ПД и даёт согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку ПД должно быть конкретным, предметным, информированным, сознательным и однозначным. Компания обязуется и обязует иных лиц, получивших доступ к ПД, не раскрывать третьим лицам и не распространять ПД без согласия субъекта ПД, если иное не предусмотрено федеральным законом. Компания принимает необходимые и достаточные меры для обеспечения конфиденциальности и безопасности ПД. Для этих целей в Компании введена, функционирует и проходит периодическую аттестацию (контроль) комплексная система защиты ПД, включающая в себя, в том числе:

■ предоставление доступа к ПД только в случаях и в порядке, установленных законом, документами и локальными актами Компании;

■ ознакомление работников Компании, непосредственно осуществляющих обработку ПД, с положениями действующего законодательства в области обработки и защиты ПД, документами и локальными актами, определяющими политику Компании в области обработки и защиты ПД;

■ обучение и консультирование работников Компании, непосредственно осуществляющих обработку ПД;

■ разработку и внедрение внутренних документов и локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений действующего законодательства в области обработки ПД и устранение последствий таких нарушений;

■ защиту ПД от несанкционированного доступа, неправомерной обработки или передачи, а также от утери, искажения или уничтожения ПД;

■ определение и внедрение технических и организационных мер, обеспечивающих защиту ПД, ориентированных на современный уровень техники и необходимую степень защиты ПД;

■ выявление угроз безопасности ПД, установление фактов попыток несанкционированного доступа к ПД, незамедлительное принятие мер реагирования;

■ использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;

■ разработку и установление правил доступа к ПД, а также обеспечение регистрации и учета всех действий, совершаемых с ПД;

■ контроль и оценку эффективности применяемых мер (в том числе с привлечением сторонних специалистов).

Для реализации мер защиты ПД в Компании назначаются лица, ответственные за организацию обработки и обеспечение безопасности ПД.

1.10 Заключительные положения

Настоящее Политика подлежит актуализации не реже, чем один раз в три года, а также в случаях изменения законодательства Российской Федерации, регулирующего правоотношения, складывающиеся в сфере обработки и защиты ПД. Внеплановый пересмотр Политики может осуществляться по итогам проверок органа по защите прав субъекта ПД, а также в результате изменений процессов и технологий обработки ПД в Компании. Внесение изменений в Политику утверждается приказом Генерального директора Компании.

Настоящая Политика разработана на основании Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных». В случае изменения нормативно-правовых актов, использованных в настоящей Политике, последняя продолжает свое действие в части, не противоречащей действующему законодательству. В той части процесса обработки ПД, которая не урегулирована настоящей Политикой, Компания руководствуется нормами действующего законодательства Российской Федерации, своими внутренними документами и локальными актами.

Компания размещает на страницах принадлежащего ей сайта в информационно-телекоммуникационной сети Интернет документы, определяющие политику Компании в сфере обработки и защиты ПД, а также обеспечивает возможность доступа к указанным документам для ознакомления с ними.

Настоящая Политика вступает в силу с момента ее утверждения и действует бессрочно до момента внесения в нее изменений или принятия новой Политики. Контроль за выполнением настоящей Политики осуществляется в рамках общей системы внутреннего контроля Компании.