Политика ООО «5П МЕДИЦИНА» в отношении обработки персональных данных
Редакция от 20 августа 2026 года
1. Общие положения1.1. Настоящая Политика определяет порядок обработки и обеспечения безопасности персональных данных Обществом с ограниченной ответственностью «5П МЕДИЦИНА» (далее — «Оператор»).
1.2. Политика применяется к персональным данным физических лиц, которые Оператор получает при:
2. Сведения об ОператореПолное наименование: Общество с ограниченной ответственностью «5П МЕДИЦИНА»
Сокращённое наименование: ООО «5П МЕДИЦИНА»
ОГРН: 1227700449910
ИНН: 7735195743
КПП: 773501001
Адрес: 124489, Россия, г. Москва, г. Зеленоград, аллея Сосновая, д. 6А, стр. 1, этаж/ком. 3/22
Электронная почта: longevitylab@yandex.ru
Телефон: +7 915 100-15-25
Сайт: amita-active.ru
3. Принципы обработки персональных данных3.1. Оператор обрабатывает персональные данные на законной и справедливой основе.
3.2. Обработка ограничивается достижением конкретных, заранее определённых и законных целей.
3.3. Не допускается обработка персональных данных, несовместимая с целями их сбора.
3.4. Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки и не являются избыточными.
3.5. Оператор принимает разумные меры по обеспечению точности, достаточности и актуальности персональных данных.
3.6. Персональные данные хранятся не дольше, чем этого требуют цели обработки, законодательство Российской Федерации или договорные отношения с субъектом персональных данных.
4. Категории субъектов и цели обработки 4.1. Оформление и исполнение заказовОператор может обрабатывать:
оформление заказа; заключение и исполнение договора розничной купли-продажи; организация оплаты и доставки; информирование Покупателя о состоянии заказа; возврат товара и денежных средств; рассмотрение обращений и претензий; исполнение обязанностей, установленных законодательством Российской Федерации.
Правовые основания:
заключение и исполнение договора по инициативе субъекта персональных данных; выполнение обязанностей, возложенных на Оператора законодательством Российской Федерации.
4.2. Проведение оплаты и формирование кассовых документовДля проведения оплаты и исполнения требований законодательства о применении контрольно-кассовой техники могут обрабатываться:
Полные реквизиты банковских карт посредством сайта Оператором не запрашиваются и не хранятся. Их обработка осуществляется платёжной инфраструктурой Robokassa и соответствующими участниками платёжной системы.
Robokassa самостоятельно определяет цели и средства обработки платёжных данных в той части, в которой выступает самостоятельным оператором персональных данных.
4.3. Доставка заказовДля исполнения конкретного заказа Оператор вправе передать выбранной службе доставки сведения в объёме, необходимом для доставки, в частности:
Передача осуществляется только в объёме, необходимом для исполнения договора.
4.4. Обработка обращенийПри направлении пользователем вопроса или иного обращения могут обрабатываться:
Правовое основание: согласие субъекта персональных данных и, когда применимо, совершение действий по инициативе субъекта до заключения договора.
Оператор не просит пользователей направлять через формы сайта сведения о состоянии здоровья, диагнозах, результатах исследований и иные специальные категории персональных данных.
4.5. Рекламные и маркетинговые коммуникацииПри наличии отдельного предварительного согласия Оператор вправе обрабатывать:
Получение рекламных сообщений является добровольным и не является условием оформления или исполнения заказа.
Субъект вправе в любое время отказаться от получения рекламы способом, указанным в сообщении, либо направив требование на longevitylab@yandex.ru.
4.6. Функционирование и безопасность сайтаПри посещении сайта могут автоматически обрабатываться технические сведения, необходимые для его корректной и безопасной работы, включая:
При подключении систем аналитики или рекламных технологий Оператор обеспечивает получение согласия пользователя на использование соответствующих необязательных cookie в случаях, когда такое согласие необходимо, и актуализирует настоящую Политику.
5. Действия с персональными данными5.1. Оператор вправе осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление и доступ), блокирование, удаление и уничтожение персональных данных.
5.2. Обработка осуществляется автоматизированным, неавтоматизированным и смешанным способом в зависимости от соответствующего процесса.
5.3. Персональные данные могут передаваться по информационно-телекоммуникационным сетям, включая сеть Интернет, в объёме, необходимом для достижения указанных в настоящей Политике целей.
6. Используемые сервисы и получатели данных6.1. Для функционирования интернет-магазина Оператор использует платформу Tilda Publishing, включая Tilda CRM.
При сборе персональных данных пользователей сайта ООО «5П МЕДИЦИНА» является оператором персональных данных, а Tilda Publishing осуществляет обработку соответствующих данных по поручению Оператора в соответствии с условиями использования платформы.
6.2. Для проведения оплаты используется Robokassa.
В предусмотренных законодательством и условиями сервиса случаях Robokassa самостоятельно является оператором обрабатываемых ею персональных данных.
6.3. Для формирования кассовых документов используется сервис «Робочеки». Сведения в предусмотренном законом объёме передаются через соответствующего оператора фискальных данных в Федеральную налоговую службу и используются для направления кассового чека Покупателю.
6.4. Для доставки персональные данные могут передаваться выбранной для конкретного заказа почтовой, курьерской или транспортной организации.
6.5. Персональные данные также могут предоставляться государственным органам и иным лицам в случаях, прямо предусмотренных законодательством Российской Федерации.
7. Локализация и трансграничная передача7.1. При сборе персональных данных граждан Российской Федерации Оператор обеспечивает выполнение требований законодательства Российской Федерации о локализации персональных данных.
7.2. Сайт работает в российском профиле платформы Tilda. В соответствии с информацией, предоставляемой Tilda, персональные данные таких проектов собираются и хранятся на серверах, расположенных в Российской Федерации, в том числе на инфраструктуре АО «Селектел» и ООО «Яндекс.Облако».
7.3. На дату настоящей редакции Оператор не осуществляет трансграничную передачу персональных данных пользователей сайта в рамках описанных в настоящей Политике процессов.
7.4. До начала трансграничной передачи Оператор выполняет предусмотренные законодательством Российской Федерации требования, включая направление отдельного уведомления в Роскомнадзор в случаях, когда оно обязательно.
8. Срок обработки и хранения8.1. Персональные данные обрабатываются до достижения соответствующей цели обработки, прекращения договорных отношений или прекращения действия иного правового основания.
8.2. После исполнения заказа данные могут продолжать храниться в объёме и в течение сроков, необходимых для исполнения требований бухгалтерского, налогового, кассового законодательства, законодательства о защите прав потребителей и для защиты законных интересов сторон.
8.3. Данные, полученные на основании согласия для обработки обращения, обрабатываются до достижения цели обращения либо отзыва согласия, если после этого отсутствует иное законное основание для их обработки.
8.4. Данные, используемые исключительно для рекламных и маркетинговых коммуникаций, обрабатываются до отзыва соответствующего согласия либо до прекращения соответствующей цели обработки.
8.5. После прекращения законных оснований данные уничтожаются или обезличиваются в порядке и сроки, предусмотренные законодательством Российской Федерации.
9. Согласие субъекта9.1. В случаях, когда законодательство требует согласия субъекта персональных данных, Оператор получает такое согласие отдельным действием пользователя способом, позволяющим подтвердить факт его предоставления.
9.2. Согласие на обработку персональных данных оформляется отдельно от иных документов и подтверждений пользователя в случаях, установленных законодательством Российской Федерации.
9.3. Согласие на получение рекламных и маркетинговых сообщений является отдельным, добровольным и не является условием приобретения товара.
9.4. Отзыв согласия не прекращает обработку персональных данных, которую Оператор после отзыва вправе или обязан продолжить на ином предусмотренном законом основании.
10. Права субъекта персональных данныхСубъект персональных данных вправе получать информацию об обработке его данных; требовать их уточнения, блокирования или уничтожения при наличии законных оснований; отзывать предоставленные согласия; требовать прекращения обработки в предусмотренных законом случаях; отказаться от получения рекламы; обжаловать действия Оператора в Роскомнадзор или в суд и осуществлять иные предусмотренные законодательством права.
Для реализации прав субъект может направить обращение:
Электронная почта: longevitylab@yandex.ru
Почтовый адрес Оператора: 124489, Россия, г. Москва, г. Зеленоград, аллея Сосновая, д. 6А, стр. 1, этаж/ком. 3/22.
Оператор вправе запросить разумно необходимые сведения для подтверждения личности заявителя и предотвращения неправомерного предоставления персональных данных третьим лицам.
11. Защита персональных данных11.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.
11.2. В частности, Оператор:
12.2. Актуальная редакция Политики постоянно находится в свободном доступе на сайте amita-active.ru.
12.3. Дата последней редакции указывается в начале документа.
1. Общие положения1.1. Настоящая Политика определяет порядок обработки и обеспечения безопасности персональных данных Обществом с ограниченной ответственностью «5П МЕДИЦИНА» (далее — «Оператор»).
1.2. Политика применяется к персональным данным физических лиц, которые Оператор получает при:
- использовании сайта amita-active.ru;
- оформлении и исполнении заказов;
- обращении к Оператору через формы сайта, по электронной почте или телефону;
- предоставлении согласия на получение рекламных и маркетинговых сообщений;
- иных формах взаимодействия с Оператором, связанных с деятельностью сайта и интернет-магазина.
2. Сведения об ОператореПолное наименование: Общество с ограниченной ответственностью «5П МЕДИЦИНА»
Сокращённое наименование: ООО «5П МЕДИЦИНА»
ОГРН: 1227700449910
ИНН: 7735195743
КПП: 773501001
Адрес: 124489, Россия, г. Москва, г. Зеленоград, аллея Сосновая, д. 6А, стр. 1, этаж/ком. 3/22
Электронная почта: longevitylab@yandex.ru
Телефон: +7 915 100-15-25
Сайт: amita-active.ru
3. Принципы обработки персональных данных3.1. Оператор обрабатывает персональные данные на законной и справедливой основе.
3.2. Обработка ограничивается достижением конкретных, заранее определённых и законных целей.
3.3. Не допускается обработка персональных данных, несовместимая с целями их сбора.
3.4. Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки и не являются избыточными.
3.5. Оператор принимает разумные меры по обеспечению точности, достаточности и актуальности персональных данных.
3.6. Персональные данные хранятся не дольше, чем этого требуют цели обработки, законодательство Российской Федерации или договорные отношения с субъектом персональных данных.
4. Категории субъектов и цели обработки 4.1. Оформление и исполнение заказовОператор может обрабатывать:
- имя;
- номер телефона;
- адрес электронной почты;
- город;
- адрес доставки;
- сведения о заказе;
- сведения о приобретённых товарах;
- стоимость заказа;
- применённый промокод;
- сведения о статусе оплаты и доставки;
- номер заказа и иные сведения, необходимые для его исполнения.
оформление заказа; заключение и исполнение договора розничной купли-продажи; организация оплаты и доставки; информирование Покупателя о состоянии заказа; возврат товара и денежных средств; рассмотрение обращений и претензий; исполнение обязанностей, установленных законодательством Российской Федерации.
Правовые основания:
заключение и исполнение договора по инициативе субъекта персональных данных; выполнение обязанностей, возложенных на Оператора законодательством Российской Федерации.
4.2. Проведение оплаты и формирование кассовых документовДля проведения оплаты и исполнения требований законодательства о применении контрольно-кассовой техники могут обрабатываться:
- адрес электронной почты и/или номер телефона;
- сумма и состав заказа;
- сведения о платёжной операции;
- идентификатор платежа;
- сведения, необходимые для формирования кассового чека.
Полные реквизиты банковских карт посредством сайта Оператором не запрашиваются и не хранятся. Их обработка осуществляется платёжной инфраструктурой Robokassa и соответствующими участниками платёжной системы.
Robokassa самостоятельно определяет цели и средства обработки платёжных данных в той части, в которой выступает самостоятельным оператором персональных данных.
4.3. Доставка заказовДля исполнения конкретного заказа Оператор вправе передать выбранной службе доставки сведения в объёме, необходимом для доставки, в частности:
- имя получателя;
- номер телефона;
- город;
- адрес доставки;
- сведения, необходимые для идентификации отправления.
Передача осуществляется только в объёме, необходимом для исполнения договора.
4.4. Обработка обращенийПри направлении пользователем вопроса или иного обращения могут обрабатываться:
- имя, если указано;
- адрес электронной почты;
- номер телефона;
- содержание обращения;
- иные сведения, самостоятельно предоставленные пользователем.
Правовое основание: согласие субъекта персональных данных и, когда применимо, совершение действий по инициативе субъекта до заключения договора.
Оператор не просит пользователей направлять через формы сайта сведения о состоянии здоровья, диагнозах, результатах исследований и иные специальные категории персональных данных.
4.5. Рекламные и маркетинговые коммуникацииПри наличии отдельного предварительного согласия Оператор вправе обрабатывать:
- имя;
- адрес электронной почты;
- номер телефона;
- сведения об истории заказов;
- сведения об использовании промокодов и скидок;
Получение рекламных сообщений является добровольным и не является условием оформления или исполнения заказа.
Субъект вправе в любое время отказаться от получения рекламы способом, указанным в сообщении, либо направив требование на longevitylab@yandex.ru.
4.6. Функционирование и безопасность сайтаПри посещении сайта могут автоматически обрабатываться технические сведения, необходимые для его корректной и безопасной работы, включая:
- IP-адрес;
- сведения о браузере и устройстве;
- технические идентификаторы;
- дату и время обращения к сайту;
- обязательные технические файлы cookie.
При подключении систем аналитики или рекламных технологий Оператор обеспечивает получение согласия пользователя на использование соответствующих необязательных cookie в случаях, когда такое согласие необходимо, и актуализирует настоящую Политику.
5. Действия с персональными данными5.1. Оператор вправе осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление и доступ), блокирование, удаление и уничтожение персональных данных.
5.2. Обработка осуществляется автоматизированным, неавтоматизированным и смешанным способом в зависимости от соответствующего процесса.
5.3. Персональные данные могут передаваться по информационно-телекоммуникационным сетям, включая сеть Интернет, в объёме, необходимом для достижения указанных в настоящей Политике целей.
6. Используемые сервисы и получатели данных6.1. Для функционирования интернет-магазина Оператор использует платформу Tilda Publishing, включая Tilda CRM.
При сборе персональных данных пользователей сайта ООО «5П МЕДИЦИНА» является оператором персональных данных, а Tilda Publishing осуществляет обработку соответствующих данных по поручению Оператора в соответствии с условиями использования платформы.
6.2. Для проведения оплаты используется Robokassa.
В предусмотренных законодательством и условиями сервиса случаях Robokassa самостоятельно является оператором обрабатываемых ею персональных данных.
6.3. Для формирования кассовых документов используется сервис «Робочеки». Сведения в предусмотренном законом объёме передаются через соответствующего оператора фискальных данных в Федеральную налоговую службу и используются для направления кассового чека Покупателю.
6.4. Для доставки персональные данные могут передаваться выбранной для конкретного заказа почтовой, курьерской или транспортной организации.
6.5. Персональные данные также могут предоставляться государственным органам и иным лицам в случаях, прямо предусмотренных законодательством Российской Федерации.
7. Локализация и трансграничная передача7.1. При сборе персональных данных граждан Российской Федерации Оператор обеспечивает выполнение требований законодательства Российской Федерации о локализации персональных данных.
7.2. Сайт работает в российском профиле платформы Tilda. В соответствии с информацией, предоставляемой Tilda, персональные данные таких проектов собираются и хранятся на серверах, расположенных в Российской Федерации, в том числе на инфраструктуре АО «Селектел» и ООО «Яндекс.Облако».
7.3. На дату настоящей редакции Оператор не осуществляет трансграничную передачу персональных данных пользователей сайта в рамках описанных в настоящей Политике процессов.
7.4. До начала трансграничной передачи Оператор выполняет предусмотренные законодательством Российской Федерации требования, включая направление отдельного уведомления в Роскомнадзор в случаях, когда оно обязательно.
8. Срок обработки и хранения8.1. Персональные данные обрабатываются до достижения соответствующей цели обработки, прекращения договорных отношений или прекращения действия иного правового основания.
8.2. После исполнения заказа данные могут продолжать храниться в объёме и в течение сроков, необходимых для исполнения требований бухгалтерского, налогового, кассового законодательства, законодательства о защите прав потребителей и для защиты законных интересов сторон.
8.3. Данные, полученные на основании согласия для обработки обращения, обрабатываются до достижения цели обращения либо отзыва согласия, если после этого отсутствует иное законное основание для их обработки.
8.4. Данные, используемые исключительно для рекламных и маркетинговых коммуникаций, обрабатываются до отзыва соответствующего согласия либо до прекращения соответствующей цели обработки.
8.5. После прекращения законных оснований данные уничтожаются или обезличиваются в порядке и сроки, предусмотренные законодательством Российской Федерации.
9. Согласие субъекта9.1. В случаях, когда законодательство требует согласия субъекта персональных данных, Оператор получает такое согласие отдельным действием пользователя способом, позволяющим подтвердить факт его предоставления.
9.2. Согласие на обработку персональных данных оформляется отдельно от иных документов и подтверждений пользователя в случаях, установленных законодательством Российской Федерации.
9.3. Согласие на получение рекламных и маркетинговых сообщений является отдельным, добровольным и не является условием приобретения товара.
9.4. Отзыв согласия не прекращает обработку персональных данных, которую Оператор после отзыва вправе или обязан продолжить на ином предусмотренном законом основании.
10. Права субъекта персональных данныхСубъект персональных данных вправе получать информацию об обработке его данных; требовать их уточнения, блокирования или уничтожения при наличии законных оснований; отзывать предоставленные согласия; требовать прекращения обработки в предусмотренных законом случаях; отказаться от получения рекламы; обжаловать действия Оператора в Роскомнадзор или в суд и осуществлять иные предусмотренные законодательством права.
Для реализации прав субъект может направить обращение:
Электронная почта: longevitylab@yandex.ru
Почтовый адрес Оператора: 124489, Россия, г. Москва, г. Зеленоград, аллея Сосновая, д. 6А, стр. 1, этаж/ком. 3/22.
Оператор вправе запросить разумно необходимые сведения для подтверждения личности заявителя и предотвращения неправомерного предоставления персональных данных третьим лицам.
11. Защита персональных данных11.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.
11.2. В частности, Оператор:
- назначает лицо, ответственное за организацию обработки персональных данных;
- принимает локальные акты по вопросам обработки и защиты персональных данных;
- определяет круг лиц, имеющих доступ к персональным данным;
- применяет организационные и технические меры защиты информационных систем;
- обеспечивает возможность восстановления данных в предусмотренных случаях;
- осуществляет внутренний контроль соответствия обработки требованиям законодательства;
- организует рассмотрение обращений субъектов персональных данных;
- принимает меры реагирования на инциденты, связанные с безопасностью персональных данных.
12.2. Актуальная редакция Политики постоянно находится в свободном доступе на сайте amita-active.ru.
12.3. Дата последней редакции указывается в начале документа.
6. Права субъекта ПДн
Субъект ПДн имеет право:
— свободно, своей волей и в своем интересе предоставлять свои ПДн и давать согласие на их обработку;
— отозвать свое согласие на обработку ПДн;
— получать информацию, касающуюся обработки своих ПДн в порядке, форме и в сроки, установленные Законодательством о ПДн;
— требовать уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для заявленной цели обработки или используются в целях, не заявленных ранее;
— требовать прекращения обработки своих ПДн;
— требовать прекращения обработки своих ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
— обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке, если считает, что Оператор осуществляет обработку его ПДн с нарушением требований Закона № 152- ФЗ или иным образом нарушает его права и свободы;
— принимать предусмотренные законодательством Российской Федерации меры по защите своих прав и законных интересов, в том числе право на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
7. Обязанности оператора при обработке ПДн
7.1.Оператор при осуществлении обработки ПДн обязан
— опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику Оператора в отношении обработки ПДн, к сведениям о реализуемых требованиях к защите ПДн, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
— уведомить Роскомнадзор о своем намерении осуществлять обработку ПДн, об изменениях сведений, указанных в уведомлении, а также в случае прекращения обработки ПДн в порядке и в сроки, установленные Законом № 152-ФЗ;
— при сборе ПДн предоставить субъекту ПДн по его просьбе информацию, касающуюся обработки его ПДн;
— разъяснить субъекту ПДн юридические последствия отказа предоставить ПДн и (или) дать согласие на обработку ПДн, если предоставление ПДн и (или) получение согласия на обработку ПДн является обязательным в соответствии с законодательством Российской Федерации;
— обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе № 152-ФЗ;
— не раскрывать и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации;
— предоставить безвозмездно субъекту ПДн или его представителю возможность ознакомления с ПДн, относящимися к субъекту ПДн, в той форме, в которой были направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе;
— внести необходимые изменения в ПДн при наличии сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными;
— немедленно прекратить по требованию субъекта ПДн обработку его ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
— уничтожить ПДн при наличии сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
— в случае отзыва субъектом ПДн согласия на обработку его ПДн прекратить их обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— по требованию субъекта ПДн прекратить обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— Оператор обязуется предоставлять ответ на запрос Субьекта ПДн или его представителя в течение 10 (десяти) дней с даты получения данного запроса, по следующим вопросам:
(a) запрос информации, касающийся обработки ПДн Субъекта;
(b) запрос, связанный с отзывом согласия на обработку ПДн Субъекта;
(c) запрос, связанный с изменением согласия на обработку ПДн субъекта.
— принимать необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
— уведомить Роскомнадзор или иной компетентный орган в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, в порядке и сроки, установленные Законодательством о ПДн;
— осуществлять взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, при наличии на то оснований;
— сообщать в Роскомнадзор необходимую информацию по его запросу.
7.2.Оператор имеет право:
— обрабатывать персональные данные Субъекта ПДн в соответствии с заявленной целью;
— требовать от Субъекта ПДн предоставления достоверных персональных данных, необходимых для исполнения договора, оказания услуги, идентификации Субъекта ПДн, а также в иных случаях, предусмотренных законодательством о персональных данных;
— ограничивать доступ Субъекта ПДн к его персональным данным в случае, если обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, доступ Субъекта ПДн к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством РФ;
— блокировать изменение и (или) удаление персональных данных, если в соответствии с требованиями действующего законодательства РФ Оператор обязан сохранить измененную или удаленную информацию на срок, установленный законодательством РФ, и передать такую информацию в соответствии с законодательно установленной процедурой государственному органу;
— осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
— поручать обработку персональных данных другому лицу с согласия Субъекта ПДн.
7.1.Оператор при осуществлении обработки ПДн обязан
— опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику Оператора в отношении обработки ПДн, к сведениям о реализуемых требованиях к защите ПДн, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
— уведомить Роскомнадзор о своем намерении осуществлять обработку ПДн, об изменениях сведений, указанных в уведомлении, а также в случае прекращения обработки ПДн в порядке и в сроки, установленные Законом № 152-ФЗ;
— при сборе ПДн предоставить субъекту ПДн по его просьбе информацию, касающуюся обработки его ПДн;
— разъяснить субъекту ПДн юридические последствия отказа предоставить ПДн и (или) дать согласие на обработку ПДн, если предоставление ПДн и (или) получение согласия на обработку ПДн является обязательным в соответствии с законодательством Российской Федерации;
— обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе № 152-ФЗ;
— не раскрывать и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации;
— предоставить безвозмездно субъекту ПДн или его представителю возможность ознакомления с ПДн, относящимися к субъекту ПДн, в той форме, в которой были направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе;
— внести необходимые изменения в ПДн при наличии сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными;
— немедленно прекратить по требованию субъекта ПДн обработку его ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
— уничтожить ПДн при наличии сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
— в случае отзыва субъектом ПДн согласия на обработку его ПДн прекратить их обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— по требованию субъекта ПДн прекратить обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— Оператор обязуется предоставлять ответ на запрос Субьекта ПДн или его представителя в течение 10 (десяти) дней с даты получения данного запроса, по следующим вопросам:
(a) запрос информации, касающийся обработки ПДн Субъекта;
(b) запрос, связанный с отзывом согласия на обработку ПДн Субъекта;
(c) запрос, связанный с изменением согласия на обработку ПДн субъекта.
— принимать необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
— уведомить Роскомнадзор или иной компетентный орган в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, в порядке и сроки, установленные Законодательством о ПДн;
— осуществлять взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, при наличии на то оснований;
— сообщать в Роскомнадзор необходимую информацию по его запросу.
7.2.Оператор имеет право:
— обрабатывать персональные данные Субъекта ПДн в соответствии с заявленной целью;
— требовать от Субъекта ПДн предоставления достоверных персональных данных, необходимых для исполнения договора, оказания услуги, идентификации Субъекта ПДн, а также в иных случаях, предусмотренных законодательством о персональных данных;
— ограничивать доступ Субъекта ПДн к его персональным данным в случае, если обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, доступ Субъекта ПДн к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством РФ;
— блокировать изменение и (или) удаление персональных данных, если в соответствии с требованиями действующего законодательства РФ Оператор обязан сохранить измененную или удаленную информацию на срок, установленный законодательством РФ, и передать такую информацию в соответствии с законодательно установленной процедурой государственному органу;
— осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
— поручать обработку персональных данных другому лицу с согласия Субъекта ПДн.
8. Основные участники системы управления процессом обработки персональных данных
В целях осуществления эффективного управления процессом обработки персональных данных определены следующие основные его участники:
8.1. Генеральный директор Оператора:
8.1.1. Определяет, рассматривает и утверждает политику Оператора в отношении обработки персональных данных.
8.1.2. Принимает решения по реализации действий Оператора, связанных с использованием персональных данных, подверженных риску.
8.2.Лицо, ответственное за организацию обработки персональных данных:
8.2.1. Разрабатывает, организует и контролирует процесс обработки персональных данных (осуществляемый с использованием средств автоматизации или без использования таких средств, в том числе на бумажных носителях) в соответствии с законодательством о персональных данных, настоящей Политикой, внутренними нормативными документами Оператора.
8.2.2. Осуществляет управление и постоянное совершенствование процесса обработки персональных данных по единым правилам, стандартизацию и тиражирование процесса, в том числе:
— разрабатывает и представляет для утверждения Генеральному директору Оператора внутренние документы, касающиеся вопросов обработки персональных данных;
— организует доведение и (или) доводит до сведения работников Оператора положения законодательства о персональных данных, настоящей Политики, внутренних документов Оператора по вопросам обработки персональных данных;
— осуществляет анализ, оценку и прогноз рисков, связанных с обработкой персональных данных у Оператора, выработку мер по снижению рисков;
— осуществляет оценку влияния процессов на права и свободы Субъектов ПДн;
— осуществляет анализ автоматизированных систем и процессов обработки персональных данных на предмет соответствия установленным обязательным требованиям в области обработки и защиты персональных данных;
— осуществляет ведение учета процедур и средств обработки персональных данных;
— осуществляет контроль наличия и полноты содержания договоров поручения на обработку персональных данных, договоров на передачу персональных данных;
— организует и осуществляет внутренний контроль за соблюдением Оператором и его работниками законодательства о персональных данных, настоящей Политики, внутренних нормативных документов Оператора, требований к защите персональных данных;
— организует прием и обработку обращений и запросов Субъектов ПДн или их представителей и (или) осуществляет контроль за приемом и обработкой таких обращений и запросов;
— осуществляет методологическую помощь структурным подразделениям Оператора при взаимодействии с органами государственной власти и надзорными органами по вопросам обработки персональных данных.
8.3. Лицо, ответственное за защиту персональных данных:
8.3.1. Осуществляет управление и постоянное совершенствование процесса обработки персональных данных по единым правилам, стандартизацию и тиражирование процесса, в том числе:
— разрабатывает и представляет для утверждения Генеральному директору Оператора внутренние документы, касающиеся требований к защите персональных данных;
— организует доведение и (или) доводит до сведения работников Оператора положения законодательства о персональных данных, требований к защите персональных данных;
— осуществляет анализ, оценку и прогноз рисков, связанных с обработкой персональных данных у Оператора, выработку мер по снижению рисков;
— осуществляет анализ автоматизированных систем и процессов обработки персональных данных на предмет соответствия установленным обязательным требованиям в области защиты персональных данных;
— осуществляет разработку и организацию применения правовых, организационных и технических мер защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также иных неправомерных действий в отношении персональных данных;
— осуществляет определение угроз безопасности персональных данных при их обработке;
— осуществляет организацию и контроль уровня защищенности информационных систем персональных данных;
— осуществляет оценку эффективности принимаемых мер по обеспечению безопасности персональных данных;
— разрабатывает внутренние процедуры, направленные на обеспечение безопасности и защиты персональных данных;
— организует и осуществляет внутренний контроль за соблюдением Оператором и его работниками требований к защите персональных данных;
— осуществляет взаимодействие с органами государственной власти по вопросам защиты персональных данных;
— осуществляет уведомление надзорного органа в соответствии с применимыми требованиями о фактах утечки персональных данных.
8.4.Руководитель юридического департамента Оператора:
8.4.1. Осуществляет мониторинг законодательства и доведение до сведения заинтересованных лиц и подразделений информации об изменении правовых норм;
8.4.2. Обеспечивает правовую защиту интересов Оператора в судах и государственных органах по спорам, связанным с обработкой персональных данных, а также при рассмотрении административных дел, связанных с нарушением законодательства в указанной сфере.
Субъект ПДн имеет право:
— свободно, своей волей и в своем интересе предоставлять свои ПДн и давать согласие на их обработку;
— отозвать свое согласие на обработку ПДн;
— получать информацию, касающуюся обработки своих ПДн в порядке, форме и в сроки, установленные Законодательством о ПДн;
— требовать уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для заявленной цели обработки или используются в целях, не заявленных ранее;
— требовать прекращения обработки своих ПДн;
— требовать прекращения обработки своих ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
— обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке, если считает, что Оператор осуществляет обработку его ПДн с нарушением требований Закона № 152- ФЗ или иным образом нарушает его права и свободы;
— принимать предусмотренные законодательством Российской Федерации меры по защите своих прав и законных интересов, в том числе право на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
7. Обязанности оператора при обработке ПДн
7.1.Оператор при осуществлении обработки ПДн обязан
— опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику Оператора в отношении обработки ПДн, к сведениям о реализуемых требованиях к защите ПДн, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
— уведомить Роскомнадзор о своем намерении осуществлять обработку ПДн, об изменениях сведений, указанных в уведомлении, а также в случае прекращения обработки ПДн в порядке и в сроки, установленные Законом № 152-ФЗ;
— при сборе ПДн предоставить субъекту ПДн по его просьбе информацию, касающуюся обработки его ПДн;
— разъяснить субъекту ПДн юридические последствия отказа предоставить ПДн и (или) дать согласие на обработку ПДн, если предоставление ПДн и (или) получение согласия на обработку ПДн является обязательным в соответствии с законодательством Российской Федерации;
— обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе № 152-ФЗ;
— не раскрывать и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации;
— предоставить безвозмездно субъекту ПДн или его представителю возможность ознакомления с ПДн, относящимися к субъекту ПДн, в той форме, в которой были направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе;
— внести необходимые изменения в ПДн при наличии сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными;
— немедленно прекратить по требованию субъекта ПДн обработку его ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
— уничтожить ПДн при наличии сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
— в случае отзыва субъектом ПДн согласия на обработку его ПДн прекратить их обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— по требованию субъекта ПДн прекратить обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— Оператор обязуется предоставлять ответ на запрос Субьекта ПДн или его представителя в течение 10 (десяти) дней с даты получения данного запроса, по следующим вопросам:
(a) запрос информации, касающийся обработки ПДн Субъекта;
(b) запрос, связанный с отзывом согласия на обработку ПДн Субъекта;
(c) запрос, связанный с изменением согласия на обработку ПДн субъекта.
— принимать необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
— уведомить Роскомнадзор или иной компетентный орган в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, в порядке и сроки, установленные Законодательством о ПДн;
— осуществлять взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, при наличии на то оснований;
— сообщать в Роскомнадзор необходимую информацию по его запросу.
7.2.Оператор имеет право:
— обрабатывать персональные данные Субъекта ПДн в соответствии с заявленной целью;
— требовать от Субъекта ПДн предоставления достоверных персональных данных, необходимых для исполнения договора, оказания услуги, идентификации Субъекта ПДн, а также в иных случаях, предусмотренных законодательством о персональных данных;
— ограничивать доступ Субъекта ПДн к его персональным данным в случае, если обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, доступ Субъекта ПДн к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством РФ;
— блокировать изменение и (или) удаление персональных данных, если в соответствии с требованиями действующего законодательства РФ Оператор обязан сохранить измененную или удаленную информацию на срок, установленный законодательством РФ, и передать такую информацию в соответствии с законодательно установленной процедурой государственному органу;
— осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
— поручать обработку персональных данных другому лицу с согласия Субъекта ПДн.
7.1.Оператор при осуществлении обработки ПДн обязан
— опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику Оператора в отношении обработки ПДн, к сведениям о реализуемых требованиях к защите ПДн, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
— уведомить Роскомнадзор о своем намерении осуществлять обработку ПДн, об изменениях сведений, указанных в уведомлении, а также в случае прекращения обработки ПДн в порядке и в сроки, установленные Законом № 152-ФЗ;
— при сборе ПДн предоставить субъекту ПДн по его просьбе информацию, касающуюся обработки его ПДн;
— разъяснить субъекту ПДн юридические последствия отказа предоставить ПДн и (или) дать согласие на обработку ПДн, если предоставление ПДн и (или) получение согласия на обработку ПДн является обязательным в соответствии с законодательством Российской Федерации;
— обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе № 152-ФЗ;
— не раскрывать и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации;
— предоставить безвозмездно субъекту ПДн или его представителю возможность ознакомления с ПДн, относящимися к субъекту ПДн, в той форме, в которой были направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе;
— внести необходимые изменения в ПДн при наличии сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными;
— немедленно прекратить по требованию субъекта ПДн обработку его ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
— уничтожить ПДн при наличии сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
— в случае отзыва субъектом ПДн согласия на обработку его ПДн прекратить их обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— по требованию субъекта ПДн прекратить обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— Оператор обязуется предоставлять ответ на запрос Субьекта ПДн или его представителя в течение 10 (десяти) дней с даты получения данного запроса, по следующим вопросам:
(a) запрос информации, касающийся обработки ПДн Субъекта;
(b) запрос, связанный с отзывом согласия на обработку ПДн Субъекта;
(c) запрос, связанный с изменением согласия на обработку ПДн субъекта.
— принимать необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
— уведомить Роскомнадзор или иной компетентный орган в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, в порядке и сроки, установленные Законодательством о ПДн;
— осуществлять взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, при наличии на то оснований;
— сообщать в Роскомнадзор необходимую информацию по его запросу.
7.2.Оператор имеет право:
— обрабатывать персональные данные Субъекта ПДн в соответствии с заявленной целью;
— требовать от Субъекта ПДн предоставления достоверных персональных данных, необходимых для исполнения договора, оказания услуги, идентификации Субъекта ПДн, а также в иных случаях, предусмотренных законодательством о персональных данных;
— ограничивать доступ Субъекта ПДн к его персональным данным в случае, если обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, доступ Субъекта ПДн к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством РФ;
— блокировать изменение и (или) удаление персональных данных, если в соответствии с требованиями действующего законодательства РФ Оператор обязан сохранить измененную или удаленную информацию на срок, установленный законодательством РФ, и передать такую информацию в соответствии с законодательно установленной процедурой государственному органу;
— осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
— поручать обработку персональных данных другому лицу с согласия Субъекта ПДн.
8. Основные участники системы управления процессом обработки персональных данных
В целях осуществления эффективного управления процессом обработки персональных данных определены следующие основные его участники:
8.1. Генеральный директор Оператора:
8.1.1. Определяет, рассматривает и утверждает политику Оператора в отношении обработки персональных данных.
8.1.2. Принимает решения по реализации действий Оператора, связанных с использованием персональных данных, подверженных риску.
8.2.Лицо, ответственное за организацию обработки персональных данных:
8.2.1. Разрабатывает, организует и контролирует процесс обработки персональных данных (осуществляемый с использованием средств автоматизации или без использования таких средств, в том числе на бумажных носителях) в соответствии с законодательством о персональных данных, настоящей Политикой, внутренними нормативными документами Оператора.
8.2.2. Осуществляет управление и постоянное совершенствование процесса обработки персональных данных по единым правилам, стандартизацию и тиражирование процесса, в том числе:
— разрабатывает и представляет для утверждения Генеральному директору Оператора внутренние документы, касающиеся вопросов обработки персональных данных;
— организует доведение и (или) доводит до сведения работников Оператора положения законодательства о персональных данных, настоящей Политики, внутренних документов Оператора по вопросам обработки персональных данных;
— осуществляет анализ, оценку и прогноз рисков, связанных с обработкой персональных данных у Оператора, выработку мер по снижению рисков;
— осуществляет оценку влияния процессов на права и свободы Субъектов ПДн;
— осуществляет анализ автоматизированных систем и процессов обработки персональных данных на предмет соответствия установленным обязательным требованиям в области обработки и защиты персональных данных;
— осуществляет ведение учета процедур и средств обработки персональных данных;
— осуществляет контроль наличия и полноты содержания договоров поручения на обработку персональных данных, договоров на передачу персональных данных;
— организует и осуществляет внутренний контроль за соблюдением Оператором и его работниками законодательства о персональных данных, настоящей Политики, внутренних нормативных документов Оператора, требований к защите персональных данных;
— организует прием и обработку обращений и запросов Субъектов ПДн или их представителей и (или) осуществляет контроль за приемом и обработкой таких обращений и запросов;
— осуществляет методологическую помощь структурным подразделениям Оператора при взаимодействии с органами государственной власти и надзорными органами по вопросам обработки персональных данных.
8.3. Лицо, ответственное за защиту персональных данных:
8.3.1. Осуществляет управление и постоянное совершенствование процесса обработки персональных данных по единым правилам, стандартизацию и тиражирование процесса, в том числе:
— разрабатывает и представляет для утверждения Генеральному директору Оператора внутренние документы, касающиеся требований к защите персональных данных;
— организует доведение и (или) доводит до сведения работников Оператора положения законодательства о персональных данных, требований к защите персональных данных;
— осуществляет анализ, оценку и прогноз рисков, связанных с обработкой персональных данных у Оператора, выработку мер по снижению рисков;
— осуществляет анализ автоматизированных систем и процессов обработки персональных данных на предмет соответствия установленным обязательным требованиям в области защиты персональных данных;
— осуществляет разработку и организацию применения правовых, организационных и технических мер защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также иных неправомерных действий в отношении персональных данных;
— осуществляет определение угроз безопасности персональных данных при их обработке;
— осуществляет организацию и контроль уровня защищенности информационных систем персональных данных;
— осуществляет оценку эффективности принимаемых мер по обеспечению безопасности персональных данных;
— разрабатывает внутренние процедуры, направленные на обеспечение безопасности и защиты персональных данных;
— организует и осуществляет внутренний контроль за соблюдением Оператором и его работниками требований к защите персональных данных;
— осуществляет взаимодействие с органами государственной власти по вопросам защиты персональных данных;
— осуществляет уведомление надзорного органа в соответствии с применимыми требованиями о фактах утечки персональных данных.
8.4.Руководитель юридического департамента Оператора:
8.4.1. Осуществляет мониторинг законодательства и доведение до сведения заинтересованных лиц и подразделений информации об изменении правовых норм;
8.4.2. Обеспечивает правовую защиту интересов Оператора в судах и государственных органах по спорам, связанным с обработкой персональных данных, а также при рассмотрении административных дел, связанных с нарушением законодательства в указанной сфере.
6. Права субъекта ПДн
Субъект ПДн имеет право:
— свободно, своей волей и в своем интересе предоставлять свои ПДн и давать согласие на их обработку;
— отозвать свое согласие на обработку ПДн;
— получать информацию, касающуюся обработки своих ПДн в порядке, форме и в сроки, установленные Законодательством о ПДн;
— требовать уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для заявленной цели обработки или используются в целях, не заявленных ранее;
— требовать прекращения обработки своих ПДн;
— требовать прекращения обработки своих ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
— обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке, если считает, что Оператор осуществляет обработку его ПДн с нарушением требований Закона № 152- ФЗ или иным образом нарушает его права и свободы;
— принимать предусмотренные законодательством Российской Федерации меры по защите своих прав и законных интересов, в том числе право на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
7. Обязанности оператора при обработке ПДн
7.1.Оператор при осуществлении обработки ПДн обязан
— опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику Оператора в отношении обработки ПДн, к сведениям о реализуемых требованиях к защите ПДн, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
— уведомить Роскомнадзор о своем намерении осуществлять обработку ПДн, об изменениях сведений, указанных в уведомлении, а также в случае прекращения обработки ПДн в порядке и в сроки, установленные Законом № 152-ФЗ;
— при сборе ПДн предоставить субъекту ПДн по его просьбе информацию, касающуюся обработки его ПДн;
— разъяснить субъекту ПДн юридические последствия отказа предоставить ПДн и (или) дать согласие на обработку ПДн, если предоставление ПДн и (или) получение согласия на обработку ПДн является обязательным в соответствии с законодательством Российской Федерации;
— обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе № 152-ФЗ;
— не раскрывать и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации;
— предоставить безвозмездно субъекту ПДн или его представителю возможность ознакомления с ПДн, относящимися к субъекту ПДн, в той форме, в которой были направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе;
— внести необходимые изменения в ПДн при наличии сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными;
— немедленно прекратить по требованию субъекта ПДн обработку его ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
— уничтожить ПДн при наличии сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
— в случае отзыва субъектом ПДн согласия на обработку его ПДн прекратить их обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— по требованию субъекта ПДн прекратить обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— Оператор обязуется предоставлять ответ на запрос Субьекта ПДн или его представителя в течение 10 (десяти) дней с даты получения данного запроса, по следующим вопросам:
(a) запрос информации, касающийся обработки ПДн Субъекта;
(b) запрос, связанный с отзывом согласия на обработку ПДн Субъекта;
(c) запрос, связанный с изменением согласия на обработку ПДн субъекта.
— принимать необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
— уведомить Роскомнадзор или иной компетентный орган в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, в порядке и сроки, установленные Законодательством о ПДн;
— осуществлять взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, при наличии на то оснований;
— сообщать в Роскомнадзор необходимую информацию по его запросу.
7.2.Оператор имеет право:
— обрабатывать персональные данные Субъекта ПДн в соответствии с заявленной целью;
— требовать от Субъекта ПДн предоставления достоверных персональных данных, необходимых для исполнения договора, оказания услуги, идентификации Субъекта ПДн, а также в иных случаях, предусмотренных законодательством о персональных данных;
— ограничивать доступ Субъекта ПДн к его персональным данным в случае, если обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, доступ Субъекта ПДн к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством РФ;
— блокировать изменение и (или) удаление персональных данных, если в соответствии с требованиями действующего законодательства РФ Оператор обязан сохранить измененную или удаленную информацию на срок, установленный законодательством РФ, и передать такую информацию в соответствии с законодательно установленной процедурой государственному органу;
— осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
— поручать обработку персональных данных другому лицу с согласия Субъекта ПДн.
7.1.Оператор при осуществлении обработки ПДн обязан
— опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику Оператора в отношении обработки ПДн, к сведениям о реализуемых требованиях к защите ПДн, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
— уведомить Роскомнадзор о своем намерении осуществлять обработку ПДн, об изменениях сведений, указанных в уведомлении, а также в случае прекращения обработки ПДн в порядке и в сроки, установленные Законом № 152-ФЗ;
— при сборе ПДн предоставить субъекту ПДн по его просьбе информацию, касающуюся обработки его ПДн;
— разъяснить субъекту ПДн юридические последствия отказа предоставить ПДн и (или) дать согласие на обработку ПДн, если предоставление ПДн и (или) получение согласия на обработку ПДн является обязательным в соответствии с законодательством Российской Федерации;
— обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе № 152-ФЗ;
— не раскрывать и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации;
— предоставить безвозмездно субъекту ПДн или его представителю возможность ознакомления с ПДн, относящимися к субъекту ПДн, в той форме, в которой были направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе;
— внести необходимые изменения в ПДн при наличии сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными;
— немедленно прекратить по требованию субъекта ПДн обработку его ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
— уничтожить ПДн при наличии сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
— в случае отзыва субъектом ПДн согласия на обработку его ПДн прекратить их обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— по требованию субъекта ПДн прекратить обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— Оператор обязуется предоставлять ответ на запрос Субьекта ПДн или его представителя в течение 10 (десяти) дней с даты получения данного запроса, по следующим вопросам:
(a) запрос информации, касающийся обработки ПДн Субъекта;
(b) запрос, связанный с отзывом согласия на обработку ПДн Субъекта;
(c) запрос, связанный с изменением согласия на обработку ПДн субъекта.
— принимать необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
— уведомить Роскомнадзор или иной компетентный орган в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, в порядке и сроки, установленные Законодательством о ПДн;
— осуществлять взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, при наличии на то оснований;
— сообщать в Роскомнадзор необходимую информацию по его запросу.
7.2.Оператор имеет право:
— обрабатывать персональные данные Субъекта ПДн в соответствии с заявленной целью;
— требовать от Субъекта ПДн предоставления достоверных персональных данных, необходимых для исполнения договора, оказания услуги, идентификации Субъекта ПДн, а также в иных случаях, предусмотренных законодательством о персональных данных;
— ограничивать доступ Субъекта ПДн к его персональным данным в случае, если обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, доступ Субъекта ПДн к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством РФ;
— блокировать изменение и (или) удаление персональных данных, если в соответствии с требованиями действующего законодательства РФ Оператор обязан сохранить измененную или удаленную информацию на срок, установленный законодательством РФ, и передать такую информацию в соответствии с законодательно установленной процедурой государственному органу;
— осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
— поручать обработку персональных данных другому лицу с согласия Субъекта ПДн.
8. Основные участники системы управления процессом обработки персональных данных
В целях осуществления эффективного управления процессом обработки персональных данных определены следующие основные его участники:
8.1. Генеральный директор Оператора:
8.1.1. Определяет, рассматривает и утверждает политику Оператора в отношении обработки персональных данных.
8.1.2. Принимает решения по реализации действий Оператора, связанных с использованием персональных данных, подверженных риску.
8.2.Лицо, ответственное за организацию обработки персональных данных:
8.2.1. Разрабатывает, организует и контролирует процесс обработки персональных данных (осуществляемый с использованием средств автоматизации или без использования таких средств, в том числе на бумажных носителях) в соответствии с законодательством о персональных данных, настоящей Политикой, внутренними нормативными документами Оператора.
8.2.2. Осуществляет управление и постоянное совершенствование процесса обработки персональных данных по единым правилам, стандартизацию и тиражирование процесса, в том числе:
— разрабатывает и представляет для утверждения Генеральному директору Оператора внутренние документы, касающиеся вопросов обработки персональных данных;
— организует доведение и (или) доводит до сведения работников Оператора положения законодательства о персональных данных, настоящей Политики, внутренних документов Оператора по вопросам обработки персональных данных;
— осуществляет анализ, оценку и прогноз рисков, связанных с обработкой персональных данных у Оператора, выработку мер по снижению рисков;
— осуществляет оценку влияния процессов на права и свободы Субъектов ПДн;
— осуществляет анализ автоматизированных систем и процессов обработки персональных данных на предмет соответствия установленным обязательным требованиям в области обработки и защиты персональных данных;
— осуществляет ведение учета процедур и средств обработки персональных данных;
— осуществляет контроль наличия и полноты содержания договоров поручения на обработку персональных данных, договоров на передачу персональных данных;
— организует и осуществляет внутренний контроль за соблюдением Оператором и его работниками законодательства о персональных данных, настоящей Политики, внутренних нормативных документов Оператора, требований к защите персональных данных;
— организует прием и обработку обращений и запросов Субъектов ПДн или их представителей и (или) осуществляет контроль за приемом и обработкой таких обращений и запросов;
— осуществляет методологическую помощь структурным подразделениям Оператора при взаимодействии с органами государственной власти и надзорными органами по вопросам обработки персональных данных.
8.3. Лицо, ответственное за защиту персональных данных:
8.3.1. Осуществляет управление и постоянное совершенствование процесса обработки персональных данных по единым правилам, стандартизацию и тиражирование процесса, в том числе:
— разрабатывает и представляет для утверждения Генеральному директору Оператора внутренние документы, касающиеся требований к защите персональных данных;
— организует доведение и (или) доводит до сведения работников Оператора положения законодательства о персональных данных, требований к защите персональных данных;
— осуществляет анализ, оценку и прогноз рисков, связанных с обработкой персональных данных у Оператора, выработку мер по снижению рисков;
— осуществляет анализ автоматизированных систем и процессов обработки персональных данных на предмет соответствия установленным обязательным требованиям в области защиты персональных данных;
— осуществляет разработку и организацию применения правовых, организационных и технических мер защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также иных неправомерных действий в отношении персональных данных;
— осуществляет определение угроз безопасности персональных данных при их обработке;
— осуществляет организацию и контроль уровня защищенности информационных систем персональных данных;
— осуществляет оценку эффективности принимаемых мер по обеспечению безопасности персональных данных;
— разрабатывает внутренние процедуры, направленные на обеспечение безопасности и защиты персональных данных;
— организует и осуществляет внутренний контроль за соблюдением Оператором и его работниками требований к защите персональных данных;
— осуществляет взаимодействие с органами государственной власти по вопросам защиты персональных данных;
— осуществляет уведомление надзорного органа в соответствии с применимыми требованиями о фактах утечки персональных данных.
8.4.Руководитель юридического департамента Оператора:
8.4.1. Осуществляет мониторинг законодательства и доведение до сведения заинтересованных лиц и подразделений информации об изменении правовых норм;
8.4.2. Обеспечивает правовую защиту интересов Оператора в судах и государственных органах по спорам, связанным с обработкой персональных данных, а также при рассмотрении административных дел, связанных с нарушением законодательства в указанной сфере.
Субъект ПДн имеет право:
— свободно, своей волей и в своем интересе предоставлять свои ПДн и давать согласие на их обработку;
— отозвать свое согласие на обработку ПДн;
— получать информацию, касающуюся обработки своих ПДн в порядке, форме и в сроки, установленные Законодательством о ПДн;
— требовать уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для заявленной цели обработки или используются в целях, не заявленных ранее;
— требовать прекращения обработки своих ПДн;
— требовать прекращения обработки своих ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
— обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке, если считает, что Оператор осуществляет обработку его ПДн с нарушением требований Закона № 152- ФЗ или иным образом нарушает его права и свободы;
— принимать предусмотренные законодательством Российской Федерации меры по защите своих прав и законных интересов, в том числе право на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
7. Обязанности оператора при обработке ПДн
7.1.Оператор при осуществлении обработки ПДн обязан
— опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику Оператора в отношении обработки ПДн, к сведениям о реализуемых требованиях к защите ПДн, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
— уведомить Роскомнадзор о своем намерении осуществлять обработку ПДн, об изменениях сведений, указанных в уведомлении, а также в случае прекращения обработки ПДн в порядке и в сроки, установленные Законом № 152-ФЗ;
— при сборе ПДн предоставить субъекту ПДн по его просьбе информацию, касающуюся обработки его ПДн;
— разъяснить субъекту ПДн юридические последствия отказа предоставить ПДн и (или) дать согласие на обработку ПДн, если предоставление ПДн и (или) получение согласия на обработку ПДн является обязательным в соответствии с законодательством Российской Федерации;
— обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе № 152-ФЗ;
— не раскрывать и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации;
— предоставить безвозмездно субъекту ПДн или его представителю возможность ознакомления с ПДн, относящимися к субъекту ПДн, в той форме, в которой были направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе;
— внести необходимые изменения в ПДн при наличии сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными;
— немедленно прекратить по требованию субъекта ПДн обработку его ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
— уничтожить ПДн при наличии сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
— в случае отзыва субъектом ПДн согласия на обработку его ПДн прекратить их обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— по требованию субъекта ПДн прекратить обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— Оператор обязуется предоставлять ответ на запрос Субьекта ПДн или его представителя в течение 10 (десяти) дней с даты получения данного запроса, по следующим вопросам:
(a) запрос информации, касающийся обработки ПДн Субъекта;
(b) запрос, связанный с отзывом согласия на обработку ПДн Субъекта;
(c) запрос, связанный с изменением согласия на обработку ПДн субъекта.
— принимать необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
— уведомить Роскомнадзор или иной компетентный орган в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, в порядке и сроки, установленные Законодательством о ПДн;
— осуществлять взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, при наличии на то оснований;
— сообщать в Роскомнадзор необходимую информацию по его запросу.
7.2.Оператор имеет право:
— обрабатывать персональные данные Субъекта ПДн в соответствии с заявленной целью;
— требовать от Субъекта ПДн предоставления достоверных персональных данных, необходимых для исполнения договора, оказания услуги, идентификации Субъекта ПДн, а также в иных случаях, предусмотренных законодательством о персональных данных;
— ограничивать доступ Субъекта ПДн к его персональным данным в случае, если обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, доступ Субъекта ПДн к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством РФ;
— блокировать изменение и (или) удаление персональных данных, если в соответствии с требованиями действующего законодательства РФ Оператор обязан сохранить измененную или удаленную информацию на срок, установленный законодательством РФ, и передать такую информацию в соответствии с законодательно установленной процедурой государственному органу;
— осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
— поручать обработку персональных данных другому лицу с согласия Субъекта ПДн.
7.1.Оператор при осуществлении обработки ПДн обязан
— опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику Оператора в отношении обработки ПДн, к сведениям о реализуемых требованиях к защите ПДн, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
— уведомить Роскомнадзор о своем намерении осуществлять обработку ПДн, об изменениях сведений, указанных в уведомлении, а также в случае прекращения обработки ПДн в порядке и в сроки, установленные Законом № 152-ФЗ;
— при сборе ПДн предоставить субъекту ПДн по его просьбе информацию, касающуюся обработки его ПДн;
— разъяснить субъекту ПДн юридические последствия отказа предоставить ПДн и (или) дать согласие на обработку ПДн, если предоставление ПДн и (или) получение согласия на обработку ПДн является обязательным в соответствии с законодательством Российской Федерации;
— обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе № 152-ФЗ;
— не раскрывать и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации;
— предоставить безвозмездно субъекту ПДн или его представителю возможность ознакомления с ПДн, относящимися к субъекту ПДн, в той форме, в которой были направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе;
— внести необходимые изменения в ПДн при наличии сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными;
— немедленно прекратить по требованию субъекта ПДн обработку его ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи;
— уничтожить ПДн при наличии сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
— в случае отзыва субъектом ПДн согласия на обработку его ПДн прекратить их обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— по требованию субъекта ПДн прекратить обработку и уничтожить его ПДн, за исключением случаев, предусмотренных Законодательством о ПДн;
— Оператор обязуется предоставлять ответ на запрос Субьекта ПДн или его представителя в течение 10 (десяти) дней с даты получения данного запроса, по следующим вопросам:
(a) запрос информации, касающийся обработки ПДн Субъекта;
(b) запрос, связанный с отзывом согласия на обработку ПДн Субъекта;
(c) запрос, связанный с изменением согласия на обработку ПДн субъекта.
— принимать необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
— уведомить Роскомнадзор или иной компетентный орган в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, в порядке и сроки, установленные Законодательством о ПДн;
— осуществлять взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, при наличии на то оснований;
— сообщать в Роскомнадзор необходимую информацию по его запросу.
7.2.Оператор имеет право:
— обрабатывать персональные данные Субъекта ПДн в соответствии с заявленной целью;
— требовать от Субъекта ПДн предоставления достоверных персональных данных, необходимых для исполнения договора, оказания услуги, идентификации Субъекта ПДн, а также в иных случаях, предусмотренных законодательством о персональных данных;
— ограничивать доступ Субъекта ПДн к его персональным данным в случае, если обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, доступ Субъекта ПДн к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством РФ;
— блокировать изменение и (или) удаление персональных данных, если в соответствии с требованиями действующего законодательства РФ Оператор обязан сохранить измененную или удаленную информацию на срок, установленный законодательством РФ, и передать такую информацию в соответствии с законодательно установленной процедурой государственному органу;
— осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
— поручать обработку персональных данных другому лицу с согласия Субъекта ПДн.
8. Основные участники системы управления процессом обработки персональных данных
В целях осуществления эффективного управления процессом обработки персональных данных определены следующие основные его участники:
8.1. Генеральный директор Оператора:
8.1.1. Определяет, рассматривает и утверждает политику Оператора в отношении обработки персональных данных.
8.1.2. Принимает решения по реализации действий Оператора, связанных с использованием персональных данных, подверженных риску.
8.2.Лицо, ответственное за организацию обработки персональных данных:
8.2.1. Разрабатывает, организует и контролирует процесс обработки персональных данных (осуществляемый с использованием средств автоматизации или без использования таких средств, в том числе на бумажных носителях) в соответствии с законодательством о персональных данных, настоящей Политикой, внутренними нормативными документами Оператора.
8.2.2. Осуществляет управление и постоянное совершенствование процесса обработки персональных данных по единым правилам, стандартизацию и тиражирование процесса, в том числе:
— разрабатывает и представляет для утверждения Генеральному директору Оператора внутренние документы, касающиеся вопросов обработки персональных данных;
— организует доведение и (или) доводит до сведения работников Оператора положения законодательства о персональных данных, настоящей Политики, внутренних документов Оператора по вопросам обработки персональных данных;
— осуществляет анализ, оценку и прогноз рисков, связанных с обработкой персональных данных у Оператора, выработку мер по снижению рисков;
— осуществляет оценку влияния процессов на права и свободы Субъектов ПДн;
— осуществляет анализ автоматизированных систем и процессов обработки персональных данных на предмет соответствия установленным обязательным требованиям в области обработки и защиты персональных данных;
— осуществляет ведение учета процедур и средств обработки персональных данных;
— осуществляет контроль наличия и полноты содержания договоров поручения на обработку персональных данных, договоров на передачу персональных данных;
— организует и осуществляет внутренний контроль за соблюдением Оператором и его работниками законодательства о персональных данных, настоящей Политики, внутренних нормативных документов Оператора, требований к защите персональных данных;
— организует прием и обработку обращений и запросов Субъектов ПДн или их представителей и (или) осуществляет контроль за приемом и обработкой таких обращений и запросов;
— осуществляет методологическую помощь структурным подразделениям Оператора при взаимодействии с органами государственной власти и надзорными органами по вопросам обработки персональных данных.
8.3. Лицо, ответственное за защиту персональных данных:
8.3.1. Осуществляет управление и постоянное совершенствование процесса обработки персональных данных по единым правилам, стандартизацию и тиражирование процесса, в том числе:
— разрабатывает и представляет для утверждения Генеральному директору Оператора внутренние документы, касающиеся требований к защите персональных данных;
— организует доведение и (или) доводит до сведения работников Оператора положения законодательства о персональных данных, требований к защите персональных данных;
— осуществляет анализ, оценку и прогноз рисков, связанных с обработкой персональных данных у Оператора, выработку мер по снижению рисков;
— осуществляет анализ автоматизированных систем и процессов обработки персональных данных на предмет соответствия установленным обязательным требованиям в области защиты персональных данных;
— осуществляет разработку и организацию применения правовых, организационных и технических мер защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также иных неправомерных действий в отношении персональных данных;
— осуществляет определение угроз безопасности персональных данных при их обработке;
— осуществляет организацию и контроль уровня защищенности информационных систем персональных данных;
— осуществляет оценку эффективности принимаемых мер по обеспечению безопасности персональных данных;
— разрабатывает внутренние процедуры, направленные на обеспечение безопасности и защиты персональных данных;
— организует и осуществляет внутренний контроль за соблюдением Оператором и его работниками требований к защите персональных данных;
— осуществляет взаимодействие с органами государственной власти по вопросам защиты персональных данных;
— осуществляет уведомление надзорного органа в соответствии с применимыми требованиями о фактах утечки персональных данных.
8.4.Руководитель юридического департамента Оператора:
8.4.1. Осуществляет мониторинг законодательства и доведение до сведения заинтересованных лиц и подразделений информации об изменении правовых норм;
8.4.2. Обеспечивает правовую защиту интересов Оператора в судах и государственных органах по спорам, связанным с обработкой персональных данных, а также при рассмотрении административных дел, связанных с нарушением законодательства в указанной сфере.
9. Порядок и условия обработки персональных данных
9.1. Сбор ПДн
9.1.1. Сбор ПДн осуществляется непосредственно у самого субъекта ПДн. При сборе ПДн на страницах сайта Оператор предоставляет субъекту ПДн возможность ознакомиться с настоящей Политикой и дать согласие на обработку ПДн свободно, своей волей и в своем интересе.
9.1.2. Если в соответствии с законодательством Российской Федерации предоставление ПДн и (или) получение Оператором согласия на обработку ПДн являются обязательными, Оператор разъясняет субъекту ПДн юридические последствия отказа предоставить его ПДн и (или) дать согласие на их обработку.
9.1.3. Оператор не отказывает работникам в заключении трудового договора в случае отказа дать согласие на обработку ПДн, если в соответствии с законодательством Российской Федерации получение Оператором согласия на обработку ПДн не является обязательным.
9.2.Условия передачи ПДн третьим лицам.
9.2.1. Предоставление ПДн органам государственной власти, органам местного самоуправления, а также иным уполномоченным органам допускается в случаях и на основаниях, предусмотренных законодательством Российской Федерации.
9.2.2. Передача ПДн между подразделениями Оператора осуществляется только между работниками, имеющими доступ к ПДн субъектов.
9.2.3. Передача ПДн субъекта третьему лицу осуществляется только с согласия субъекта ПДн. В согласии субъекта ПДн указываются сведения о третьем лице (третьих лицах), которому (которым) передаются ПДн, а также цель передачи ПДн.
9.2.4. Передача ПДн или поручение обработки ПДн третьему лицу осуществляется на основании договора, существенными условиями которого являются соблюдение третьим лицом конфиденциальности и обеспечение безопасности ПДн в соответствии с требованиями Законодательства о ПДн.
9.2.5. При передаче ПДн третьим лицам, которые на основании договоров получают доступ или осуществляют обработку ПДн, Оператор ограничивает эту информацию только теми ПДн, которые необходимы для выполнения указанными лицами их функций (услуг, работ).
9.3.Трансграничная передача ПДн
Оператором может осуществляться трансграничная передача ПДн.
9.3.1. До начала трансграничной передачи ПДн Оператор определяет: — цели трансграничной передачи ПДн; — правовые основания трансграничной передачи ПДн; — категории субъектов ПДн; — состав передаваемых ПДн; — перечень иностранных государств, под юрисдикцией которых находятся иностранные получатели ПДн (органы государственной власти, юридические или физические лица).
9.3.2. Оператор уведомляет Роскомнадзор о намерении осуществлять трансграничную передачу ПДн.
9.3.3.Передача или поручение обработки ПДн иностранному получателю осуществляется с учетом условий и ограничений, установленных Законом № 152-ФЗ, нормативными правовыми актами Правительства Российской Федерации.
9.4.Хранение ПДн
9.4.1. Хранение ПДн осуществляется в информационных системах Оператора и на бумажных носителях.
9.4.2. Документы на бумажных носителях хранятся в специально выделенных помещениях Оператора, доступ к которым предоставляется работникам в соответствии с должностными обязанностями.
9.4.3. Резервные копии баз данных Оператора могут храниться в центре обработки данных (на основании договора поручения).
9.5.Прекращение обработки и уничтожение ПДн.
9.5.1. В случае выявления неправомерной обработки ПДн при обращении субъекта ПДн или его представителя либо по запросу субъекта ПДн или его представителя либо Роскомнадзора, Оператор в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, прекращает неправомерную обработку ПДн и в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки ПДн, уничтожает такие ПДн.
9.5.2. В случае отзыва субъектом согласия на обработку его ПДн Оператор прекращает такую обработку и в случае, если сохранение ПДн более не требуется для целей обработки ПДн, уничтожает ПДн в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва, если иное не предусмотрено законодательством Российской Федерации, нормами архивного хранения документов, содержащих ПДн, а также договором, стороной которого является субъект.
9.5.3. В случае обращения субъекта ПДн с требованием о прекращении обработки ПДн Оператор в срок, не превышающий 10 (десяти) рабочих дней с даты получения соответствующего требования, прекращает их обработку, за исключением случаев, предусмотренных законодательством Российской Федерации.
9.5.4. В случае утраты необходимости в достижении целей Оператор уничтожает обрабатываемые ПДн в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено законодательством Российской Федерации.
9.5.5. В случае достижения целей обработки ПДн, а также по истечении установленных сроков хранения ПДн Оператор уничтожает обрабатываемые ПДн в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено законодательством Российской Федерации.
10. Конфиденциальность персональных данных
10.1. Доступ к ПДн ограничивается в соответствии с законодательством Российской Федерации.
10.2. Доступ к обрабатываемым ПДн предоставляется только тем работникам Оператора, которым он необходим в связи с исполнением ими своих должностных обязанностей.
10.3. Работники Оператора, получившие доступ к ПДн, принимают на себя обязательства по обеспечению конфиденциальности и безопасности обрабатываемых ПДн.
10.4. Оператор не раскрывает третьим лицам и не распространяет ПДн без согласия на это субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации.
10.5. Третьи лица, получившие доступ к ПДн, или осуществляющие обработку ПДн по поручению Оператора, обязуются соблюдать требования договоров и соглашений с Оператором в части обеспечения конфиденциальности и безопасности ПДн.
11. Безопасность персональных данных
11.1. Оператором соответствующими распорядительными документами назначены лица, ответственные за организацию обработки и обеспечение безопасности ПДн.
11.2. В целях обеспечения безопасности ПДн Оператором выполняются следующие мероприятия:
— систематическая оценка угроз безопасности ПДн при их обработке в информационных системах ПДн;
— оценка причинения вреда и (или) нанесения ущерба субъектам ПДн в случае нарушения Законодательства о ПДн;
— определение необходимого уровня защищенности ПДн, обрабатываемых в информационных системах Оператора, в соответствии с постановлением Правительства РФ от 01.11.2012 г. №1119 «Об утверждении требований к защите ПДн при их обработке в информационных системах персональных данных»;
— разграничение доступа к информационным системам ПДн, материальным носителям (документам), съемным (машинным) носителям ПДн;
— регистрация и учет действий пользователей и администраторов информационных систем с ПДн, программными средствами информационных систем, съемными (машинными) носителями и средствами защиты информации;
— предотвращение внедрения в информационные системы Оператора вредоносных программ;
— использование защищенных каналов связи;
— резервирование и восстановление работоспособности технических средств и программного обеспечения, баз данных и средств защиты информационных систем;
— исключение возможности бесконтрольного прохода в офисы Оператора, а также в помещения, где размещены технические средства, позволяющие осуществлять обработку ПДн, а также хранятся носители ПДн;
— выявление инцидентов, связанных с нарушением требований по обработке и обеспечению безопасности ПДн, и реагирование на них;
— повышение уровня знаний работников Оператора в сфере обработки и обеспечения безопасности ПДн;
— проведение внутренних и внешних проверок (аудитов) соответствия безопасности ПДн требованиям настоящей Политики, внутренних документов Оператора, требованиям Законодательства о ПДн;
— оценка эффективности принимаемых мер по обеспечению безопасности ПДн и совершенствование системы защиты ПДн.
12. Порядок рассмотрения обращений субъектов персональных данных
12.1. Предоставление информации и/или принятие иных мер в связи с поступлением обращений и/или запросов от субъектов ПДн производится Оператором в объеме и сроки, предусмотренные Законом № 152-ФЗ. Установленный Законом № 152-ФЗ срок ответа субъекту на запрос о предоставлении информации, касающейся обработки его ПДн, может быть продлен не более чем на 5 (пять) рабочих дней в случае направления Оператором в адрес субъекта ПДн мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
12.2. Запрос, направляемый субъектом ПДн, должен содержать информацию, предусмотренную Законом № 152-ФЗ.
12.3. Оператор, получив обращение/запрос субъекта ПДн и убедившись в его законности предоставляет сведения, указанные в запросе, субъекту ПДн и/или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, и/или принимает иные меры в зависимости от специфики обращения/запроса. Предоставляемые Оператором сведения не должны содержать ПДн, принадлежащие другим субъектам ПДн, за исключением случаев, когда имеются законные основания для раскрытия таких ПДн.
12.4. Оператор вправе отказать субъекту ПДн в удовлетворении требований, указанных в обращении, путем направления субъекту ПДн или его представителю мотивированного отказа, если у Оператора в соответствии с законодательством Российской Федерации имеются законные основания отказать в выполнении/удовлетворении поступивших требований.
12.5. Оператором осуществляется контроль за приемом и обработкой обращений субъектов ПДн в целях обеспечения соблюдения прав и законных интересов субъектов ПДн, требований к срокам обработки обращений, обеспечения качества и полноты принятия мер в отношении законного требования субъекта ПДн и предоставления необходимой информации по его обращению в соответствии с Порядком работы с обращениями субъектов персональных данных или их представителей, и запросами уполномоченного органа по защите прав субъектов персональных данных.
13. Уведомление уполномоченного органа по защите прав субъектов персональных данных
13.1. В случаях, установленных Законом № 152-ФЗ, Оператор направляет в Роскомнадзор уведомление об обработке ПДн, а также уведомление о намерении осуществлять трансграничную передачу ПДн.
13.2. В случае изменений сведений об обработке ПДн и осуществлении трансграничной передачи ПДн Оператора уведомляет об этом Роскомнадзор в порядке и сроки, установленные Законом № 152- ФЗ.
13.3. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, Оператор с момента выявления такого инцидента, уведомляет Роскомнадзор:
— в течение 24 (двадцати четырех) часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов ПДн, и предполагаемом вреде, нанесенном правам субъектов ПДн, о принятых мерах по устранению последствий соответствующего инцидента, а также о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором, по вопросам, связанным с выявленным инцидентом;
— в течение 72 (семидесяти двух) часов о результатах внутреннего расследования выявленного инцидента, а также о лицах, действия которых стали причиной выявленного инцидента (при наличии).
13.4. Оператор сообщает по запросу Роскомнадзора необходимую информацию в течение 10 (десяти) рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Оператором в адрес Роскомнадзора мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
14. Заключительные положения
14.1. Настоящая Политика подлежит пересмотру и совершенствованию на регулярной основе в случаях изменения законодательства Российской Федерации или внутренних документов Оператора, определяющих порядок обработки и защиты ПДн.
14.2. Контроль исполнения требований настоящей Политики осуществляется лицами, ответственными за организацию обработки и обеспечение безопасности ПДн Оператора.
14.3. Ответственность должностных лиц Оператора, имеющих доступ к ПДн, за невыполнение требований и норм, регулирующих обработку и защиту ПДн, определяется в соответствии с законодательством Российской Федерации и внутренними нормативным документами Оператора.
15. Контактная информация
ОГРН: 1227700449910
Юридический адрес: 124489, город Москва, г Зеленоград, Сосновая аллея, д. 6а стр. 1, этаж/ком. 3/22
ИНН/КПП: 7735195743/773501001