4. Порядок и условия обработки персональных данных
4.1. Персональные данные субъектов обрабатываются для достижения целей, предусмотренных Политикой.
4.2. Оператор обрабатывает персональные данные только при условии получения согласия субъекта персональных данных, выраженного в любой форме, позволяющей подтвердить факт получения согласия.
4.3. Персональные данные субъектов Оператор получает непосредственно от субъекта персональных данных. Если персональные данные субъекта возможно получить только у третьей стороны, то субъект персональных данных предварительно уведомляется об этом и от него получается письменное согласие.
4.4. Обработка персональных данных субъектов осуществляется:
4.4.1. непосредственно Оператором;
4.4.2. третьими лицами на основании договора, заключаемого с Оператором и по его поручению.
4.4.2.1. При обработке персональных данных субъектов третьими лицами, они обязуются соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом №152-ФЗ «О персональных данных».
4.4.2.2. Третье лицо не обязано получать согласие субъекта персональных данных на обработку его персональных данных. Если для обработки персональных данных по поручению Оператора необходимо получение согласия субъекта персональных данных, такое согласие получает Оператор.
4.4.2.3. Для каждого третьего лица в договоре и/или поручении будут определены:
- перечень обрабатываемых персональных данных;
- цели их обработки;
- перечень действий (операций), которые будут совершаться с персональными данными;
- обязанности третьего лица по соблюдению конфиденциальности и обеспечению безопасности персональных данных при их обработке, а также перечень принимаемых третьим лицом мер по обеспечению защиты обрабатываемых им персональных данных, включая требование об уведомлении Оператора об инцидентах с персональными данными;
- обязанность по запросу Оператора в течение срока действия договора/поручения на обработку персональных данных предоставлять Оператору документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения Оператора требований, установленных Федеральным законом № 152-ФЗ «О персональных данных».
4.5. Передача персональных данных органам дознания и следствия, в Федеральную налоговую службу, Пенсионный фонд Российской Федерации, Фонд социального страхования и другие уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.
4.6. Оператор вправе передавать персональные данные третьим лицам с согласия субъекта персональных данных, а также в случаях, когда возможность передачи персональных данных третьим лицам прямо предусмотрена законодательством Российской Федерации и не требует согласия субъекта персональных данных. Также Оператор вправе передавать персональные данные третьим лицам при исполнении договорных обязательств, если стороной договора, выгодоприобретателем является субъект персональных данных.
4.7. Персональные данные субъектов могут обрабатываются:
- с использованием средств автоматизации;
- без использования средств автоматизации;
- смешанная обработка (как с использованием средств автоматизации, так и без).
4.8. Персональные данные субъектов без использования средств автоматизации (на бумажном носителе) могут обрабатываются следующим образом:
- создание оригиналов документов;
- копирование оригиналов;
- внесение сведений в учетные формы;
- иные способы, допустимые без использования средств автоматизации.
4.9. Персональные данные субъектов с использованием средств автоматизации (в электронном виде) могут обрабатываются следующим образом:
- создание файлов;
- копирование файлов;
- внесение сведений в учетные формы автоматизированных систем, установленных у Оператора;
- иные способы, допустимые при использовании средств автоматизации.
4.10. Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требует каждая цель обработки персональных данных, если срок хранения персональных данных не установлен законодательством РФ, договором.
4.11. Оператор прекращает обработку персональных данных (в отношении любой из заявленных выше целей) в случаях:
- достижения целей обработки персональных данных;
- истечения срока действия согласия или отзыв согласия субъектом на обработку его персональных данных;
- выявления неправомерной обработки персональных данных;
- ликвидации Оператора;
- реорганизации Оператора, влекущая прекращение его деятельности;
- иных случаях, установленных законодательством РФ.
5. Актуализация, исправление, удаление, уничтожение персональных данных,
ответы на запросы субъектов на доступ к персональным данным
5.1. Подтверждение факта обработки персональных данных Оператором, правовые основания и цели обработки персональных данных, а также иные сведения предоставляются Оператором субъекту персональных данных или его представителю в течение 10 (десяти) рабочих дней с момента обращения либо получения запроса субъекта персональных данных или его представителя. Срок может быть продлен, но не более чем на 5 (пять) рабочих дней. Для этого Оператор направляет субъекту персональных данных мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации.
5.2. Запрос должен содержать:
· номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи документа и выдавшем его органе;
· сведения, подтверждающие факт обработки персональных данных Оператором;
· подпись субъекта персональных данных или его представителя.
5.3. Оператор предоставляет запрошенные сведения субъекту персональных данных или его представителю в той форме, в которой направлены запрос, если иное не указано в запросе.
5.4. В случае выявления неточных персональных данных Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных на период проверки.
В случае подтверждения факта неточности персональных данных Оператор на основании поступивших сведений уточняет персональные данные в течение семи рабочих дней со дня представления поступивших сведений и снимает блокирование персональных данных.
5.5. В случае выявления неправомерной обработки персональных данных Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекта персональных данных.
5.6. В случае достижения цели обработки персональных данных Оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение и уничтожить персональные данные или обеспечить их уничтожение.
В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Оператор обязан прекратить их обработку или обеспечить прекращение такой обработки и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение
Срок уничтожения персональных данных не может превышать тридцати дней с даты достижения цели или с даты поступления отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных законодательством.
5.7. При обращении субъекта персональных данных к Оператору с требованием о прекращении обработки персональных данных в срок, не превышающий 10 (десяти) рабочих дней с даты получения Оператором соответствующего требования, обработка персональных данных прекращается, за исключением случаев, предусмотренных законодательством.
Срок может быть продлен, но не более чем на 5 (пять) рабочих дней. Для этого Оператору необходимо направить субъекту персональных данных мотивированное уведомление с указанием причин продления срока.
5.8. В случае отсутствия возможности уничтожения персональных данных в течение установленного срока, Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен законодательством.
5.9. Порядок и способы уничтожения персональных данных устанавливаются в локальных нормативных актах Оператора.
6. Защита персональных данных
6.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в частности:
6.1.1. принимает меры, необходимые и достаточные для обеспечения выполнения требований законодательства Российской Федерации, внутренних документов и локальных нормативных актов Оператора в области персональных данных;
6.1.2. разрабатывает и утверждает локальные нормативные акты и иные документы, регулирующие отношения в сфере обработки и защиты персональных данных;
6.1.3. назначает лицо, ответственное за организацию обработки персональных данных;
6.1.4. создает необходимые условия для работы с персональными данными;
6.1.6. осуществляет ознакомление работников Оператора непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации, внутренних документов и локальных нормативных актов Оператора в области персональных данных;
6.1.7. хранит персональные данные в условиях, при которых обеспечивается их сохранность и исключается неправомерный доступ к ним.
7. Прочие положения
7.1. Оператор обеспечивает неограниченный доступ к Политике путём опубликования её в свободном доступе на сайте Оператора.
7.2. Оператор вправе вносить изменения в Политику, в том числе, для отражения изменения объема и категорий, обрабатываемых персональных данных, а также при изменении законодательства. Новая редакция Политики вступает в силу с момента ее опубликования, если в ней не указан иной срок ее вступления в силу.