Политика обработки персональных данных в ООО "Кубик"

Оглавление

1. Назначение и область применения 3

2. Термины, определения и сокращения 4

3. Принципы обработки персональных данных 6

4. Цели, категории субъектов, состав и сроки обработки персональных данных 7

5. Категории субъектов ПДн, объем и категории персональных данных 8

6. Порядок, условия обработки персональных данных 10

7. Обеспечение конфиденциальности персональных данных 14

8. Права и обязанности субъекта персональных данных 14

9. Обязанности общества 15

10. Правила доступа к персональным данным 16

11. Требования к лицам, допущенным к обработке персональных данных 17

12. Меры по обеспечению безопасности персональных данных при их обработке 17

13. Ответственность за нарушения при обработке персональных данных 18

14. Особенности обработки персональных данных работников 18

15. Особенности обработки ПДн с использованием сайта и cookie-файлов 19

Назначение и область применения

• 1. Настоящая Политика обработки персональных данных в ООО «Кубик» (далее по тексту – Политика) определяет порядок обработки персональных данных (далее – ПДн) в ООО «Кубик» (далее – Общество, Оператор), категории и объем обрабатываемых ПДн, права и обязанности Cубъектов ПДн и Оператора при обработке ПДн, категории Субъектов ПДн, цели обработки ПДн, принципы и условия обработки ПДн, меры по защите ПДн, а также порядок актуализации, исправления и удаления ПДн.
  2. Настоящая Политика разработана в соответствии с действующим законодательством Российской Федерации о персональных данных и нормативно-методическими документами исполнительных органов государственной власти по вопросам безопасности ПДн, в том числе при их обработке в информационных системах ПДн (далее – ИСПДн) и определяет работу Обществу как Оператора, осуществляющего обработку ПДн.
  3. В соответствии с Федеральным законом от 27.07.2006 № 152 «О персональных данных» (далее – ФЗ «О персональных данных»), к настоящей Политике должен быть обеспечен неограниченный доступ Субъектов ПДн, в том числе путем публикации на сайте Общества в сети Интернет.
  4. Действие настоящей Политики по обработке персональных данных распространяется на все процессы по сбору, записи, систематизации, накоплению, хранению, уточнению, извлечению, использованию, передаче (распространению, предоставлению, доступу), обезличиванию, блокированию, удалению, уничтожению персональных данных, осуществляемых с использованием средств автоматизации и без использования таких средств и обязательно для исполнения всеми работниками Общества.
  5. Детальный порядок защиты персональных данных, включая меры организационного и технического характера, процедуры работы с различными категориями субъектов ПДн, формы согласий и требования к информационным системам, установлен Регламентом защиты персональных данных (Приложение № 6).

Термины, определения и сокращения

Принципы обработки персональных данных

1. Обработка ПДн в Обществе осуществляется с учетом необходимости обеспечения защиты прав и свобод Субъектов ПДн в соответствии со следующими принципами:
   • 1. Обработка ПДн осуществляется на законной и справедливой основе.
     2. Обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора персональных данных.
     3. Не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместных между собой.
     4. Обработке подлежат только те ПДн, которые отвечают целям их обработки.
     5. Содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки. Обрабатываемые ПДн не являются избыточными по отношению к заявленным целям обработки.
     6. При обработке ПДн обеспечивается точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к заявленным целям их обработки.
     7. Молчание или бездействие Субъекта ПДн ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных Субъектом ПДн для распространения.
     8. Хранение ПДн осуществляется в форме, позволяющей определить Субъекта ПДн не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен законодательством Российской Федерации или договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект ПДн. Обрабатываемые ПДн подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации.
2. Обработка ПДн осуществляется с соблюдением принципов и правил, установленных ФЗ «О персональных данных» и допускается в следующих случаях:
   • 1. с согласия Субъекта ПДн на обработку его ПДн.
     2. для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей.
     3. в связи с участием в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах, а также для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве.
     4. для исполнения договора, стороной которого, либо выгодоприобретателем или поручителем, по которому является Субъект ПДн, а также для заключения договора по инициативе Субъекта ПДн или договора, по которому Субъект ПДн будет являться выгодоприобретателем или поручителем.
     5. для защиты жизни, здоровья или иных жизненно важных интересов Субъекта ПДн, если получение согласия Субъекта ПДн невозможно.
     6. для осуществления прав и законных интересов Оператора или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы Субъекта ПДн.
     7. в статистических или иных исследовательских целях, при условии обязательного обезличивания ПДн. Исключение составляет обработка ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи.
     8. при обработке ПДн, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации.
3. В следующих случаях (за исключением специально обговоренных в ФЗ
   «О персональных данных» случаев) требуется письменное согласие Субъекта на обработку его ПДн:
   • 1. включение ПДн Субъекта в общедоступные источники ПДн;
     2. обработка специальных категорий ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни;
     3. обработка биометрических ПДн (сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности Субъекта ПДн);
     4. принятие на основании исключительно автоматизированной обработки ПДн решений, порождающих юридические последствия в отношении Субъекта ПДн или иным образом затрагивающих его права и законные интересы;
     5. поручение обработки ПДн другому лицу на основании заключаемого с этим лицом договора, если иное не предусмотрено законодательством РФ (в соответствии с ч. 3 ст. 6 ФЗ «О персональных данных»).
4. Приложение № 1 к настоящей Политике содержит форму письменного согласия Субъекта на обработку его ПДн.
5. Обработка ПДн субъекта, разрешенных им для распространения, осуществляется на основании отдельного согласия Субъекта ПДн с соблюдением запретов и условий, установленных ФЗ «О персональных данных».
6. Приложение № 2 к настоящей Политике содержит форму письменного согласия Субъекта на распространение его ПДн.
7. При отсутствии необходимости получения согласия Субъекта на обработку ПДн в письменной форме, установленной ФЗ «О персональных данных», согласие Субъекта может быть дано Субъектом ПДн или его представителем в любой позволяющей подтвердить факт получения согласия форме, в том числе в электронном виде.
8. Общество вправе поручить обработку ПДн другому лицу с согласия Субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации, на основании заключаемого с этим лицом договора (далее – поручение оператора). Лицо, осуществляющее обработку ПДн по поручению Общества, обязано соблюдать принципы и правила обработки ПДн, предусмотренные настоящей Политикой и ФЗ «О персональных данных».
9. В случае, если Общество поручает обработку ПДн другому лицу, ответственность перед Субъектом ПДн за действия указанного лица несет Общество. Лицо, осуществляющее обработку ПДн по поручению Общества, несет ответственность перед Обществом.
10. Общество и иные лица, получившие доступ к ПДн, обязаны не раскрывать третьим лицам и не распространять ПДн без согласия Субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации.

Цели, категории субъектов, состав и сроки обработки персональных данных

1. Детализация целей, категорий субъектов, состава ПДн, способов обработки, сроков хранения и порядка уничтожения для каждой цели отражена во внутреннем Реестре обработки ПДн Общества (Приложение № 3), который ведется в соответствии с требованиями ст. 18.1 ФЗ «О персональных данных» и подлежит регулярной актуализации. Основными систематическими целями обработки ПДн в Обществе являются:

• Ведение кадрового и бухгалтерского учета (обеспечение соблюдения трудового, пенсионного, страхового и налогового законодательства РФ, исполнение обязательств по трудовому договору).
• Подбор персонала (соискателей) на вакантные должности Оператора.
• Обеспечение пропускного режима и физической безопасности на объектах Оператора.
• Подготовка, заключение и исполнение договоров гражданско-правового характера с физическими лицами.
• Продвижение товаров, работ, услуг на рынке, проведение маркетинговых акций, опросов и исследований, предоставление информации об услугах.
• Обеспечение прохождения ознакомительной, производственной или преддипломной практики на основании договора с учебным заведением.
• Добровольное медицинское страхование и предоставление работникам и членам их семей дополнительных гарантий и компенсаций.
• Осуществление брокериджа, управления договорами и взаимодействия с контрагентами в рамках уставной деятельности.
• Осуществление электронного документооборота, анкетирования, идентификации и подписания документов с использованием средств электронной подписи.
• Выявление случаев мошенничества, иных противоправных действий, предотвращение таких действий и локализация последствий
• Исполнение судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством РФ
• Осуществление прав и законных интересов Оператора в рамках управления проектами, строительства, управления недвижимым имуществом и консультирования
• Создание условий для эффективного взаимодействия работников, их профессиональной подготовки и переподготовки
• Формирование справочных материалов для внутреннего информационного обеспечения деятельности Оператора (корпоративные справочники).
• в иных целях, разрешенных законодательством Российской Федерации.

1. Детализация мер защиты ПДн для каждой из указанных целей, а также порядок работы с конкретными категориями субъектов определяется Регламентом защиты персональных данных (Приложение № 6).
2. Режим конфиденциальности в отношении ПДн не ограничивается установленным сроком. Обязанность по обеспечению конфиденциальности ПДн действует до момента их уничтожения по достижении целей обработки или наступления иных законных оснований, предусмотренных ФЗ «О персональных данных».

Категории субъектов персональных данных, объем и категории персональных данных

1. Общество осуществляет обработку ПДн следующих категорий Субъектов ПДн:

• работники, бывшие работники Общества, члены их семей, близкие родственники;
• физические лица, входящие в органы управления Общества (члены Совета директоров, Правления, Ревизионной комиссии, акционеры Общества и др.);
• кандидаты на замещение должностей в Обществе;
• физические лица, осуществляющие выполнение работ, оказание услуг и заключившие с Обществом договор гражданско-правового характера;
• физические лица, являющиеся работниками компаний, с которыми Обществом заключены договоры;
• физические лица, персональные данные которых разрешены Субъектами ПДн для распространения, а их обработка не нарушает их прав и соответствует требованиям, установленным законодательством Российской Федерации;
• иные физические лица, выразившие согласие на обработку Обществом их ПДн или физические лица, обработка ПДн, которых необходима Обществу для достижения целей обработки, предусмотренных в разделе 4 настоящей Политики.

1. В зависимости от целей, указанных в разделе 4 настоящей Политики, в Обществе могут обрабатываться следующие виды ПДн Субъектов ПДн:

• фамилия, имя, отчество (при наличии), а также прежние фамилия, имя, отчество (при наличии), дата и место их изменения (в случае изменения);
• сведения о гражданстве;
• год, число, месяц и место рождения;
• пол;
• фотографическое изображение;
• вид, серия, номер документа, удостоверяющего личность, дата выдачи, наименование органа, выдавшего его;
• адрес и дата регистрации по месту жительства (месту пребывания), адрес фактического - проживания;
• патент (разрешение на работу), миграционная карта, вид на жительство;
• номер контактного телефона или сведения о других способах связи, в том числе адрес электронной почты;
• профессия;
• сведения об образовании (когда и какие образовательные, научные и иные организации окончил, номера документов об образовании, направление подготовки или специальность по документу об образовании, квалификация);
• ученая степень, ученое звание;
• серия, номер, дата выдачи документа о повышении квалификации, переподготовке;
• страховой номер индивидуального лицевого счета, принятый в соответствии с законодательством Российской Федерации об индивидуальном (персонифицированном) учете, в системе обязательного пенсионного страхования (при наличии) (СНИЛС);
• идентификационный номер налогоплательщика;
• должность;
• условия трудового договора;
• размер должностного оклада;
• семейное положение и состав семьи;
• сведения о родственниках (жена (муж), в том числе бывших, отец, мать, усыновители, усыновленные, полнородные и неполнородные (имеющие общих отца или мать) братья и сестры, дети), включая степень родства, фамилию, имя, отчество, число, месяц, год и место рождения, гражданство, место работы, должность, адрес места жительства;
• сведения о родственниках, постоянно проживающих (проживавших) за границей (в том числе в связи с работой либо обучением), с указанием фамилии, имени, отчества, степени родства, периода проживания за границей;
• сведения о судимости и/или о привлечении к административной ответственности;
• номер, серия заграничного паспорта, кем и когда выдан;
• информацию о награждении корпоративными, отраслевыми и государственными наградами (номера наград и номера документов, подтверждающих их получение);
• социальные льготы, на которые работник имеет право в соответствии с законодательством Российской Федерации;
• основания для получения льгот;
• сведения о выполняемой работе с начала трудовой деятельности (включая учебу в высших и средних учебных заведениях, военную службу, работу по совместительству, предпринимательскую деятельность и т.п.), с указанием месяца и года приема и увольнения, должности, наименования организации, ее фактический и юридический адрес;
• общий стаж работы;
• опыт работы в профильной сфере;
• сведения об инвалидности и реквизиты подтверждающих документов (справки медико-социальной экспертизы) - обрабатываются в целях предоставления льгот и гарантий, предусмотренных трудовым законодательством РФ;
• сведения о состоянии здоровья - обрабатываются исключительно в объеме, необходимом для решения вопроса о возможности выполнения трудовой функции, прохождения обязательных медицинских осмотров, оформления листков нетрудоспособности, а также в иных случаях, прямо предусмотренных ТК РФ и иными федеральными законами;
• военно-учетные данные работника, включая: категорию запаса; воинское звание; состав (профиль); военно-учетную специальность; годность к военной службе по состоянию здоровья; наименование военного комиссариата по месту жительства; прохождение военной или альтернативной гражданской службы; пребывание в мобилизационном людском резерве;
• сведения о владении иностранными языками, уровень владения;
• иные ПДн, необходимые для достижения целей, предусмотренных разделом 4 настоящей Политики.

1. Общество может создавать внутренние справочные системы, материалы, в которые с письменного согласия Субъекта ПДн, могут включаться в том числе ПДн, указанные в п. 5.2 настоящей Политики.

Порядок, условия обработки персональных данных

6.1. Обработка ПДн в ИСПДн включает в себя любое действие (операцию) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств, включая в том числе процессы:

• сбор ПДн;
• запись ПДн;
• систематизация ПДн;
• накопление ПДн;
• использование ПДн;
• хранение ПДн;
• передача (распространение, предоставление, доступ) ПДн;
• уточнение (обновление, изменение) ПДн;
• блокирование ПДн;
• удаление ПДн;
• уничтожение ПДн.

Сбор, запись, систематизация, накопление, уточнение (обновление, изменение) ПДн осуществляется посредством:

• получения оригиналов документов или их копий; копирования оригиналов документов;
• внесения сведений в учетные формы на бумажных и электронных носителях;
• создания документов, содержащих ПДн, на бумажных и электронных носителях;
• внесения ПДн в информационные системы персональных данных (ИСПДн).

6.1.1. При сборе ПДн Общество руководствуется следующими правилами:

• • • 1. ПДн по возможности следует получает лично у Субъектов ПДн, за исключением случаев получения ПДн из общедоступных источников (в том числе справочников, адресных книг). В случае получения ПДн от третьих лиц эти, данные могут быть получены только на основании договора с этими третьими лицами или же по основаниям, предусмотренным законодательством Российской Федерации.
      2. При сборе ПДн получать согласие на обработку персональных данных Субъекта ПДн. Случаи, когда обработка ПДн может осуществляться без согласия Субъекта ПДн, приведены в подпунктах 3.2.2-3.2.7 пункта 3.2 настоящей Политики.
      3. При отсутствии письменного согласия запрещается получать, обрабатывать и приобщать к личному делу работника данные о его расовой, национальной принадлежности, политических, религиозных и иных убеждениях, частной жизни, членстве в общественных объединениях, в том числе в профессиональных союзах, состоянии здоровья, интимной жизни. Исключение составляют следующие случаи:
• обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях;
• обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов Субъекта ПДн либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия Субъекта ПДн невозможно;
• обработка персональных данных необходима для установления или осуществления прав Субъекта ПДн или третьих лиц, а равно и в связи с осуществлением правосудия.
  • • 1. Если персональные данные получены не от Субъекта ПДн, до начала обработки таких ПДн Оператор обязан обеспечить предоставление Субъекту ПДн информации, предусмотренной ч. 7 ст. 18 ФЗ-152.

Уведомление Субъекта ПДн может быть осуществлено:

• непосредственно Оператором - посредством направления заказного письма по адресу, указанному в полученных данных, электронного письма по адресу электронной почты, полученному от третьего лица, либо через интерфейс ИСПДн;
• третьим лицом, передавшим ПДн, - по поручению Оператора на основании договора, при условии, что такой договор содержит гарантии того, что Субъект ПДн был надлежащим образом уведомлен и дал согласие на передачу его данных Оператору.
  • • 1. Уведомление Субъекта об обработке ПДн, полученных не от него самого, не производится в следующих случаях:
• Субъект ПДн уведомлен об осуществлении обработки его ПДн соответствующим Оператором. В том числе в случае, когда данные обрабатываются на основании договора поручения другого Оператора ПДн;
• ПДн получены Оператором на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем, по которому является Субъект ПДн.
  • • 1. В Обществе обрабатываются только ПДн, которые удовлетворяют вышеприведенным правилам их получения.

6.1.2. Использование ПДн

Использование ПДн, собранных в соответствии с разделом 6.1.1., осуществляется работниками подразделений, допущенных к работе с ПДн.

6.1.3. Хранение ПДн в ИСПДн

• • • 1. Хранение ПДн в информационных системах Общества осуществляется в соответствии со следующими требованиями:
• хранение ПДн осуществляется таким образом, чтобы в отношении каждой категории ПДн можно было определить места их хранения.
• хранение персональных данных осуществляется в форме, позволяющей определить Субъекта ПДн, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен законодательством Российской Федерации, договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект ПДн. Обрабатываемые персональные данные уничтожаются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации.
• запрещается несанкционированное копирование ПДн на отчуждаемые носители информации.
• при хранении ПДн соблюдаются условия, обеспечивающие конфиденциальность и сохранность ПДн.
• несанкционированный доступ к ПДн исключен. Доступ должен быть разрешен только в рамках выполнения должностных обязанностей или в рамках договора соответственно.
• хранение документов, представленных в электронном виде, на автоматизированных рабочих местах работников запрещено. Хранение вышеуказанных документов осуществляется в ИСПДн, в специально выделенных разделах, доступ пользователей к которым ограничен.
• ПДн на бумажных носителях хранятся в Обществе в течение сроков хранения документов, для которых сроки хранения предусмотрены ФЗ от 22.10.2004
  № 125-ФЗ «Об архивном деле в Российской Федерации».
• ИСПДн, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), а также извлечение ПДн граждан Российской Федерации находятся на территории Российской Федерации.
• перечень информационных систем, используемых для обработки ПДн, а также состав обрабатываемых в них ПДн, определяется в Реестре обработки ПДн
  (Приложение № 3). Организационные и технические меры защиты, применяемые в ИСПДн, определяются в соответствии с Регламентом защиты персональных данных
  (Приложение № 6).
• Хранение журналов доступа, логов информационных систем и корпоративной переписки после прекращения трудовых отношений с работниками осуществляется в целях обеспечения информационной безопасности Общества, расследования инцидентов и защиты законных интересов Общества. Сроки хранения таких данных определяются внутренними нормативными актами Общества в сфере информационной безопасности.
  • • 1. Работники Общества, обладающие правом доступа к ПДн, несут ответственность за хранение ПДн на своих рабочих местах, включая автоматизированное рабочее место.

6.1.4. Передача (распространение, предоставление, доступ) ПДн

• • • 1. Распространение ПДн возможно в следующих случаях:
• если ПДн разрешены Субъектом для распространения на основании отдельного письменного согласия Субъекта ПДн;
• в рамках исполнения законодательства Российской Федерации.
  • • 1. Предоставление ПДн возможно в следующих случаях:
• осуществление работниками должностных обязанностей, связанных с обработкой ПДн.
• в рамках исполнения законодательства Российской Федерации.
• в случаях передачи ПДн третьим лицам, осуществляющим обработку ПДн по поручению Оператора (Приложение № 4) на основании заключенного договора, в соответствии с ч. 3 ст. 6 ФЗ «О персональных данных».
  • • 1. При предоставлении ПДн работниками Обществу соблюдаются следующие правила:
• несанкционированный доступ к ПДн в процессе предоставления исключен.
• предоставление ПДн возможно только в том случае, если обеспечивается конфиденциальность передаваемой информации. Если Общество на основании договора поручает обработку ПДн другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности и безопасности ПДн при их обработке.
• предоставление ПДн Субъекта ПДн третьей стороне осуществляется с письменного согласия Субъекта ПДн, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью Субъекта ПДн, или же исполнения договора, стороной которого, выгодоприобретателем, поручителем является Субъект ПДн, а также случаях, предусмотренных Трудовым кодексом Российской Федерации и иными федеральными законами;
• предоставление ПДн Субъекта ПДн представителям Субъектов ПДн осуществляется в порядке, установленном законодательством Российской Федерации. Передаваемые ПДн должны являться минимально необходимыми для выполнения указанными представителями их функций.
  • • 1. Общество не осуществляет трансграничную передачу персональных данных.

Уточнение, блокирование и уничтожение ПДн

Порядок, основания, сроки и способы уничтожения ПДн определяются Регламентом уничтожения персональных данных (Приложение № 5). Уничтожение ПДн на бумажных носителях осуществляется в порядке, предусмотренном Методикой организации оперативного и архивного хранения в ООО «Новомолл» (Раздел 4.8). Уничтожение ПДн в информационных системах осуществляется с оформлением Акта и выгрузкой системного журнала в соответствии с требованиями Приказа Роскомнадзора от 28.10.2022 № 179.

• • • 1. В случае выявления неточных ПДн, Субъект ПДн информирует о данном факте ответственного за организацию обработки ПДн.
      2. В случае уточнения (изменения) ПДн, извещаются третьи лица, которым ранее были сообщены или переданы неверные либо неполные ПДн, обо всех исключениях, исправлениях и дополнениях в них.
      3. Об устранении допущенных нарушений или об уничтожении ПДн производится уведомление Субъекта ПДн или его законного представителя, которые обратились в Общество с соответствующим заявлением.
      4. ПДн уничтожаются в ИСПДн в 30-дневный срок (если иное не оговорено согласием Субъекта ПДн) по достижении целей их обработки, либо в случае утраты необходимости в достижении этих целей или отзыва Субъектом ПДн согласия на обработку своих ПДн, за исключением случаев, предусмотренных законодательством Российской Федерации, обязывающим Оператора обеспечить хранение таких данных (в т.ч. в рамках исполнения требований налогового, бухгалтерского законодательства и ФЗ «Об архивном деле в РФ»). Уничтожение осуществляется в порядке, установленном Регламентом уничтожения ПДн.
      5. Уничтожение ПДн после окончания периода хранения может выполняться в автоматизированном или ручном режиме.
      6. В случае невозможности устранения допущенных нарушений, либо в случае отзыва Субъектом ПДн согласия на обработку своих ПДн, персональные данные уничтожаются в ручном режиме.
      7. В Обществе приказом Генерального директора назначен ответственный за организацию обработки ПДн.
      8. Уничтожение ПДн в ручном режиме оформляется Актом об уничтожении ПДн по форме, утвержденной Регламентом уничтожения ПДн.
      9. Уничтожение ПДн автоматизированным способом в ИСПДн (в том числе массовое удаление записей по истечении сроков хранения или неактивных пользователей) оформляется единым Актом об уничтожении ПДн за соответствующий период. Подтверждением служит автоматизированная выгрузка из журнала регистрации событий ИСПДн, являющаяся неотъемлемой частью Акта. Допускается автоматизированное формирование самого Акта средствами ИСПДн. Акты и выгрузки из журналов хранятся у Оператора не менее 3 (трех) лет в соответствии с требованиями Приказа Роскомнадзора от 28.10.2022 № 179 и Регламентом уничтожения ПДн.

В случае получения от Субъекта ПДн согласия на распространение его ПДн, Оператор публикует информацию об условиях обработки и о наличии запретов и условий на обработку ПДн, разрешенных Субъектом ПДн для распространения.

Обеспечение конфиденциальности Персональных данных

• 1. Общество и иные лица, обладающие правом доступа к ПДн (в рамках выполнения должностных обязанностей или в рамках договора соответственно), обязаны не раскрывать третьим лицам и не распространять ПДн без согласия Субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации.
  2. Для обеспечения защиты ПДн от неправомочных действий выполняются следующие организационные меры:
• обеспечение знания работниками требований, принятых в Обществе и обязательных для ознакомления и исполнения соответствующей категорией работников нормативно-методических документов по защите информации, в том числе ПДн;
• своевременное выявление нарушений работниками подразделений требований к режиму конфиденциальности;
• подписание обязательства о неразглашении ПДн, либо заключение дополнительных соглашений к трудовым договорам со всеми работниками, в том числе принимаемыми на работу, деятельность которых связана с получением, обработкой и защитой персональных данных;
• разделение полномочий пользователей в информационных системах в зависимости от их должностных обязанностей;
• наличие формализованной процедуры по предоставлению доступа к ИСПДн, а также по регулярному пересмотру (ревизии) прав доступа работников в зависимости от занимаемой ими должности и должностных обязанностей.
  1. Общество может предоставлять (передавать) ПДн своих работников и клиентов на обработку третьим лицам (принимающей стороне), только на основании договора и при необходимости для достижения целей обработки ПДн, причем существенным условием договора является обязанность обеспечения третьей стороной конфиденциальности ПДн и безопасности ПДн при их обработке.

Права и обязанности субъекта персональных данных

• 1. Субъект ПДн вправе требовать от Общества уточнения своих ПДн, их блокирования или уничтожения в случаях, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законодательством Российской Федерации меры по защите своих прав. Указанные права Субъекта ПДн реализуются с учетом требований законодательства Российской Федерации, устанавливающих обязательные сроки хранения документов (в т.ч. в целях исполнения требований налогового, бухгалтерского, трудового законодательства, законодательства об архивном деле).
  2. Субъект ПДн имеет право на получение информации, касающейся обработки его ПДн, в том числе содержащей:
• Подтверждение факта обработки ПДн.
• Правовые основания и цели обработки ПДн.
• Цель и применяемые способы обработки ПДн.
• Наименование и место нахождения Общества, сведения о лицах (за исключением работников Общества), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Обществом или на основании ФЗ «О персональных данных».
• Обрабатываемые ПДн, относящиеся к соответствующему Субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен ФЗ «О персональных данных».
• Сроки обработки ПДн, в том числе сроки их хранения.
• Порядок осуществления Субъектом ПДн прав, предусмотренных ФЗ «О персональных данных».
• Наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Общества, если обработка поручена или будет поручена такому лицу по договору.
• Иные сведения, предусмотренные ФЗ «О персональных данных» или другими федеральными законами.
  1. Субъект ПДн вправе:
• получать информацию, касающуюся обработки его персональных данных, согласно ст. 14 ФЗ «О персональных данных»;
• требовать исключения или исправления неверных либо неполных ПДн, а также данных, обработанных с нарушением Трудового кодекса Российской Федерации и ФЗ «О персональных данных»;
• требовать извещения всех лиц, которым ранее были сообщены неверные или неполные ПДн, обо всех произведенных в них исключениях, исправлениях или дополнениях;
• отозвать свое согласие на обработку персональных данных по достижению цели обработки или в любое время до ее достижения;
• в согласии на распространение ПДн определять перечень ПДн по каждой категории, разрешенных для распространения с возможностью установки запрета на обработку и условий обработки в соответствии с ФЗ «О персональных данных».
• обжаловать в суде любые неправомерные действия или бездействия, допущенные при обработке и защите их ПДн.
  1. Субъекты ПДн, данные которых обрабатываются в Обществе, обязаны:
• сообщать достоверную информацию о себе и предоставлять документы, содержащие ПДн, состав которых установлен законодательством Российской Федерации и локальными нормативными документами Общества в объеме, необходимом для цели обработки;
• в течение 7 (Семи) рабочих дней с даты изменения ПДн /документов, содержащих ПДн, сообщать Обществу об уточнении (обновлении, изменении) своих ПДн.
• при предоставлении работником персональных данных членов своей семьи или близких родственников (в т.ч. для целей получения налоговых вычетов, оформления ДМС, получения социальных льгот) работник обязуется предоставить Оператору надлежащим образом оформленные оригиналы или заверенные копии письменных согласий указанных лиц на обработку их персональных данных Оператором. Оператор не осуществляет обработку ПДн третьих лиц до момента получения и проверки таких документов. Работник несет дисциплинарную и иную предусмотренную законодательством РФ ответственность за подлинность, достоверность и актуальность предоставленных им документов-согласий.

Обязанности Общества

В соответствии с требованиями ФЗ «О персональных данных» Общество обязано:

• Предоставлять Субъекту ПДн по его запросу информацию, касающуюся обработки его ПДн, либо на законных основаниях предоставить отказ.
• По требованию Субъекта ПДн уточнять обрабатываемые ПДн, блокировать или удалять, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки. Либо обеспечить блокирование, удаление, в случае если обработка ПДн осуществляется другим лицом, действующим по поручению оператора.
• Вести журнал учета обращений Субъектов ПДн, в котором должны фиксироваться запросы Субъектов ПДн на получение персональных данных, а также факты предоставления ПДн по этим запросам.
• Уведомлять Субъекта ПДн об обработке ПДн в том случае, если ПДн были получены не от Субъекта ПДн (за исключением случаев, когда Субъект ПДн уже уведомлен об осуществлении обработки его ПДн соответствующим оператором).
• В случае достижения цели обработки ПДн, незамедлительно прекратить обработку ПДн и уничтожить соответствующие ПДн в срок, не превышающий тридцати дней с даты достижения цели обработки ПДн, если иное не предусмотрено законодательством Российской Федерации, обязывающим Оператора обеспечить хранение данных (в т.ч. в рамках исполнения требований налогового, бухгалтерского законодательства и ФЗ «Об архивном деле в РФ»). Либо обеспечить уничтожение, в случае если обработка ПДн осуществляется другим лицом, действующим по поручению оператора. Уведомить об этом Субъекта ПДн или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав Субъектов ПДн, также указанный орган.
• В случае отзыва Субъектом ПДн согласия на обработку своих ПДн, прекратить обработку ПДн и уничтожить ПДн в срок, не превышающий 30 (Тридцати) дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между Оператором и Субъектом ПДн, а также если иное не предусмотрено законодательством Российской Федерации, обязывающим Оператора обеспечить хранение данных (в т.ч. в рамках исполнения требований налогового, бухгалтерского законодательства и ФЗ «Об архивном деле в РФ»). Либо обеспечить прекращение обработки ПДн и их уничтожение, в случае если обработка ПДн осуществляется другим лицом, действующим по поручению оператора. Об уничтожении ПДн Общество обязано уведомить Субъекта ПДн.
• В случае поступления письменного требования Субъекта о прекращении обработки ПДн в целях продвижения товаров, работ, услуг на рынке немедленно прекратить обработку ПДн. Либо обеспечить прекращение обработки ПДн, в случае если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора;
• В любое время по требованию Субъекта ПДн, ранее давшего согласие на распространение его ПДн, прекратить передачу (распространение, предоставление, доступ) ПДн;
• При сборе ПДн, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, отдельно указанных в ФЗ «О персональных данных».

Правила доступа к Персональным данным

• 1. Работникам Общества предоставляется доступ к работе с ПДн исключительно в пределах и объеме, необходимыми для выполнения должностных обязанностей.
  2. Временный или разовый допуск к работе с ПДн в связи со служебной необходимостью может быть получен работником Общества с согласования ответственного за обработку персональных данных в ООО «Кубик» путем подачи заявки на доступ с указанием цели, срока доступа и категорий ПДн, к которым запрашивается доступ.
  3. Доступ к ПДн может быть прекращен или ограничен в случае нарушения требований настоящей Политики, либо в случае изменения должностных обязанностей или увольнения работника Общества.
  4. Предоставление и прекращение доступа пользователей к ПДн осуществляется администраторами соответствующей ИСПДн.

Требования к лицам, допущенным к обработке персональных данных

• 1. Все работники Общества, которым стали известны ПДн, обрабатывающиеся в Обществе, должны обеспечивать конфиденциальность ПДн.
  2. Работники Общества должны быть ознакомлены с локальными нормативными актами Общества, регулирующими порядок работы с ПДн.
  3. Внешний доступ к персональным данным Субъектов ПДн, обрабатываемых Обществом, могут получать в соответствии с законодательством Российской Федерации по обоснованным запросам:
• налоговые органы;
• правоохранительные органы;
• судебные органы;
• органы статистики;
• военные комиссариаты;
• территориальные органы, обособленные подразделения фонда пенсионного и социального страхования;
• иные государственные органы и организации, а также Банк России в соответствии с предоставленными полномочиями;
• аудиторы (в случае если в задании на аудит предусмотрен указанный доступ);
• нотариусы;
• иные лица по основаниям, установленным законодательством Российской Федерации.

Меры по обеспечению безопасности персональных данных при их обработке

• 1. При обработке персональных данных Общество принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.
  2. Обеспечение безопасности ПДн достигается, в частности:
• Определением угроз безопасности ПДн при их обработке в информационных системах ПДн.
• Применением организационных и технических мер по обеспечению безопасности ПДн при их обработке в информационных системах ПДн, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности ПДн.
• Оценкой эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию информационной системы ПДн.
• Учетом машинных носителей персональных данных.
• Обнаружением фактов несанкционированного доступа к ПДн и принятием мер.
• Восстановлением ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
• Установлением правил доступа к ПДн, обрабатываемым в информационной системе ПДн, а также обеспечением регистрации и учета действий, совершаемых с ПДн в информационной системе ПДн.
• Контролем доступа в помещения, в которых осуществляется обработка ПДн.
• Контролем эффективности применяемых мер и средств по обеспечению безопасности ПДн, а также контролем уровня защищенности информационных систем ПДн.

Ответственность за нарушения при обработке персональных данных

• 1. Общество несет ответственность за обеспечение безопасности ПДн, а также соблюдение прав Субъектов ПДн в отношении их ПДн.
  2. Работники Общества несут персональную ответственность за соблюдение требований по обработке и обеспечению безопасности ПДн, установленных настоящей Политикой.
  3. В случае нанесения Обществу, контрагентам, работникам, и иным Субъектам ПДн, чьи данные обрабатываются в Обществе, материального или иного ущерба виновные лица несут предусмотренную законодательством Российской Федерации ответственность.

Особенности обработки персональных данных работников

• 1. Настоящий раздел регулирует специфику обработки ПДн работников, бывших работников и соискателей вакантных должностей ООО «Кубик» в рамках трудовых и гражданско-правовых отношений.
  2. Правовыми основаниями обработки ПДн работников без их дополнительного согласия являются: Трудовой кодекс РФ (ст. 86, гл. 14), Налоговый кодекс РФ, ФЗ «О бухгалтерском учете», ФЗ «Об обязательном пенсионном страховании», Постановление Правительства РФ № 719 от 27.11.2006, а также трудовой договор.
  3. Письменное согласие работника на обработку ПДн требуется исключительно в следующих случаях:
  • передача данных третьим лицам (например, банки для зарплатных проектов, страховые компании для ДМС, медицинские организации для прохождения осмотров), если иное не предусмотрено законом;
  • обработка специальных категорий ПДн (сведения о состоянии здоровья, кроме случаев, прямо предусмотренных ТК РФ, национальности, политических взглядах, вероисповедании);
  • публикация ПДн в общедоступных источниках (в т.ч. на корпоративных ресурсах, в СМИ);
  • сбор и обработка информации, не связанной напрямую с исполнением трудового договора или функциями работодателя.
  1. Доступ к ПДн работников предоставляется должностным лицам Общества в объеме, строго необходимом для выполнения их функциональных обязанностей. Разовый или временный доступ оформляется внутренней заявкой с указанием цели, срока и категорий данных.
  2. Хранение ПДн работников в электронном виде осуществляется на специально выделенных сетевых дисках с ограниченным доступом, а также в ИСПДн: «1С: Зарплата и кадры», HCL Notes (Lotus Notes), системах электронного документооборота. Копирование и выписка ПДн разрешаются исключительно в служебных целях.
  3. В общедоступные внутренние и внешние справочники Общества могут включаться только следующие ПДн работника (при наличии согласия): ФИО, дата рождения, фотография, должность и структурное подразделение, служебные номера телефонов, адрес корпоративной электронной почты, адрес офиса, номер кабинета.
  4. Сбор информации о состоянии здоровья работника допускается исключительно в объеме, необходимом для решения вопроса о возможности выполнения им трудовой функции, или в случаях, прямо установленных законодательством РФ (медосмотры, оформление больничных листов).
  5. Детальный порядок, формы согласий для работников, процедуры передачи ПДн третьим лицам, требования к информационным системам и меры защиты ПДн персонала регламентируются Регламентом защиты персональных данных
     (Приложение № 6).
  6. Форма согласия для соискателей регламентирована Методикой подбора и адаптации персонала.

Особенности обработки персональных данных с использованием сайта и cookie-файлов

• 1. Настоящий раздел определяет особенности сбора, обработки и хранения персональных данных Пользователей (Субъектов ПДн) при их взаимодействии с официальным сайтом ООО «Кубик» (далее – Сайт), в том числе с использованием технологии cookie-файлов и веб-сервисов аналитики.
  2. Согласие на обработку персональных данных с использованием аналитических и маркетинговых cookie-файлов предоставляется Субъектом ПДн исключительно путем совершения активного действия (нажатия кнопки «Принять», «Согласен» или аналогичной в уведомлении о cookie-файлах при посещении Сайта). Отсутствие такого действия означает отказ от обработки аналитических cookie. Технические cookie-файлы, необходимые для обеспечения базовой функциональности и безопасности Сайта, обрабатываются без получения согласия в силу их технологической необходимости. Согласие на обработку аналитических cookie может быть отозвано Субъектом ПДн в любое время.
  3. Цели обработки персональных данных с использованием cookie-файлов:
  • обеспечение корректной и безопасной работы Сайта;
  • анализ посещаемости, поведения Пользователей на Сайте и статистических данных для улучшения качества предоставляемых услуг и контента;
  • адаптация содержания Сайта под потребности и интересы Пользователей;
  • проведение маркетинговых и аналитических исследований.
  1. Используемые сервисы и третьи лица: для сбора аналитических данных Общество использует сервис Яндекс.Метрика. Обработка данных с использованием зарубежных сервисов сбора аналитики не осуществляется. При использовании Яндекс.Метрики часть персональных данных (включая данные cookie-файлов, IP-адрес, обезличенные идентификаторы, информацию о браузере) передается (предоставляется) ООО «Яндекс» на территории Российской Федерации в целях проведения статистических исследований и анализа посещаемости Сайта. Настоящим Субъект ПДн, давая активное согласие на использование аналитических cookie-файлов (п. 15.2), одновременно дает согласие на передачу (предоставление) указанных данных ООО «Яндекс» для указанных целей. Общество не передает Яндекс.Метрике специальные категории персональных данных или биометрические данные.
  2. Перечень используемых cookie-файлов и их назначение:

• 1. Сроки хранения cookie-файлов: Срок хранения cookie-файлов определяется их типом и настройками сервиса Яндекс.Метрика, либо устанавливается Пользователем самостоятельно в настройках веб-браузера. Технические cookie-файлы сессии удаляются автоматически после закрытия браузера.
  2. Права Субъекта ПДн: Субъект ПДн вправе:
  • Отозвать согласие на обработку персональных данных с использованием cookie-файлов. Для этого необходимо отключить сохранение cookie-файлов в настройках используемого веб-браузера, а также воспользоваться механизмом отказа от сбора данных Яндекс.Метрикой по ссылке: https://yandex.ru/support/metrica/general/opt-out.html.
  • Требовать удаления своих персональных данных, собранных через Сайт, направив соответствующий запрос Оператору. В этом случае Общество обязано прекратить обработку и уничтожить данные в срок, не превышающий 30 (тридцати) дней с даты поступления запроса, если иное не предусмотрено законодательством РФ.
  1. Обращаем внимание, что отключение cookie-файлов может привести к ограничению функциональности Сайта или невозможности его корректного использования.
  2. По всем вопросам, связанным с обработкой персональных данных на Сайте, в том числе для реализации своих прав, Субъект ПДн может обратиться к Оператору через форму обратной связи.