ВНЕШНЯЯ ПОЛИТИКА
О ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Общие положения
1.1 Настоящая Политика «О защите персональных данных» (далее – Политика) разработана на основании ст. 24 Конституции РФ, главы 14 Трудового Кодекса РФ, Закона «Об информации, информатизации и защите информации» № 149-ФЗ от 27.07.2006 г., Федерального закона РФ «О персональных данных» № 152-ФЗ от 27.07.2006 г., и Гражданского кодекса РФ.
1.2. Настоящая Политика определяет:
• порядок обработки (приема, поиска, сбора, систематизации, накопления, хранения, уточнения, обновления, изменения, использования, распространения (в том числе передачи), обезличивания, блокирования, уничтожения, учета) персональных физических лиц – пользователей сервисов предоставляемых www.v-kv.com далее именуемых – «Субъект»;
• обеспечивает защиту прав и свобод Субъекта при обработке их персональных данных с использованием средств автоматизации или без использования таких средств, а также устанавливает ответственность лиц, имеющих доступ к персональным данным, за невыполнение требований, регулирующих обработку и защиту персональных данных.
ООО «В-КВартире» является оператором по обработке персональных данных (далее – «Оператор»)
2. Основные понятия и состав персональных данных Субъектов
2.1. Для целей настоящей Политики используются следующие основные понятия:
1. персональные данные – любая информация, относящаяся к определенному или определяемому на основании такой информации Субъекту, а также аналогичная информация об иных третьих лицах, полученная Оператором на законных основаниях от его контрагентов и иных третьих лиц в результате ведения им своей уставной деятельности. Персональные данные являются конфиденциальной информацией.
К Персональным данным относятся (в том числе, но не ограничиваясь этим) следующие сведения и документы:
• паспортные данные;
• биографические сведения;
• образование;
• специальность/профессия;
• занимаемая должность;
• место регистрации (пребывания);
• домашний телефон;
• состав семьи;
• хобби, увлечения;
• другая информация, необходимая Оператору в связи с ведением уставной деятельности, а также реализацией договорных отношений, оказания услуг в рамках сервисов, предлагаемых на www.v-kv.com.
1. обработка Персональных данных — действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение Персональных данных;
2. конфиденциальность Персональных данных — обязательное для соблюдения назначенным должностным лицом Оператора ответственным лицом, получившим доступ к персональным данным, требование не допускать их распространения без согласия Субъекта или наличия иного законного основания;
3. распространение Персональных данных — действия, направленные на передачу Персональных данных определенному кругу лиц (передача Персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование Персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом;
4. использование Персональных данных — действия (операции) с персональными данными, совершаемые должностным лицом Учреждения в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении Субъекта или других лиц либо иным образом затрагивающих права и свободы Субъекта или права или других лиц;
5. блокирование Персональных данных — временное прекращение сбора, систематизации, накопления, использования, распространения Персональных данных, в том числе их передачи;
6. уничтожение Персональных данных — действия, в результате которых невозможно восстановить содержание Персональных данных в информационной системе Персональных данных или в результате которых уничтожаются материальные носители Персональных данных;
7. обезличивание Персональных данных — действия, в результате которых невозможно определить принадлежность Персональных данных конкретному Субъекту;
8. общедоступные Персональные данные — Персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия Субъекта или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности;
9. информация — сведения (сообщения, данные) независимо от формы их представления.
10. документированная информация — зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или в установленных законодательством Российской Федерации случаях ее материальный носитель.
3. Доступ к персональным данным Субъекта
3.1. Персональные данные могут быть предоставлены органам государственной власти в порядке, установленном законодательством РФ.
3.2. Список сотрудников Оператора, имеющих доступ к Персональным данным утверждается приказом Генерального директора ООО «В-КВартире».
3.3. Передача Персональных данных третьим лицам возможна только с согласия Субъекта в письменной/иной форме или без его согласия в случаях, предусмотренных законодательством РФ.
4. Сбор, обработка и хранение Персональных данных
4.1. Обработка Персональных данных может осуществляться исключительно в целях указанных в действующем законодательстве Российской Федерации, а так же согласии Субъекта на обработку персональных данных..
4.2. Персональные данные следует получать непосредственно у Субъекта.
Если Персональные данные возможно получить только у третьей стороны, Субъект должен быть уведомлен об этом заранее и от него должно быть получено согласие. Оператор должен сообщить Субъекту о целях, предполагаемых источниках и способах получения Персональных данных, а также о характере подлежащих получению Персональных данных и последствиях отказа Субъекта дать письменное согласие на их получение.
4.3. При изменении Персональных данных Субъект уведомляет Оператора о таких изменениях в 10-дневный срок.
4.4. Персональные данные могут храниться в электронном виде в информационных системах Оператора. В таком случае доступ к персональным данным должен быть технически возможен только специально уполномоченным лицам, упомянутым в пункте 3.3. При этом указанные лица должны иметь право получать только те Персональные данные, которые необходимы им для выполнения конкретных функций.
Доступ к информационным системам, содержащим Персональные данные, должен быть защищен паролями.
5. Передача Персональных данных Субъекта
5.1 При передаче Персональных данных Оператор обязан соблюдать следующие требования:
• Не передавать Персональные данные третьей стороне без письменного согласия Субъекта, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью Субъекта, а также в случаях, установленных законодательством РФ;
• Предупредить лиц, получающих Персональные данные Субъекта, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц соблюдения правил обработки и хранения Персональных данных. Лица, получающие Персональные данные, обязаны соблюдать режим конфиденциальности. Данное положение не распространяется на обмен персональными данными в порядке, установленном законодательством РФ;
• Разрешать доступ к Персональным данным только специально уполномоченным лицам Оператора, согласно утвержденного списка.
6. Общедоступные источники Персональных данных
6.1. В целях информационного обеспечения деятельности структурных подразделений Оператора могут быть созданы общедоступные источники Персональных данных (в том числе справочники, адресные книги и др.). В общедоступные источники Персональных данных с письменного согласия Субъекта могут включаться его фамилия, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные Персональные данные, предоставленные Субъектом.
6.2. Сведения о Субъекте могут быть в любое время исключены из общедоступных источников Персональных данных по его требованию либо по решению Оператора, а так же в случаях, предусмотренных законодательством РФ.
7. Безопасность Персональных данных
7.1.При обработке Персональных данных, ответственное лицо обязано принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства для защиты Персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.
7.2. Использование и хранение биометрических Персональных данных вне информационных систем Персональных данных могут осуществляться только на таких материальных носителях информации и с применением такой технологии хранения, которая обеспечивает защиту этих данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения.
7.3. В целях предупреждения нарушений доступности, целостности, достоверности и конфиденциальности Персональных данных и обеспечения безопасности информации в процессе управленческой и производственной деятельности Оператора устанавливается Комплекс мер по защите персональных данных. Комплекс мер по защите Персональных данных направлен на предупреждение нарушений доступности, целостности, достоверности и конфиденциальности Персональных данных и обеспечивает безопасность информации в процессе управленческой и производственной деятельности Учреждения.
Комплекс мер включает в себя:
7.3.1. Внутренняя защита
Регламентация доступа к конфиденциальным сведениям Оператора, документам и базам данных входит в число основных направлений организационной защиты информации и предназначена для разграничения полномочий. Для защиты Персональных данных Субъекта Оператор обязуется соблюдать следующие меры безопасности:
• ограничивать и регламентировать состав сотрудников Оператора, функциональные обязанности которых требуют доступа к персональным данным;
• избирательно и обоснованно распределять документы и информацию между сотрудниками;
• рационально размещать рабочие места сотрудников, при котором исключается бесконтрольное использование конфиденциальной информации;
• организовать необходимые условия в помещении для работы с конфиденциальными документами и базами данных;
• регламентировать порядок уничтожения информации;
• выявлять нарушения доступа к персональным данным;
• проводить работы по предупреждению утраты сведений при работе с персональными данными;
• защищать персональные компьютеры паролями доступа.
7.3.2. Внешняя защита
Для защиты Персональных данных создаются целенаправленные неблагоприятные условия и труднопреодолимые препятствия для лиц, пытающихся совершить несанкционированный доступ и овладение информацией. Целью и результатом несанкционированного доступа к информационным ресурсам может быть не только овладение ценными сведениями и их использование, но и их видоизменение, уничтожение, внесение вируса, подмена, фальсификация содержания реквизитов документа и др. Под посторонним лицом понимается любое лицо, не имеющее санкционированного доступа к Персональным данным, в том числе непосредственного отношения к деятельности Оператора, посетители, работники других организаций и иные лица.
• Лица, не являющиеся сотрудниками Оператора не должны знать распределение функций, рабочие процессы, технологию составления, оформления, ведения и хранения документов, дел и рабочих материалов. В отдельных случаях возможно предоставление доступа к данной информации для третьих лиц, осуществляющих внедрение, сопровождение и аудит процессов Оператора, при условии, что с ними заключено Соглашение о конфиденциальности.
• Для защиты Персональных данных Субъектов Оператор обязуется соблюдать:
1. порядок приема, учета и контроля деятельности посетителей;
2. пропускной режим Оператора;
3. порядок охраны территории, зданий, помещений, транспортных средств;
4. требования к защите информации при интервьюировании и собеседованиях.
8. Обязанности Оператора
• При обработке Персональных данных Оператор обязуется соблюдать следующие требования:
• При определении объема и содержания обрабатываемых Персональных данных Оператор действует в соответствии с Конституцией РФ, действующим законодательством РФ,
• Защита Персональных данных от неправомерного их использования или утраты должна быть обеспечена Оператором за счет его средств в порядке, установленном действующим законодательством РФ;
• Сотрудники Оператора должны быть ознакомлены под расписку с документами, устанавливающими порядок обработки Персональных данных, а также об их правах и обязанностях в этой области.
9. Права и обязанности Субъекта в области защиты персональных данных
9.1 Субъект обязан:
• Передавать Оператору достоверные персональные данные, состав которых установлен нормативно-правовыми актами РФ;
• своевременно сообщать Оператору об изменении своих персональных данных.
9.2. Субъект в целях обеспечения защиты Персональных данных, хранящихся у Оператора, имеет право на:
• свободный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей Персональные данные, за исключением случаев, предусмотренных законодательством РФ;
• исключение или исправление неверных или неполных Персональных данных, а также данных, обработанных с нарушением требований законодательства РФ.
• Персональные данные оценочного характера Субъект имеет право дополнить заявлением, выражающим его собственную точку зрения;
• требование об извещении Оператором всех лиц, которым ранее Оператором были сообщены неверные или неполные Персональные данные, обо всех произведенных в них исключениях, исправлениях и дополнениях;
• отзыв согласия на обработку Персональных данных;
• обжалование в суде любых неправомерных действий или бездействия Оператора при обработке и защите его Персональных данных.
10. Ответственность за нарушение требований обработки и защиты Персональных данных Субъекта
10.1. Защита прав Субъекта, установленных настоящей Политикой и законодательством Российской Федерации, осуществляется в целях пресечения неправомерного использования Персональных данных, восстановления нарушенных прав и возмещения причиненного ущерба, в том числе морального вреда.
10.2. Сотрудники Оператора, виновные в нарушении норм, регулирующих получение, обработку и защиту Персональных данных, персонально несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством РФ.
10.3. Общий контроль за соблюдением сотрудниками Оператора мер по защите Персональных данных осуществляет Генеральный директор.
11.Заключительное положение
11.1. Изменения в настоящую Политику могут быть внесены Генеральным директором.
11.2. Настоящая Политика обязательна для соблюдения всеми сотрудниками Оператора.
11.3. Режим конфиденциальности Персональных данных снимается в случаях их обезличивания, если иное не определено законодательством РФ.