1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных в Обществе с ограниченной ответственностью «Про меня» (далее – Политика) определяет общие принципы, порядок обработки персональных данных, меры по обеспечению их безопасности в ООО «Про меня» (далее – Общество) и является основополагающим локальным актом компании, регулирующим вопросы обработки персональных данных в Обществе.
1.2. Целью Политики является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, четкое и неукоснительное соблюдение требований законодательства Российской Федерации и международных договоров Российской Федерации в области персональных данных.
1.3. Политика разработана в соответствии с с п.2 ч.1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», другими законодательными и нормативными правовыми актами (далее – законодательство), определяющими порядок работы с персональными данными и требования к обеспечению их безопасности, и предназначена для ознакомления неограниченного круга лиц, в том числе – путём опубликования на вебсайте Общества.
1.4. Политика раскрывает основные категории субъектов, персональные данные которых обрабатываются Обществом, цели, способы и принципы обработки персональных данных, права субъектов персональных данных, а также перечень мер, применяемых Обществом в целях обеспечения безопасности персональных данных при их обработке.
1.5. Действие настоящей Политики распространяется на все процессы Общества, в рамках которых осуществляется обработка персональных данных как с использованием средств вычислительной техники, в том числе с использованием информационно-телекоммуникационных сетей, так и без использования таких средств.
1.6. В Политике используются следующие термины и определения:
автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
база персональных данных – упорядоченный массив персональных данных, независимый от вида материального носителя информации и используемых средств его обработки (архивы, картотеки, электронные базы данных);
блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
дата-центр – специализированная организация, предоставляющая услуги по размещению серверного и сетевого оборудования, сдаче серверов (в том числе виртуальных) в аренду, а также по подключению к сети Интернет;
доступ к персональным данным – ознакомление определенных лиц (в том числе работников) с персональными данными субъектов, обрабатываемыми Обществом, при условии сохранения конфиденциальности этих сведений;
информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
контрагент – сторона договора с Обществом, не являющаяся работником Общества;
конфиденциальность персональных данных – обязанность лиц, получивших доступ к персональным данным, не раскрывать их третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством;
облачная вычислительная инфраструктура – общий пул конфигурируемых вычислительных ресурсов (сети передачи данных, серверы, устройства хранения данных, приложения и сервисы – как вместе, так и по отдельности), к которым обеспечен повсеместной и удобный сетевой доступ по требованию;
обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение персональных данных;
оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными; в Политике под оператором понимается Общество, если иное не указано специально;
персональные данные– любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
сайт Общества – корпоративный или любой иной сайт в сети Интернет, направленный на продвижение услуг, оказываемых Обществом, созданный и функционирующий по заказу и под контролем Общества;
специальные категории персональных данных – сведения, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья;
субъект персональных данных (субъект) – физическое лицо, к которому относятся персональные данные;
трансграничная передача персональных данных– передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

2. Статус Общества
2.1. Общество является оператором персональных данных в отношении персональных данных физических лиц, указанных в разделе 4 Политики и Приложении № 1 к настоящей Политике.
2.2. Общество является лицом, осуществляющим передачу персональных данных субъектов другим операторам, к которым относятся, включая, но не ограничиваясь:
  органы власти и государственные внебюджетные фонды, в которые перечисляются средства Работников или средства для зачисления на счета Работников (инспекции Федеральной налоговой службы, территориальные отделения Социального фонда Российской Федерации, Федерального фонда обязательного медицинского страхования и др.);
  военные комиссариаты, операторы связи, которым персональные данные предоставляются (передаются) в случаях, предусмотренных законодательством;
  организации, осуществляющие вниутриобъектовый и пропускной режим в офисные помещения Общества;
  организации, привлекаемые Обществом к обработке персональных данных с целью выполнения требований нормативно-правовых актов Российской Федерации в отношении работников Общества;
  организации, предоставляющие услуги курьерских доставок.
Органам власти и государственным внебюджетным фондам, военным комиссариатам и операторам связи, органам надзора персональные данные предоставляются (передаются) в объеме, определенном законодательством, соответствующими органами власти, надзорными органами и государственными внебюджетными фондами в пределах их полномочий. Специального согласия субъектов на такую передачу персональных данных не требуется.

3. Принципы обработки персональных данных
3.1. Обработка персональных данных Обществом осуществляется в соответствии со следующими принципами:
3.1.1. Законность и справедливая основа обработки персональных данных. Общество принимает все необходимые меры по выполнению требований законодательства, не обрабатывает персональные данные в случаях, когда это не допускается законодательством и не требуется для достижения определенных Обществом целей, не использует персональные данные во вред субъектам таких данных.
3.1.2. Ограничение обработки персональных данных достижением конкретных, заранее определённых и законных целей. Цели обработки персональных данных определены в Приложении 1 к настоящей Политике.
3.1.3. Обработка только тех персональных данных, которые отвечают заранее объявленным целям их обработки; соответствие содержания и объёма обрабатываемых персональных данных заявленным целям обработки; недопущение обработки персональных данных, не совместимой с целями сбора персональных данных, а также избыточных по отношению к заявленным целям обработки персональных данных. Общество не собирает и не обрабатывает персональные данные, не требующиеся для достижения целей, не использует персональные данные субъектов в каких-либо целях, кроме указанных.
3.1.4. Недопущение объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, не совместимых между собой.
3.1.5. Обеспечение точности, достаточности и актуальности персональных данных по отношению к целям обработки персональных данных. Общество принимает все разумные меры по поддержке актуальности обрабатываемых персональных данных, включая, но не ограничиваясь, реализацию права каждого субъекта получать для ознакомления свои персональные данные и требовать от Общества их уточнения, блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленных выше целей обработки без объяснения причин такого требования.
3.1.6. Хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен законодательством, договором, стороной которого является субъект персональных данных, а также согласием субъекта персональных данных на обработку данных.
3.1.7. Уничтожение персональных данных по достижении заявленных целей их обработки или в случае утраты необходимости в достижении этих целей, при невозможности устранения Обществом допущенных нарушений установленного законодательством порядка обработки персональных данных, отзыве согласия на обработку субъектом персональных данных, истечении срока обработки персональных данных, установленных согласием на обработку персональных данных, если иное не предусмотрено законодательством или договорами с субъектами персональных данных.

4. Цели, категории и перечень обрабатываемых персональных данных. Категории субъектов персональных данных
4.1. Содержание и объём обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
4.2. Для каждой цели обработки персональных данных Обществом определены категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований.
4.3. Цели обработки персональных данных, категории и перечень обрабатываемых персональных данных, категории субъектов персональных данных, способы, сроки их обработки и хранения приведены в Приложении 1 к Политике.

5. Условия обработки персональных данных
5.1.Правовые основания обработки персональных данных.
Обработка персональных данных Обществом допускается в следующих случаях:
5.1.1. При наличии согласия субъекта персональных данных на обработку его персональных данных. Порядок получения Обществом согласия субъекта персональных данных определен в разделе 8 Политики.
5.1.2. Обработка персональных данных необходима для достижения целей, предусмотренных законодательством, а также для осуществления и выполнения возложенных законодательством на Общество функций, полномочий и обязанностей. К таким случаям, в том числе относятся, включая, но не ограничиваясь, реализация трудовых отношений с Работниками, заключение и исполнение договоров с контрагентами.
5.1.3. Для заключения договора по инициативе субъекта персональных данных и исполнения договора, стороной которого или выгодоприобретателем по которому является субъект персональных данных. Такими договорами, без ограничения, являются трудовые договоры с работниками, договоры гражданско-правового характера с контрагентами – физическими лицами.­
До момента заключения договоров Общество, в случаях такой необходимости, осуществляет обработку персональных данных на стадии преддоговорной работы в порядке, предусмотренном пп. 5 п. 1 ст. 6 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных».
5.1.4. Обработка персональных данных Обществом необходима для осуществления прав и законных интересов Общества и/или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъектов персональных данных.
5.1.5. Обработка персональных данных осуществляется в статистических или иных исследовательских целях.
5.1.6. Обработка персональных данных, разрешенных Субъектом персональных данных для распространения. В связи с тем, что к такой обработке относится, в том числе обработка персональных данных, полученных из общедоступных источников (включая размещённую на информационных ресурсах в сети Интернет), Общество не принимает на себя обязанности по проверке достоверности и правомерности размещения таких персональных данных.
5.1.7. Персональные данные подлежат опубликованию или обязательному раскрытию в соответствии с законодательством.
5.2. ­­­Общество не раскрывает третьим лицам и не распространяет персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством, договором с субъектом персональных данных, не указано в полученном от него согласии на обработку персональных данных или персональные данные не сделаны субъектом общедоступными самостоятельно.
5.3. Общество не обрабатывает персональные данные, относящиеся к специальным категориям и касающиеся расовой и национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, о членстве субъектов персональных данных в общественных объединениях или их профсоюзной деятельности.
5.4. Обработка персональных данных о судимости может осуществляться Обществом исключительно в случаях и в порядке, установленных законодательством.
5.5. Общество не принимает решения, порождающие юридические последствия в отношении субъектов персональных данных или иным образом затрагивающие их права и законные интересы, на основании исключительно автоматизированной обработки персональных данных. Данные, имеющие юридические последствия или затрагивающие права и законные интересы Работника, такие, как размер начисленных доходов, налогов и иных отчислений, подлежат перед их использованием проверке со стороны уполномоченного работника Общества.
5.6. Общество прекращает обработку персональных данных в следующих случаях:
  В случае выявления неправомерной обработки персональных данных либо в случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных Общество осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных блокирование персональных данных осуществляется, если оно не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
  В случае подтверждения факта неточности персональных данных Общество на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов уточняет персональные данные либо обеспечивает их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в течение 7 (семи) рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
  В случае выявления неправомерной обработки персональных данных, осуществляемой Обществом или лицом, действующим по поручению Общества, Общество в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, прекращает неправомерную обработку персональных данных или обеспечивает прекращение неправомерной обработки персональных данных лицом, действующим по поручению Общества. В случае, если обеспечить правомерность обработки персональных данных невозможно, Общество в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки персональных данных, уничтожает такие персональные данные или обеспечивает их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Общество уведомляет субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены в уполномоченный орган по защите прав субъектов персональных данных, также этот орган;
  При достижении цели обработки персональных данных или в случае утраты необходимости в достижении цели обработки персональных данных Общество незамедлительно прекращает обработку персональных данных и уничтожает соответствующие персональные данные в срок, не превышающий 30 (тридцати) дней с даты достижения цели обработки персональных данных;
  При отзыве субъектом персональных данных согласия на обработку своих персональных данных Общество прекращает обработку персональных данных и уничтожает (за исключением персональных данных, которые хранятся в соответствии с действующим законодательством) персональные данные в срок, не превышающий 30 (тридцать) дней с даты поступления указанного отзыва. Об уничтожении персональных данных Общество уведомляет субъекта персональных данных.
  В случае обращения субъекта персональных данных в Общество с требованием о прекращении обработки персональных данных Общество в срок, не превышающий 10 (десять) рабочих дней с даты получения соответствующего требования, прекращает их обработку или обеспечивает прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), за исключением случаев, предусмотренных пунктами 2 - 11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Указанный срок может быть продлен, но не более чем на 5(пять) рабочих дней в случае направления Обществом в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
  В случае отсутствия возможности уничтожения персональных данных в течение установленного законодательством срока, Общество осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение персональных данных в срок не более чем 6(шесть) месяцев, если иной срок не установлен федеральными законами.
5.7. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Общество с момента выявления такого инцидента уведомляет уполномоченный орган по защите прав субъектов персональных данных:
1) в течение 24 часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставляет сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
2) в течение 72 часов о результатах внутреннего расследования выявленного инцидента, а также предоставляет сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

6. Способы обработки персональных данных
6.1. Настоящая Политика предусматривает обработку персональных данных любыми способами, предусмотренными законодательством РФ, в том числе, путем: сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи третьим лицам (распространения, предоставления, доступа), блокирования, удаления, уничтожения персональных данных.
6.2. Общество осуществляет обработку персональных данных с использованием средств автоматизации, а также без использования таких средств.
Политика распространяется в полном объеме на обработку персональных данных с использованием средств автоматизации, а при обработке персональных данных без использования средств автоматизации – только на те случаи, когда такая обработка соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным.
6.3. При сборе персональных данных Общество обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.
6.4. Обработка персональных данных способами, предусмотренными пунктом 6.1. настоящей Политики, осуществляется при использовании баз данных, находящихся в офисе Общества или арендуемых им серверах в дата-центрах (облачных инфраструктурах), размещенных на территории Российской Федерации.
6.5. Трансграничная передача персональных данных Обществом не осуществляется.

7. Конфиденциальность персональных данных
7.1. Работниками Общества, получившими доступ к персональным данным, должна быть обеспечена конфиденциальность таких данных.
Обеспечение конфиденциальности не требуется в отношении персональных данных, разрешенных субъектом персональных данных для распространения.
7.2. Общество вправе с согласия субъекта поручить обработку персональных данных другому лицу, если иное не предусмотрено законодательством, на основании заключаемого с этим лицом договора, предусматривающего в качестве существенного условия обязанность лица, осуществляющего обработку персональных данных по поручению Общества, соблюдать принципы и правила обработки персональных данных, предусмотренные законодательством. Объем передаваемых другому лицу для обработки персональных данных и количество используемых этим лицом способов обработки должны быть минимально необходимыми для выполнения им своих обязанностей перед Обществом.
В поручении на обработку персональных данных в обязательном порядке определяются: ­ перечень персональных данных; ­ обязанность соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом «О персональных данных»; ­ перечень действий с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, при этом перечень действий не должен противоречить целям и действиям, заявленным перед Субъектом персональных данных в договоре с Оператором, согласии и т. п. документах; ­ цели обработки при этом не должны противоречить целям, заявленным перед Субъектом персональных данных в договоре с оператором, согласии и т. п. документах; ­ обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке; ­ требования к защите персональных данных в соответствии со статьей 19 Федерального закона «О персональных данных».При выполнении поручения Общества на обработку персональных данных лицо, которому такая обработка поручена, вправе использовать для обработки персональных данных свои информационные системы, соответствующие требованиям безопасности, установленным законодательством, что отражается Обществом в заключаемом договоре поручения на обработку персональных данных.
7.3. В случае, если Общество поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Общество. Лицо, осуществляющее обработку персональных данных по поручению Общества, несет ответственность перед Обществом.
7.4. Общество вправе разместить свои информационные системы персональных данных в дата-центре (облачной вычислительной инфраструктуре). В этом случае в договор с дата-центром (провайдером облачных услуг) в качестве существенного условия включается требование о запрете доступа персонала дата-центра, облачного провайдера к данным в информационных системах персональных данных Общества, а данное размещение не рассматривается Обществом как поручение обработки персональных данных дата-центру (провайдеру облачных услуг) и не требует согласия субъектов персональных данных на такое размещение. В договоре с дата-центром (провайдером) во всех случаях отражаются требования конфиденциальности и безопасности обрабатываемых персональных данных.

8. Согласие субъекта персональных данных на обработку своих персональных данных
8.1. Субъект персональных данных принимает решение о предоставлении своих персональных данных Обществу и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть добровольным, конкретным, информированным, предметным, однозначным и сознательным и может предоставляться субъектом в любой форме, позволяющей подтвердить факт его получения, если иное не установлено законодательством.
8.1.1. Получение и обработка персональных данных в случаях, предусмотренных ФЗ «О персональных данных», осуществляется Обществом с согласия субъекта персональных данных, в том числе в письменной форме.
8.1.2. Письменное согласие субъекта персональных данных должно включать:
  фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
  наименование и адрес Общества;
  цель обработки персональных данных;
  перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
  наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Общества, если обработка будет поручена такому лицу;
  перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых Обществом способов обработки персональных данных;
  срок, в течение которого действует согласие, а также способ его отзыва;
  подпись субъекта персональных данных.
8.2. В случае получения Обществом персональных данных от контрагента на основании и в целях заключения и/или исполнения заключенного с ним договора, ответственность за правомерность и достоверность персональных данных, а также за получение согласия представителей контрагентов на передачу их персональных данных Обществу несет контрагент, передающий персональные данные, что закрепляется в тексте договора с контрагентом.
8.3. Специально выраженного согласия Работника на обработку его персональных данных не требуется, так как обработка необходима для исполнения трудового договора, стороной которого является Работник-субъект персональных данных, за исключением случаев, когда необходимо получение согласия Работника в письменной форме для конкретных случаев обработки персональных данных. К случаям, требующим согласия Работника в письменной форме, относятся, включая, но не ограничиваясь:
8.3.1. Передача персональных данных лицам, которым Общество поручает обработку персональных данных в целях, включая, но не ограничиваясь:
 обеспечения соблюдения Обществом обязанностей, возложенных законами и иными нормативными правовыми актами, включая ведение кадрового, бухгалтерского, налогового и воинского учета, организацию хранения документов Общества, проведение специальной оценки условий труда и пр.;
 обеспечения возможности прохода в охраняемые помещения Общества и др.
8.3.2. Получение персональных данных Работников у третьих лиц, в том числе с целью проверки таких персональных данных, а также в случаях, когда такие данные нельзя получить от самого Работника.
8.3.3. Передача персональных данных Работника третьей стороне, в том числе в целях, включая, но не ограничиваясь:
 предоставление дополнительных услуг за счет Общества;
 проведение хозяйственных и отчетных операций Общества, материально-техническое обеспечение деятельности Общества.
8.3.4. Передача персональных данных Работника третьим лицам в целях исполнения договоров Общества, в том числе, включая, но не ограничиваясь:
 контрагентам в рамках договорной и преддоговорной работы, а также организациям, оказывающим услуги по переподготовке и повышению квалификации персонала;
 банкам, открывающим и обслуживающим платежные карты для начисления заработной платы и иных доходов Работника,
 полиграфическим предприятиям, занимающимся изготовлением визитных карточек (бизнес-карт) Работников за счет работодателя.
8.4. Специально выраженного согласия Членов семей не требуется, если обработка их персональных данных осуществляется на основании законодательства (для начисления алиментов, оформления социальных выплат, предоставления льгот и гарантий и пр.), выполняется Обществом как работодателем в соответствии с требованиями Трудового кодекса РФ и органов государственного статистического учета. Во всех остальных случаях необходимо получение согласия Членов семей на обработку их персональных данных Обществом.
8.5. Специально выраженного согласия Участников процессов на обработку их персональных данных не требуется, поскольку обработка их персональных данных осуществляется на основании законодательства.
8.6. Персональные данные лиц, подписавших договоры с Обществом, содержащиеся в единых государственных реестрах юридических лиц и индивидуальных предпринимателей, являются открытыми и общедоступными, за исключением сведений о номере, дате выдачи и органе, выдавшем документ, удостоверяющий личность физического лица. Охрана их конфиденциальности и согласие субъектов персональных данных на обработку таких данных не требуется.
Во всех остальных случаях необходимо получение согласия субъектов персональных данных, являющихся Представителями контрагентов. Исключения составляют случаи, когда:
  лицо подписало договор с Обществом и/или предоставило доверенность с правом действовать от имени и по поручению контрагентов Общества, и тем самым совершило конклюдентные действия, подтверждающие его согласие с обработкой персональных данных, указанных в тексте договора (доверенности);
  лицо самостоятельно прислало персональные данные на электронную почту, и тем самым совершило конклюдентные действия, подтверждающие его согласие с обработкой персональных данных, указанных в электронном письме.
Согласие у своего представителя на передачу его персональных данных Обществу контрагент может получить в порядке, описанном в пункте 8.2 Политики. В этом случае получение Обществом согласия субъекта на обработку его персональных данных не требуется.
8.7. Согласие субъектов на предоставление их персональных данных не требуется при получении Обществом, в рамках установленных полномочий, мотивированных запросов от органов прокуратуры, правоохранительных органов, органов следствия и дознания, органов безопасности, от государственных инспекторов труда при осуществлении ими государственного надзора и контроля за соблюдением трудового законодательства, и иных органов, уполномоченных запрашивать информацию в соответствии с компетенцией, предусмотренной законодательством.
Мотивированный запрос должен включать указание цели запроса, ссылку на правовые основания запроса, в том числе подтверждающие полномочия органа, направившего запрос, а также перечень запрашиваемой информации.
8.8. В случае поступления запросов от организаций, не обладающих соответствующими полномочиями, Общество обязано получить у субъекта персональных данных согласие на предоставление его персональных данных в письменном виде по форме, установленной соответствующим Приказом Общества.
8.9. Во всех случаях обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство наличия иных оснований обработки персональных данных, указанных в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных», возлагается на Общество.

9. Права субъектов персональных данных
9.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:
  подтверждение факта обработки его персональных данных Обществом;
  правовые основания и цели обработки персональных данных;
  сведения о применяемых Обществом способах обработки персональных данных;
  наименование и место нахождения Общества, сведения о лицах (за исключением работников Общества), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Обществом или в соответствии с законодательством;
  обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения;
  сроки обработки персональных данных, в том числе сроки их хранения;
  порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
  информацию об осуществленной или о предполагаемой трансграничной передаче данных;
  наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;
  иные сведения, предусмотренные законодательством.
Сведения о наличии персональных данных должны быть предоставлены субъекту персональных данных уполномоченным работником Общества в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных.
9.2. Субъект персональных данных вправе в любой момент отозвать свое согласие на обработку персональных данных Обществом, подав письменное заявление в произвольной форме, содержащее сведения об основном документе, удостоверяющем личность субъекта. При этом в случае, если согласие на обработку персональных данных было изначально предоставлено субъектом в электронной форме на сайте Общества:
  отзыв такого согласия может быть произведен как в бумажной, так и в электронной форме с использованием аккаунта (учетной записи) соответствующего пользователя на сайте Общества;
  в случае получения отзыва в бумажной форме Общество в целях идентификации субъекта персональных данных вправе запросить у такого лица дополнительные сведения, предоставленные субъектом персональных данных при регистрации на сайте Общества, либо попросить данное лицо направить электронный запрос на отзыв согласия через соответствующий аккаунт (учетную запись) субъекта персональных данных на сайте Общества. В случае невыполнения обратившимся лицом указанных дополнительных действий Общество вправе отказать такому лицу в отзыве согласия на обработку персональных данных в целях защиты прав третьих лиц.
В случае отзыва субъектом персональных данных согласия на обработку персональных данных Общество вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии соответствующих требований законодательства РФ.
9.3. В случае отзыва субъектом согласия на обработку своих персональных данных, если законных оснований продолжить их обработку нет, Общество прекращает обработку таких персональных данных (обеспечивает прекращение их обработки лицами, которым такая обработка поручена Обществом) и уничтожает персональные данные (обеспечивает уничтожение персональных данных) в срок, не превышающий 30 дней с даты поступления указанного отзыва.
9.4.  Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

10. Организация обработки персональных данных
10.1. Лицо, ответственное за обработку персональных данных
10.1.1. Общество назначает лицо, ответственное за организацию обработки персональных данных. Указанное лицо обязано:
  осуществлять внутренний контроль за соблюдением Обществом и его Работниками законодательства РФ о персональных данных, в том числе требований к их защите;
  доводить до сведения Работников положения законодательства РФ о персональных данных, локальных актов Общества по вопросам обработки персональных данных, требования к защите персональных данных;
  организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов.
10.2. Разрешительная система доступа к персональным данным
10.2.1. Работники Общества, доступ которых к персональным данным необходим для выполнения должностных обязанностей, допускаются к соответствующим персональным данным в соответствии с Перечнем должностей работников Общества, предусматривающих осуществление обработки персональных данных либо осуществление доступа к персональным данным.
10.2.2. Актуальность Перечня должностей поддерживается лицом, ответственным за организацию обработки персональных данных.
10.2.3. Работнику Общества, должность которого не включена в Перечень должностей работников Общества, предусматривающих осуществление обработки персональных данных либо осуществление доступа к персональным данным, но которому необходим разовый или временный доступ к персональным данным субъектов персональных данных в связи с исполнением должностных обязанностей, может быть предоставлен такой доступ на основании письменной заявки на имя лица, ответственного за организацию обработки персональных данных. При этом такой Работник подписывает с Обществом соглашение о соблюдении конфиденциальности доверенных ему персональных данных.
10.2.4. Работники Общества допускаются только к тем персональным данным, которые необходимы им для выполнения должностных обязанностей.
С этой целью организация хранения и использования материальных носителей персональных данных возлагается на конкретных Работников, а в информационных системах осуществляется разграничение прав доступа пользователей.
10.2.5. Обязанности лиц, допускаемых к работе с персональными данными, определяются соответствующими разделами их должностных инструкций/трудовых договоров.
10.2.6. Порядок оформления доступа к персональным данным работника Общества, которому такой доступ необходим для выполнения служебных (трудовых) обязанностей, предусматривает обязательное принятие работником на себя обязательства о соблюдении конфиденциальности доверенных ему персональных данных в должностной инструкции\трудовом договоре или дополнительном соглашении к нему.
10.3. Работа с персональными данными
10.3.1. Машинные носители персональных данных (жесткие диски серверов и рабочих станций, оптические диски, съемные диски, ленты (кассеты) для резервного копирования и т.д.) учитываются в Журнале учета машинных носителей. В случае, если машинные носители находятся в составе серверов, рабочих станций, систем и сетей хранения данных, носитель учитывается без его изъятия из технического средства с указанием соответствующих данных в Журнале учета машинных носителей. Сведения о носителе (тип и емкость) вносятся на основании данных, полученных с использованием штатных средств операционной системы или соответствующего приложения.
В случае размещения информационных систем Общества в дата-центре (облачной инфраструктуре) сведения о машинных носителях, используемых для хранения данных, обрабатываемых Обществом, в том числе – резервных копий, сообщаются по запросу Общества уполномоченными представителями дата-центра (провайдера облачных услуг), что отражается в договоре между Обществом и дата-центром (провайдером облачных услуг).
10.3.2. Носители персональных данных на бумажной основе учитываются по форме, установленной для регистрации документов Общества, а также по формам, установленным для конкретных видов носителей персональных данных (личных дел, трудовых книжек, договоров Общества и т.д.).
10.3.3. Запись и хранение файлов, содержащих персональные данные, в том числе сканов документов с персональными данными, допускается только в сетевых хранилищах (на файловых серверах, на сетевых дисках и в сетевых каталогах/папках), специально предназначенных для этих целей. Перечень таких сетевых хранилищ определяется в локальных документах Общества.
10.3.4. Запись и хранение персональных данных на иных жестких и сетевых дисках, в том числе на жестких дисках рабочих станций пользователей, а также иных машинных носителях, не учтенных в указанном выше порядке, запрещены.
10.4. Хранение персональных данных
10.4.1. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если конкретный срок хранения персональных данных не установлен законодательством, договором, стороной которого является субъект персональных данных или согласием субъекта персональных данных на обработку персональных данных. Общие сроки хранения персональных данных и/или условия их уничтожения устанавливаются в Приложении № 1 к Политике.
10.4.2. Передача документов, содержащих персональные данные, на архивное хранение и сроки их хранения в архивах определяются соответствующими законами и нормативными правовыми актами уполномоченных федеральных органов исполнительной власти.
10.5. Уничтожение персональных данных
10.5.1. Подлежат уничтожению персональные данные, в отношении которых:
  достигнута цель обработки персональных данных;
  утрачена необходимость в достижении ранее определенных целей обработки;
  выявлены факты неправомерной обработки персональных данных (в том числе при обращении субъекта персональных данных), когда обеспечить их правомерность не представляется возможным;
  отозвано согласие субъекта на обработку персональных данных, и законных оснований продолжать такую обработку не имеется;
  истек предусмотренный согласием субъекта персональных данных срок обработки персональных данных
  нет оснований осуществлять архивное хранение материальных носителей, содержащих такие персональные данные.
10.5.2. Уничтожение материальных носителей персональных данных должно обеспечивать их полное физическое уничтожение, а уничтожение персональных данных, записанных на машинных носителях информации, – невозможность восстановления персональных данных.
10.5.3. Уничтожение части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).
10.5.4. Во всех случаях срок уничтожения не должен превышать 30 дней с даты окончания срока хранения персональных данных, достижения целей обработки персональных данных, утраты необходимости достижения этих целей, поступления отзыва согласия субъекта на обработку персональных данных, если иной срок не предусмотрен законодательством или соглашением между субъектом персональных данных и Обществом.
10.5.5. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в пункте 10.5.4, Общество осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) и последующее уничтожение персональных данных, на срок не более чем 6 месяцев, если иной срок не установлен законодательством.
10.5.6. Машинные носители информации, содержащие персональные данные и пришедшие в негодность, отслужившие установленный срок или утратившие практическое значение, уничтожаются Обществом одним из следующих способов: разрезание, сжигание, механическое уничтожение, сдача предприятию по утилизации вторичного сырья. В последнем случае перед сдачей машинных носителей информации на утилизацию на всех носителях производится стирание персональных данных с использованием программ (устройств) гарантированного уничтожения информации.
10.5.7. Уничтожение носителей информации на бумажной основе производится с применением бумагорезательных машин (шредеров) или передачи для последующего уничтожения предприятию по утилизации вторичного сырья.
10.5.8. В случае уничтожения материальных носителей специализированным предприятием по утилизации вторичного сырья в договоре с таким предприятием должна предусматриваться обязанность предприятия-утилизатора обеспечить конфиденциальность персональных данных, находящихся на уничтожаемых (утилизируемых) носителях. При отсутствии такого обязательства в договоре уничтожение должно осуществляться только под личным наблюдением уполномоченного работника Общества.
10.5.9. Уничтожение персональных данных в информационных системах проводится путем удаления записей баз данных, содержащих персональные данные, или стирания файлов с использованием программ (устройств) гарантированного уничтожения информации.
10.5.10. По результатам уничтожения оформляется акт об уничтожении персональных данных. Форма акта утверждается соответствующим приказом Общества.

11. Сведения о реализуемых требованиях к защите персональных данных
11.1. Безопасность персональных данных, обрабатываемых Обществом, обеспечивается реализацией правовых, организационных и технических мер, необходимых и достаточных для обеспечения требований законодательства о персональных данных.
11.2. Правовые меры, принимаемые Обществом, включают:
  разработку локальных актов Общества, реализующих требования законодательства, в том числе –Положения и Политики Общества в отношении обработки персональных данных;
  отказ от любых способов обработки персональных данных, не соответствующих определенным в Политике целям и требованиям законодательства.
11.3. Организационные меры, принимаемые Обществом, включают:
  назначение лица, ответственного за организацию обработки персональных данных;
  ограничение состава работников Общества, имеющих доступ к персональным данным, и организацию разрешительной системы доступа к ним;
  ознакомление работников Общества, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных, в том числе с требованиями к защите персональных данных, с Политикой, другими локальными актами Общества по вопросам обработки персональных данных;
  обучение работников Общества, непосредственно осуществляющих обработку персональных данных, правилам работы с ними и обеспечения безопасности обрабатываемых данных;
  определение в должностных инструкциях/трудовых договорах работников Общества обязанностей по обеспечению безопасности обработки персональных данных и ответственности за нарушение установленного порядка;
  регламентацию процессов обработки персональных данных;
  организацию учёта материальных носителей персональных данных и их хранения, обеспечивающих предотвращение хищения, подмены, несанкционированного копирования и уничтожения;
  определение типа угроз безопасности персональных данных, актуальных для информационных систем персональных данных, с учетом оценки возможного вреда субъектам персональных данных, который может быть причинен в случае нарушения требований безопасности, определение уровня защищенности персональных данных и требований к защите персональных данных при их обработке в информационных системах, исполнение которых обеспечивает установленные уровни защищенности персональных данных;
  определение угроз безопасности персональных данных при их обработке в информационных системах, формирование на их основе частной модели (моделей) актуальных угроз;
  размещение технических средств обработки персональных данных в пределах охраняемой территории;
  ограничение допуска посторонних лиц в помещения Общества, недопущение их нахождения в помещениях, в которых ведется работа с персональными данными и размещаются технические средства их обработки, без контроля со стороны работников Общества.
11.4. Технические меры, принимаемые Обществом, включают:
  разработку на основе частной модели актуальных угроз системы защиты персональных данных для установленных Правительством Российской Федерации уровней защищенности персональных данных при их обработке в информационных системах;
  использование для нейтрализации актуальных угроз средств защиты информации, прошедших процедуру оценки соответствия;
  оценку эффективности принимаемых мер по обеспечению безопасности персональных данных;
  реализацию разрешительной системы доступа работников к персональным данным, обрабатываемым в информационных системах, и к программно-аппаратным и программным средствам защиты информации;
  регистрацию и учёт действий c персональными данными пользователей информационных систем, в которых обрабатываются персональные данные;
  выявление вредоносного программного обеспечения (применение антивирусных программ) на всех узлах информационной сети Общества, обеспечивающих соответствующую техническую возможность;
  безопасное межсетевое взаимодействие (применение межсетевого экранирования);
  восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним (создание системы резервного копирования и восстановления персональных данных);
  контроль за выполнением настоящих требований (самостоятельно или с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации) не реже 1 раза в 3 года.
11.5. Установка и ввод в эксплуатацию средств защиты персональных данных в информационной системе Общества производятся в соответствии с эксплуатационной, технической и проектной документацией.
11.6. Размещение информационных систем персональных данных, специальное оборудование и охрана помещений, в которых ведется работа с персональными данными, организация режима обеспечения безопасности в таких помещениях должны обеспечивать сохранность носителей персональных данных и средств защиты информации, а также исключать возможность неконтролируемого проникновения или пребывания в этих помещениях посторонних лиц.
Входные двери помещений, в которых хранятся материальные носители персональных данных, должны быть оборудованы замками, гарантирующими надежное закрытие помещения в нерабочее время.
Для контроля за входом могут устанавливаться кодовые замки или иные средства защиты.

12. Ответственность за нарушение требований законодательства и Политики
12.1. Работники Общества, виновные в нарушении требований законодательства РФ в области персональных данных и настоящей Политики, несут материальную, дисциплинарную, административную, гражданско-правовую и уголовную ответственность в соответствии с законодательством РФ.
12.2. Юридические лица, нарушившие договорные обязательства по обеспечению конфиденциальности персональных данных, а также общие требования к обработке персональных данных, несут гражданско-правовую и административно-правовую ответственность в соответствии с законодательством РФ.

13. Порядок пересмотра Политики и внесения в нее изменений
13.1. Политика пересматривается по мере необходимости. Обязательный пересмотр Политики проводится в случае существенных изменений законодательства РФ в сфере персональных данных.
13.2. При внесении изменений в Политику учитываются:
  изменения в информационной инфраструктуре и (или) в используемых Обществом информационных технологиях;
  сложившаяся в РФ практика правоприменения законодательства в области персональных данных;
  изменение условий и особенностей обработки персональных данных Обществом в связи с внедрением в его деятельность новых информационных систем, процессов и технологий, влияющих на процессы и порядок обработки персональных данных;
  введение в Обществе новых бизнес-процессов, затрагивающих вопросы обработки персональных данных и не отраженных в Политике.
13.3. Настоящая Политика является общедоступной и подлежит размещению в офисе, а также на вебсайте Общества.
13.4. Все работники Общества подлежат обязательному ознакомлению с настоящей Политикой и несут предусмотренную законодательством Российской Федерации ответственность за нарушение её положений.