ПОЛИТИКА ЗАЩИТЫ И ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Утверждена Приказом
Генерального директора ООО ФЦ «АКВАМАРИН»
№ 1 от 09.01.2018 г.
ПОЛИТИКА ЗАЩИТЫ И ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
ООО Фитнес центр «АКВАМАРИН»
1. ТЕРМИНЫ И СОКРАЩЕНИЯ
Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Оператор – организация, самостоятельно или совместно с другими лицами организующая обработку персональных данных, а также определяющая цели обработки персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Оператором является ООО Фитнес центр «АКВАМАРИН», расположенное по адресу: 623400, Свердловская область, г. Каменск-Уральский, ул. Каменская, д. 5.
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
Информационная система персональных данных – это совокупность программных (например «1с-Предприятие») и технических средств (компьютеры, принтеры, сканеры, коммутационное оборудование и т.д.) на которых обрабатываются персональные данные.
Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе.
Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Администрация сайта – уполномоченные сотрудники Оператора на управления сайтом Оператора, действующие от его имени, которые организуют и (или) осуществляет обработку персональных данных, а также определяет цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Конфиденциальность персональных данных - обязательное для соблюдения Оператором требование не допускать их умышленного распространения без согласия субъекта персональных данных или наличия иного законного основания.
Пользователь сайта (далее - Пользователь) – лицо, имеющее доступ к сайту Оператора, посредством сети Интернет и использующее данный сайт для своих целей.
2. ОБЩИЕ ПОЛОЖЕНИЯ
2.1. Настоящая Политика защиты и обработки персональных данных (далее – Политика) составлена в соответствии с пунктом 2 статьи 18.1 Федерального закона «О персональных данных» № 152-ФЗ от 27 июля 2006 г., а также иными нормативными правовыми актами Российской Федерации в области защиты и обработки персональных данных с целью обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну. Настоящая Политика действует в отношении всех персональных данных, в том числе специальных и биометрических, которые ООО ФЦ «АКВАМАРИН» (далее – Оператор) может получить от субъекта персональных данных, являющегося стороной по гражданско-правовому договору, от Пользователя сети Интернет во время использования сайта Оператора, от субъекта персональных данных, использующего сервисы, программы или услуги Оператора, в том числе на бездоговорной основе, от субъекта персональных данных, состоящего с Оператором в трудовых отношениях, а также от субъекта персональных данных, являющегося кандидатом на работу у Оператора.
2.2. Оператор обеспечивает защиту обрабатываемых персональных данных от несанкционированного доступа и разглашения, неправомерного использования или утраты в соответствии с требованиями Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных».
2.3. Оператор вправе вносить изменения в настоящую Политику без согласия субъекта персональных данных. Новая редакция Политики вступает в силу с момента ее размещения на сайте, если иное не предусмотрено новой редакцией Политики.
2.4. Использование Пользователем сайта Оператора означает согласие с настоящей Политикой конфиденциальности и условиями обработки персональных данных Пользователя.
2.5. В случае несогласия с условиями Политики конфиденциальности Пользователь должен прекратить использование сайта Оператора.
2.6. Настоящая Политика конфиденциальности применяется только к сайту Оператора. Администрация сайта не контролирует и не несет ответственность за сайты третьих лиц, на которые Пользователь может перейти по ссылкам, доступным на данном сайте.
2.7. Администрация сайта не проверяет достоверность персональных данных, передаваемых Пользователем на сайте.
3. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1. Получение персональных данных.
3.1.1. Все персональные данные следует получать от самого субъекта. Если персональные данные субъекта можно получить только у третьей стороны, то субъект должен быть уведомлен об этом или от него должно быть получено согласие.
3.1.2. Оператор должен сообщить субъекту о целях, предполагаемых источниках и способах получения персональных данных, характере подлежащих получению персональных данных, перечне действий с персональными данными, сроке, в течение которого действует согласие, и порядке его отзыва, а также о последствиях отказа субъекта дать письменное согласие на их получение. Оператор освобождается от обязанности предоставить субъекту персональных указанные сведения, если:
1) субъект персональных данных уведомлен об осуществлении обработки его персональных данных Оператором;
2) персональные данные получены Оператором на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных;
3) персональные данные сделаны общедоступными субъектом персональных данных или получены из общедоступного источника;
4) Оператор осуществляет обработку персональных данных для статистических или иных исследовательских целей, научной, литературной или иной творческой деятельности, если при этом не нарушаются права и законные интересы субъекта персональных данных;
5) предоставление субъекту персональных данных сведений нарушает права и законные интересы третьих лиц.
3.1.3. Документы, содержащие персональные данные, создаются путем:
– копирования оригиналов документов (паспорт, документ об образовании, свидетельство ИНН, пенсионное свидетельство и др.);
– внесения сведений в учетные формы;
– получения оригиналов необходимых документов (трудовая книжка, медицинское заключение, характеристика и др.).
3.2. Обработка персональных данных.
3.2.1. Обработка персональных данных осуществляется:
– с согласия субъекта персональных данных на обработку его персональных данных;
– в случаях, когда обработка персональных данных необходима для осуществления и выполнения Оператором возложенных законодательством РФ функций, полномочий и обязанностей;
– в случаях, когда осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе;
– обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
– обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг;
(в ред. Федерального закона от 05.04.2013 N 43-ФЗ)
– обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
– обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
– обработка персональных данных необходима для осуществления прав и законных интересов Оператора или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
– обработка персональных данных осуществляется в статистических или иных исследовательских целях, при условии обязательного обезличивания персональных данных;
– осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
3.2.2. Цели обработки персональных данных:
– для осуществления трудовых отношений с субъектом персональных данных;
– для связи с субъектом персональных данных, являющимся кандидатом на работу у Оператора;
– для осуществления гражданско-правовых отношений с субъектом персональных данных;
– для связи с субъектом персональных данных, в связи с заполнением им форм обратной связи на сайте Оператора, направлением уведомлений, запросов, касающихся использования сайта Оператора, использующего сервисы, программы или услуги Оператора, в том числе на бездоговорной основе;
– для обработки и получения платежей субъекта персональных данных;
– для предоставления субъекту персональных данных эффективной клиентской и технической поддержки при возникновении проблем связанных с использованием сайта Оператора;
– для осуществления рекламной деятельности с согласия субъекта персональных данных;
– для предоставления субъекту персональных данных доступа на сторонние сайты или сервисы партнеров сайта Оператора с целью получения их предложений, обновлений или услуг;
– для осуществления и выполнения Оператором возложенных законодательством РФ функций, полномочий и обязанностей;
– для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
– для осуществления статистических или иных исследовательских целей, при условии обязательного обезличивания персональных данных.
3.2.3. Категории субъектов персональных данных.
Обрабатываются персональные данные следующих субъектов персональных данных:
– физические лица, состоящие с Оператором в трудовых отношениях;
– физические лица, прекратившие трудовые отношения с Оператором;
– физические лица, являющиеся кандидатами на работу у Оператора;
– физические лица, состоящие с Оператором в гражданско-правовых отношениях;
– физические лица, использующие сервисы, программы или услуги Оператора, в том числе на бездоговорной основе;
– физические лица, являющиеся Пользователями сайта Оператора.
3.2.4. Персональные данные, обрабатываемые Оператором:
– данные, полученные при осуществлении трудовых отношений;
– данные, полученные для осуществления отбора кандидатов на работу у Оператора;
– данные, полученные при осуществлении гражданско-правовых отношений;
– данные, полученные от Пользователей сайта Оператора, использующих сервисы, программы или услуги Оператора, в том числе на бездоговорной основе.
3.2.5. Обработка персональных данных осуществляется без ограничения срока, любым законным способом, в том числе в информационных системах персональных данных с использованием средств автоматизации или без использования таких средств.
3.3. Хранение персональных данных.
3.3.1. Персональные данные субъектов могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде.
3.3.2. Персональные данные, зафиксированные на бумажных носителях, хранятся в запираемых шкафах либо в запираемых помещениях с ограниченным правом доступа.
3.3.3. Персональные данные субъектов, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в разных папках.
3.3.4. Не допускается хранение и размещение документов, содержащих персональных данных, в открытых электронных каталогах (файлообменниках) в ИСПД.
3.3.5. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
3.4. Уничтожение персональных данных.
3.4.1. Уничтожение документов (носителей), содержащих персональных данных, производится путем сожжения, дробления (измельчения), химического разложения, превращения в бесформенную массу или порошок. Для уничтожения бумажных документов допускается применение шредера.
3.4.2. Персональные данные на электронных носителях уничтожаются путем стирания или форматирования носителя.
3.4.3. Факт уничтожения персональных данных подтверждается документально актом об уничтожении носителей.
3.5. Передача персональных данных.
3.5.1. Оператор передает персональные данные третьим лицам в следующих случаях:
– субъект выразил свое согласие на такие действия;
– передача предусмотрена российским или иным применимым законодательством в рамках установленной законодательством процедуры.
3.5.2. Перечень лиц и органов, которым передаются персональные данные.
– Пенсионный фонд РФ для осуществления отчётности и в иных случаях, установленных законодательством;
– налоговые органы РФ для осуществления отчётности и в иных случаях, установленных законодательством;
– Фонд социального страхования РФ для осуществления отчётности и в иных случаях, установленных законодательством;
– территориальный фонд обязательного медицинского страхования для осуществления отчётности и в иных случаях, установленных законодательством;
– страховые медицинские организации по обязательному и добровольному медицинскому страхованию в случаях, установленных законодательством;
– банки для начисления заработной платы (на основании договора);
– военный комиссариат для осуществления отчётности и в иных случаях, установленных законодательством;
– органы судебной власти, Прокуратуры, органы исполнительного производства в случаях, установленных законодательством;
– органы государственной власти, осуществляющие функции обороны страны, безопасности государства и обеспечения правопорядка в случаях, установленных законодательством.
4. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. В соответствии с требованиями нормативных документов Оператором создана система защиты персональных данных (СЗПД), состоящая из подсистем правовой, организационной и технической защиты.
4.2. Подсистема правовой защиты представляет собой комплекс правовых, организационно-распорядительных и нормативных документов, обеспечивающих создание, функционирование и совершенствование СЗПД.
4.3. Подсистема организационной защиты включает в себя организацию структуры управления СЗПД, разрешительной системы, защиты информации при работе с сотрудниками, партнерами и сторонними лицами.
4.4. Подсистема технической защиты включает в себя комплекс технических, программных, программно-аппаратных средств, обеспечивающих защиту персональных данных.
4.4. Основными мерами защиты персональных данных, используемыми Оператором, являются:
4.5.1. Назначение лица, ответственного за обработку персональных данных, которое осуществляет организацию обработки персональных данных, обучение и инструктаж, внутренний контроль за соблюдением учреждением и его работниками требований к защите персональных данных.
4.5.2. Определение актуальных угроз безопасности персональных данных при их обработке в ИСПД и разработка мер и мероприятий по защите персональных данных.
4.5.3. Разработка политики в отношении обработки персональных данных.
4.5.4. Установление правил доступа к персональных данных, обрабатываемым в ИСПД, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в ИСПД.
4.5.5. Установление индивидуальных паролей доступа сотрудников в информационную систему в соответствии с их производственными обязанностями.
4.5.6. Применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации.
4.5.7. Сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами.
4.5.8. Соблюдение условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный к ним доступ.
4.5.9. Обнаружение фактов несанкционированного доступа к персональным данным и принятие мер.
4.5.10. Восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
4.5.11. Обучение работников Оператора, непосредственно осуществляющих обработку персональных данных, положениям законодательства РФ о персональных данных, в том числе требованиям к защите персональных данных, документам, определяющим политику Оператора в отношении обработки персональных данных, локальным актам по вопросам обработки персональных данных.
5. ОСНОВНЫЕ ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ. ОБЯЗАННОСТИ ОПЕРАТОРА
5.1. Основные права субъекта персональных данных.
Субъект персональных данных имеет право:
5.1.1. на доступ к его персональным данным;
5.1.2. на доступ к следующим сведениям:
– подтверждение факта обработки персональных данных Оператором;
– правовые основания и цели обработки персональных данных;
– цели и применяемые Оператором способы обработки персональных данных;
– наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональных данных или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
– сроки обработки персональных данных, в том числе сроки их хранения;
– порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом;
– наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
5.1.3. на обращение к Оператору и направление ему запросов;
5.1.4. на обжалование действий или бездействия Оператора.
5.2. Обязанности Оператора.
Оператор обязан:
– при сборе персональных данных предоставить информацию об обработке персональных данных;
– в случаях если персональные данные были получены не от субъекта персональных данных, уведомить субъекта;
– при отказе в предоставлении персональных данных разъяснить субъекту персональных данных последствия такого отказа;
– опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных;
– принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
– давать ответы на запросы и обращения субъектов персональных данных, их представителей и уполномоченного органа по защите прав субъектов персональных данных.
6. ОТВЕТСТВЕННОСТЬ СТОРОН
6.1. Оператор несёт ответственность за умышленное разглашение персональных данных субъектов персональных данных в соответствии с действующим законодательством.
6.2. В случае разглашения персональных данных субъекта персональных данных Оператор не несёт ответственность, если данная конфиденциальная информация:
6.2.1. стала публичным достоянием до её разглашения.
6.2.2. была получена третьей стороны до момента её получения Оператором.
6.2.3. была получена третьими лицами путем несанкционированного доступа к файлам сайта Оператора.
6.2.4. была разглашена с согласия субъекта персональных данных.
6.3. Субъект персональных данных несет ответственность за правомерность, корректность и правдивость предоставленных персональных данных в соответствии с действующим законодательством.
7. РАЗРЕШЕНИЕ СПОРОВ
7.1. До обращения в суд с иском по спорам, возникающим из отношений между субъектом персональных данных и Оператором, обязательным является предъявление претензии (письменного предложения о добровольном урегулировании спора).
7.2 .Получатель претензии в течение 30 календарных дней со дня получения претензии, письменно уведомляет заявителя претензии о результатах рассмотрения претензии.
7.3. При не достижении соглашения спор может быть передан на рассмотрение в судебный орган в соответствии с действующим законодательством.
7.4. К настоящей Политике конфиденциальности и отношениям между субъектом персональных данных и Оператором применяется действующее законодательство.