1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок сбора, хранения, передачи и иных видов обработки персональных данных Общества с ограниченной ответственностью «ВНЕШПРОЕКТ» (далее — Оператор), а также сведения о реализуемых требованиях к защите персональных данных.
Сведения об Операторе:
Полное наименование: Общество с ограниченной ответственностью «ВНЕШПРОЕКТ»
ИНН: 7709485615
ОГРН: 1167746191777
E-mail: vneshproekt@inbox.ru
1.2. Политика разработана в соответствии с требованиями Конституции Российской Федерации; Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о ПДн); Трудового кодекса Российской Федерации; Налогового кодекса Российской Федерации; иных применимых нормативных правовых актов Российской Федерации.
1.3. Область применения: настоящая Политика действует в отношении всей информации, которую Оператор может получить о работниках, соискателях, родственниках работников, уволенных работниках, клиентах, контрагентах и представителях контрагентов в рамках ведения кадрового и бухгалтерского учета, а также подготовки, заключения и исполнения гражданско-правовых договоров.
1.4. Получение согласия: согласие на обработку персональных данных дается субъектом персональных данных свободно, своей волей и в своем интересе. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие может быть дано в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случаях, когда обработка осуществляется для ведения кадрового и бухгалтерского учета, подготовки, заключения и исполнения гражданско-правового договора либо на иных предусмотренных законодательством Российской Федерации основаниях, отдельное согласие субъекта не требуется, за исключением случаев, когда получение согласия прямо предусмотрено законодательством Российской Федерации или локальными актами Оператора.
2. Основные понятия, используемые в Политике
2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
2.2. Оператор персональных данных (Оператор) — ООО «ВНЕШПРОЕКТ», самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
2.3. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемые с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
2.4. Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.
2.5. Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
2.6. Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
2.7. Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
2.8. Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
2.9. Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.
2.10. Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
3. Категории субъектов персональных данных
Оператор осуществляет обработку персональных данных следующих категорий субъектов:
— Работники — лица, состоящие с Оператором в трудовых отношениях.
— Соискатели — лица, претендующие на замещение вакантных должностей у Оператора.
— Родственники работников — лица, сведения о которых обрабатываются в рамках кадрового, бухгалтерского, налогового и воинского учета в случаях, предусмотренных законодательством Российской Федерации.
— Уволенные работники — лица, ранее состоявшие с Оператором в трудовых отношениях.
— Клиенты — физические лица, обратившиеся к Оператору в целях подготовки, заключения и исполнения гражданско-правового договора.
— Контрагенты и их представители — физические лица, являющиеся сторонами по гражданско-правовым договорам с Оператором, а также представители юридических лиц и индивидуальных предпринимателей, с которыми Оператор состоит в договорных отношениях или намерен их заключить.
4. Цели, правовые основания и порядок обработки персональных данных
4.1. Обработка персональных данных в целях ведения кадрового и бухгалтерского учета.
Цели обработки: ведение кадрового и бухгалтерского учета.
Категории персональных данных: фамилия, имя, отчество; дата рождения; место рождения; семейное положение; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; данные документа, удостоверяющего личность; номер лицевого счета; профессия; должность; сведения о трудовой деятельности; отношение к воинской обязанности, сведения о воинском учете; сведения об образовании.
Категории субъектов: работники; соискатели; родственники работников; уволенные работники.
Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); блокирование; удаление; уничтожение.
Способы обработки: смешанная; без передачи по внутренней сети юридического лица; с передачей по сети Интернет.
Правовое основание: обработка осуществляется с согласия субъекта персональных данных; обработка необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта.
4.2. Обработка персональных данных в целях подготовки, заключения и исполнения гражданско-правового договора.
Цели обработки: подготовка, заключение и исполнение гражданско-правового договора.
Категории персональных данных: фамилия, имя, отчество; дата рождения; адрес электронной почты; номер телефона; ИНН; номер расчетного счета; должность.
Категории субъектов: контрагенты; представители контрагентов; клиенты.
Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); блокирование; удаление; уничтожение.
Способы обработки: смешанная; без передачи по внутренней сети юридического лица; с передачей по сети Интернет.
Правовое основание: обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта.
5. Порядок сбора, хранения, передачи и других видов обработки персональных данных
5.1. Сроки обработки и хранения. Обработка персональных данных начинается с момента их получения от субъекта либо его законного представителя и осуществляется: до достижения целей обработки; до отзыва согласия субъектом (в случаях, когда обработка осуществляется на основании согласия); до прекращения деятельности Оператора; в течение сроков, установленных законодательством Российской Федерации.
Специальные сроки хранения по категориям субъектов: данные работников, соискателей, родственников работников и уволенных работников хранятся в течение сроков, установленных трудовым, налоговым, бухгалтерским, архивным и иным законодательством Российской Федерации, а также локальными актами Оператора; данные клиентов, контрагентов, представителей контрагентов хранятся в течение срока подготовки, заключения и исполнения договора, срока оказания услуг, а также в течение сроков, установленных законодательством Российской Федерации о бухгалтерском и налоговом учете, и в пределах общего срока исковой давности.
По истечении указанных сроков, достижении целей обработки или в случае отзыва согласия субъектом (если не имеется иных законных оснований для обработки) персональные данные подлежат уничтожению в течение 30 (тридцати) дней либо обезличиванию в целях статистического учета, если иное не предусмотрено законодательством Российской Федерации.
5.2. Место хранения баз данных (локализация): базы данных, содержащие персональные данные граждан Российской Федерации, располагаются на территории Российской Федерации.
5.3. Передача персональных данных третьим лицам. Оператор передает и (или) поручает обработку персональных данных третьим лицам в случаях и в объеме, необходимых для достижения заявленных целей обработки, на основании договоров, содержащих условия о защите персональных данных, либо в случаях, прямо предусмотренных законодательством Российской Федерации. Оператор передает сведения, необходимые для ведения кадрового, бухгалтерского, налогового и воинского учета, в Федеральную налоговую службу Российской Федерации, Социальный фонд России, военные комиссариаты, банки, а также предоставляет необходимые сведения в иные уполномоченные органы в целях соблюдения требований законодательства Российской Федерации. Передача уполномоченным органам государственной власти (ФНС России, Социальный фонд России, военные комиссариаты, Роскомнадзор, судебные и правоохранительные органы, иные уполномоченные органы) осуществляется исключительно по основаниям и в порядке, предусмотренным законодательством Российской Федерации.
5.4. Трансграничная передача: Оператор не осуществляет трансграничную передачу персональных данных. Обработка и хранение персональных данных осуществляются на серверах, расположенных на территории Российской Федерации.
6. Актуализация, исправление, удаление и уничтожение персональных данных
6.1. Права субъекта персональных данных. Субъект персональных данных имеет право: получать информацию, касающуюся обработки его персональных данных, в том числе сведения о подтверждении факта обработки, правовых основаниях и целях обработки, применяемых способах обработки, наименовании и месте нахождения Оператора, о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные; требовать от Оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленной цели обработки; отозвать согласие на обработку персональных данных в порядке, предусмотренном законодательством Российской Федерации; обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке; осуществлять иные права, предусмотренные Федеральным законом № 152-ФЗ «О персональных данных».
6.2. Порядок реализации прав. Для реализации своих прав субъект персональных данных направляет письменный запрос Оператору по адресу электронной почты: vneshproekt@inbox.ru. Запрос должен содержать сведения, предусмотренные статьей 14 Федерального закона № 152-ФЗ «О персональных данных». Оператор обязуется рассмотреть запрос и предоставить ответ в срок, не превышающий 10 (десяти) рабочих дней со дня получения запроса. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней, при условии направления субъекту мотивированного уведомления с указанием причин продления.
6.3. Уничтожение персональных данных. Оператор прекращает обработку персональных данных и осуществляет их уничтожение в случаях и в сроки, предусмотренные статьей 21 Федерального закона № 152-ФЗ «О персональных данных», в том числе при достижении целей обработки, отзыве согласия субъектом (при отсутствии иных законных оснований для обработки) либо при выявлении неправомерной обработки. Подтверждением уничтожения являются: при обработке без использования средств автоматизации — акт об уничтожении персональных данных; при автоматизированной обработке — акт об уничтожении персональных данных вместе с выгрузкой из журнала регистрации событий в информационной системе персональных данных. Указанные документы хранятся Оператором в течение 3 (трех) лет с момента уничтожения персональных данных в соответствии с требованиями нормативных правовых актов Российской Федерации, включая Приказ Роскомнадзора от 28.10.2022 № 179.
7. Меры по обеспечению безопасности персональных данных
7.1. В целях защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий Оператор принимает необходимые и достаточные правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Федерального закона № 152-ФЗ «О персональных данных», а также Постановлением Правительства Российской Федерации от 01.11.2012 № 1119.
К правовым мерам относятся: принятие настоящей Политики; издание внутренних документов (локальных актов), определяющих политику Оператора в отношении обработки персональных данных; включение в договоры с третьими лицами (обработчиками) условий о соблюдении конфиденциальности и обеспечении безопасности персональных данных.
К организационным мерам относятся: назначение лица, ответственного за организацию обработки персональных данных; осуществление внутреннего контроля соответствия обработки требованиям законодательства РФ; ограничение доступа к персональным данным только для лиц, которым такой доступ необходим для выполнения обязанностей; ограничение физического доступа посторонних лиц к помещениям и техническим средствам обработки; определение актуальных угроз безопасности персональных данных.
К техническим мерам относятся: использование лицензионного антивирусного программного обеспечения; парольная защита доступа к компьютерам (включая использование сложных паролей); регулярное обновление программного обеспечения; создание резервных копий баз данных.
7.2. При выявлении неправомерной обработки персональных данных либо инцидента, связанного с неправомерным или случайным доступом к персональным данным, Оператор принимает меры по прекращению неправомерной обработки, ограничению неправомерного доступа, установлению причин и обстоятельств произошедшего, а также по предотвращению подобных случаев в дальнейшем. В случаях, предусмотренных законодательством Российской Федерации, Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных в установленном порядке.
7.3. Локализация баз данных. Все базы данных, используемые Оператором для сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения) и извлечения персональных данных граждан Российской Федерации, находятся на территории Российской Федерации в соответствии с частью 5 статьи 18 Федерального закона «О персональных данных».
8. Заключительные положения
8.1. Контактные данные для обращений: субъект персональных данных может получить любые разъяснения по интересующим вопросам, касающимся обработки его персональных данных, обратившись к Оператору по электронной почте: vneshproekt@inbox.ru.
8.2. Изменения Политики: Оператор имеет право вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента ее утверждения Оператором, если иное не предусмотрено новой редакцией Политики.
8.3. Актуальная версия Политики предоставляется субъектам персональных данных по запросу и размещается в месте, обеспечивающем неограниченный доступ к документу, определяющему политику Оператора в отношении обработки персональных данных.
8.4. Контроль за исполнением требований настоящей Политики осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных, назначенным приказом Оператора.
8.5. Все споры, возникающие в связи с обработкой персональных данных, разрешаются в досудебном претензионном порядке, а при недостижении согласия — в порядке, установленном законодательством Российской Федерации.