Политика №1 от 01.01.2023

ПОЛИТИКА
обработки персональных данных
ООО "Центр управления продажами"

1. Общие положения

1.1. Область применения

1.1.1. Настоящая «Политика обработки персональных данных» (далее – Политика) регулирует отношения, связанные с обработкой персональных данных, осуществляемой ООО «Центр управления продажами» (далее – Общество) с использованием средств автоматизации или без использования таких средств, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, а также вопросы обеспечения безопасности персональных данных.

1.1.2. Настоящая Политика определяет главные принципы, которыми руководствуется Общество при обработке персональных данных в процессе осуществления своей деятельности.

1.1.3. Настоящая Политика разработана в соответствии с положениями действующих нормативно-правовых актов Российской Федерации, в том числе:

• Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных»;
• Постановления Правительства Российской Федерации от 15.09.2008 №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Постановления правительства Российской Федерации от 01.11.2012 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Приказа ФСТЭК России от 18.02.2013 №21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

1.1.4. Целью настоящей Политики является формирование и проведение единой политики в области обеспечения безопасности персональных данных.

1.1.5. Действие настоящей Политики распространяется на все процессы Общества, связанные с обработкой персональных данных.

1.1.6. Внутренние документы Общества, затрагивающие вопросы, рассматриваемые в настоящей Политике, должны разрабатываться с учетом положений настоящей Политики и не противоречить им.

1.1.7. В настоящей политике рассматриваются категории персональных данных, включающие в себя любую информацию, которая относится прямо или косвенно к субъекту персональных данных; специальные категории персональных данных, включающие в себя информацию о состояние здоровья субъекта персональных данных.

1.1.8. Настоящая Политика размещена в открытом неограниченном доступе на официальном Интернет-сайте Общества (https://valera.ai/, http://callmart.ru/).

1.1.9. На основании приказа Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций Общество включено в реестр операторов, осуществляющих обработку персональных данных.

1.2. Термины и определения

Ниже приводится список терминов и определений, принятых в рамках данного документа:

1.3. Сокращения

В данном документе используются следующие сокращения:

2. ОСНОВНЫЕ ПОЛОЖЕНИЯ

2.1. Принципы обработки персональных данных

2.1.1. Обработка ПДн в Обществе осуществляется на основании следующих принципов:

• законности и справедливости целей и способов обработки ПДн;
• соответствия целей обработки ПДн законным целям, заранее определенным и заявленным при сборе ПДн, а также полномочиям Общества;
• соответствия объема и содержания обрабатываемых ПДн, способов обработки ПДн целям обработки ПДн;
• точности ПДн, их достаточности для целей обработки, недопустимости обработки ПДн, избыточных по отношению к целям, заявленным при сборе ПДн;
• недопустимости объединения созданных для несовместимых между собой целей баз данных, содержащих ПДн;
• хранения ПДн в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, или устанавливающий срок хранения федеральный закон, договор, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн;
• уничтожения или обезличивание ПДн по достижении целей их обработки, в случае утраты необходимости в достижении целей обработки или по окончании срока хранения ПДн, установленного федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн;
• обеспечения конфиденциальности и безопасности обрабатываемых персональных данных.

2.2. Цели обработки персональных данных

2.2.1. Целями обработки ПДн являются:

• осуществление возложенных на Общество законодательством РФ функций;
• выполнение работ, услуг, функций, полномочий и обязанностей, определенных внутренними документами Общества, заключение Обществом с клиентами и контрагентами гражданско-правовых договоров и исполнение обязательств по ним, ведение реестра заключенных клиентами договоров, выполнение договорных обязательств Общества перед клиентами и контрагентами;
• продвижение на рынке товаров, работ, услуг Общества путем осуществления прямых контактов с клиентами с помощью средств связи, повышение и контроль за качеством обслуживания, предоставления клиенту эффективной клиентской и технической поддержки, в статистических целях, информирование клиентов о работе сервиса и систем, коммуникация с клиентами, представителями клиентов по использованию сервисов и систем;
• организация учета работников Общества для обеспечения соблюдения требований законов и иных нормативных правовых актов, обеспечение очередности предоставления отпусков, расчета размера заработной платы, организация контроля количества и качества выполняемой работы, ведение кадрового и бухгалтерского учета;
• содействие работникам Общества в осуществлении бронирования номеров в отелях, гостиницах, оформлении проездных билетов, оформлении виз и предоставлении сопутствующих услуг работникам Общества в случае направления их в служебные командировки/поездки, пользовании различного вида льготами;
• подбор персонала (соискателей) на вакантные должности Общества;
• участие Общества в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах, исполнение судебного акта;

2.3. Субъекты персональных данных

2.3.1. Субъектами ПДн в Обществе являются:

• физические лица, заключившие или планирующие заключить с Обществом гражданско-правовой договор ;
• соискатели вакантных должностей в Обществе;
• действующие и уволенные работники Общества, а также члены их семей;
• представители (работники) клиентов и контрагентов Общества, в том числе представители потенциальных клиентов и контрагентов;
• иные физические лица, выразившие согласие на обработку Обществом их персональных данных или физические лица, обработка ПД которых необходима Обществу для достижения целей, предусмотренных международным договором РФ или законом, для осуществления и выполнения возложенных на Общество функций, полномочий и обязанностей.

2.4. Состав персональных данных

2.4.1. В процессе своей деятельности Общество осуществляет обработку следующих персональных данных:

• фамилия, имя, отчество;
• пол;
• дата и место рождения;
• данные документа, удостоверяющего личность (тип документа, серия и номер документа дата выдачи, наименование органа, выдавшего документ, код подразделения);
• сведения о гражданстве;
• страховой номер индивидуального лицевого счета;
• место работы и должность;
• информации о семейном, социальном, имущественном, финансовом положении;
• адрес места жительства (адрес регистрации, адрес проживания);
• электронный адрес (e-mail);
• номера контактных телефонов;
• идентификационный номер налогоплательщика;
• сведения, собираемые посредством метрических программ;
• иная информация необходимая Обществу для осуществления услуг, согласно заключенному договору.

2.4.2. Для лиц, являющихся работниками Общества, проходящих процедуры оформления на работу с целью заключения трудового договора Общество дополнительно осуществляет обработку следующих персональных данных:

• образование и профессия;
• сведения о профессиональной переподготовке, повышении квалификации;
• сведения о воинском учете;
• данные, содержащиеся в трудовой книжке;
• контактная информация о текущем и предыдущих местах работы;
• сведения о привлечении к уголовной/административной ответственности;
• информация о близких родственниках (фамилия, имя и отчество, дата рождения,
• адрес проживания, место работы, должность);
• другая информация, представленная соискателем в резюме (анкете).
• должность и подразделение;
• сведения об учете рабочего времени;

2.4.3. Общество осуществляет обработку специальных персональных данных в части состояния здоровья сотрудников:

• сведения документов, подтверждающих право на льготы, в том числе сведения о инвалидности;
• сведения о временной нетрудоспособности (листки нетрудоспособности).

2.5. Согласие на обработку персональных данных

2.5.1. Получение и обработка ПДн осуществляется Обществом с согласия субъекта ПДн.

2.5.2. Письменное согласие субъекта ПДн должно включать:

• фамилию, имя, отчество, адрес субъекта ПДн/представителя субъекта ПДн, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных);
• наименование и адрес Общества;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Общества, если обработка будет поручена такому лицу;
• цель обработки ПДн;
• перечень ПДн, на обработку которых дается согласие субъекта ПДн;
• перечень действий с ПДн, на совершение которых дается согласие, общее описание используемых Обществом способов обработки ПДн;
• срок, в течение которого действует согласие, а также порядок его отзыва;
• подпись субъекта ПДн.

2.5.3. Согласие на обработку ПДн может быть дано субъектом ПДн или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку ПДн от представителя субъекта ПДн полномочия данного представителя на дачу согласия от имени субъекта ПДн проверяются Обществом.

2.5.4. Согласие на обработку ПДн может быть отозвано субъектом ПДн путем направления Обществу письменного заявления в свободной форме. В этом случае Общество обязуется прекратить обработку, а также уничтожить все имеющиеся у Общества ПДн в сроки, установленные ФЗ «О персональных данных». Общество вправе обрабатывать ПДн без согласия субъекта ПДн (или при отзыве субъектом ПДн указанного согласия) при наличии оснований, указанных в ФЗ «О персональных данных».

2.6. Поручение на обработку персональных данных

2.6.1. Общество вправе поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено федеральным законом, на основании заключаемого с этой стороной договора (поручения на обработку ПДн). Лицо, осуществляющее обработку ПДн по поручению Общества, обязано соблюдать принципы и правила обработки ПДн, предусмотренные ФЗ «О персональных данных».

2.6.2. В поручении Общества должны быть определены перечень действий (операций) с ПДн, которые будут совершаться лицом, осуществляющим обработку ПДн, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность ПДн и обеспечивать безопасность ПДн при их обработке, а также должны быть указаны требования к обеспечению защиты и конфиденциальности обрабатываемых ПДн в соответствии с ФЗ «О персональных данных» и обязанность по запросу Общества в течение срока действия поручения (в том числе до обработки персональных данных), предоставлять документы и иную информацию, подтверждающие принятие мер по обеспечению безопасности ПДн, а также требование об уведомлении Общества о случаях неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных в порядке, предусмотренном ФЗ «О персональных данных».

2.7. Обязанности ответственных лиц Общества при обработке персональных данных

2.7.1. Лицом, ответственным за организацию и обеспечение безопасности ПДн является его Генеральный директор. В рамках своих обязанностей указанное лицо осуществляет общую организацию обработки ПДн, в том числе:

• уведомление уполномоченного органа по защите прав субъектов ПДн об обработке ПДн в соответствии с требованиями ФЗ «О персональных данных»;
• организацию приема и обработки обращений и запросов субъектов ПДн (или их представителей), а также контролирующих органов и контроля за приемом и обработкой таких обращений и запросов;
• организацию процессов повышения уровня осведомлённости работников Общества в вопросах обработки ПДн.
• организацию работ по обеспечению безопасности ПДн и внутренний контроль за соблюдением Обществом и его работникам законодательства Российской Федерации в области ПДн.

2.8. Способы обработки персональных данных

2.8.1. Обработка ПДн Обществом осуществляется путем сбора, записи, систематизации, накопления, хранения, уточнения (обновление, изменение), извлечения, использования, передачи (предоставление, доступ), обезличивания, блокирования, удаления, уничтожения.

2.8.2. Общество осуществляет обработку персональных данных следующими способами:

• автоматизированная обработка (производится при помощи средств вычислительной техники);
• неавтоматизированная обработка (производителя без участия средств вычислительной техники);
• смешанная обработка (производится как при помощи средств вычислительной техники, так и без них).

2.8.3. Запрещается принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных настоящей Политикой.

2.8.4. Решение, порождающее юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его персональных данных только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.

2.8.5. В случае необходимости осуществления трансграничной передачи персональных данных Общество, перед совершением такой передачи, обязано убедиться в том, что иностранным государством, на территорию которого осуществляется передача персональных данных, обеспечивается адекватная защита прав субъектов персональных данных, а также отсутствии установленных законодательством запретов или ограничений на передачу персональных данных на территорию данного иностранного государства.

2.8.6. Распространение ПДн осуществляется только после получения согласия на распространение ПДн, оформленного отдельно от иных согласий субъекта ПДн на обработку его персональных данных, в котором должен быть определен перечень ПДн, разрешенных субъектом ПДн для распространения.

2.8.7. Уточнение ПДн, обрабатываемых Обществом осуществляется по запросам субъектов ПДн, их законных представителей или в случае обращения уполномоченного органа по защите прав субъектов ПДн.

2.8.8. Основанием для уничтожения ПДн, обрабатываемых Обществом, является:

• достижение цели обработки ПДн;
• прекращение необходимости в достижении цели обработки ПДн;
• отзыв субъектом ПДн согласия на обработку своих ПДн, за исключением случаев, когда обработка указанных ПДн является обязательной в соответствии с законодательством Российской Федерации или договором, либо обработка может осуществляться без согласия субъекта ПДн;
• выявление неправомерных действий с ПДн и невозможности устранения допущенных нарушений в срок, не превышающий трех рабочих дней с даты такого выявления;
• истечение срока хранения ПДн, установленного законодательством РФ, нормативными документами Общества и согласием субъекта ПДн;
• предписание уполномоченного органа по защите прав субъектов ПДн (Роскомнадзор) или иного уполномоченного органа.

2.8.9. Обрабатываемые ПДн подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае прекращения необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

2.8.10. При обработке ПДн в ИСПДн с целью обеспечения безопасности ПДн, при наличии технической возможности, Общество стремится:

• исключать фиксацию на одном материальном носителе ПДн и иных видов информации, а также ПДн, цели, обработки которых заведомо несовместимы;
• для каждой категории ПДн использовать отдельный материальный носитель.

2.9. Период обработки и хранения персональных данных

2.9.1. Сроки обработки указанных выше ПДн определяются в соответствии со сроком, указанным в согласии на обработку ПДн, Приказом Росархива от 20.12.2019 N 236 "Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения", а также иными требованиями законодательства Российской Федерации.

2.9.2. Обработка ПДн начинается с момента их получения Обществом и прекращается:

• в случае выявления неправомерной обработки ПДн Обществом или лицом, действующим по поручению Общества, Общество в срок, не превышающий десяти рабочих дней с даты такого выявления, обязано прекратить неправомерную обработку ПДн или обеспечить прекращение неправомерной обработки ПДн лицом, действующим по поручению Общества. В случае невозможности устранения допущенных нарушений Общество в срок, не превышающий десять рабочих дней с даты выявления неправомерности действий с ПДн, уничтожает ПДн или обеспечивает их уничтожение. Об устранении допущенных нарушений или об уничтожении ПДн Общество уведомляет субъекта ПДн или его представителя, а в случае, если обращение или запрос были направлены Роскомнадзором - также этот орган;
• в случае достижения цели обработки ПДн Общество незамедлительно прекращает обработку ПДн и уничтожает соответствующие ПДн в срок, не превышающий тридцати рабочих дней с даты достижения цели обработки ПДн;
• в случае отзыва субъектом ПДн согласия на обработку своих ПДн Общество прекращает обработку ПДн и уничтожает (за исключением ПДн, которые хранятся в соответствии с действующим законодательством) ПДн в срок, не превышающий десяти рабочих дней с даты поступления указанного отзыва. Об уничтожении ПДн Общество уведомляет субъекта ПДн.

2.9.3. В случае отсутствия возможности уничтожения ПДн Общество осуществляет блокирование таких ПДн или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) и обеспечивает уничтожение ПДн в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

3. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Субъект ПДн имеет право на получение информации, касающейся обработки Обществом его ПДн.

3.2. Субъект ПДн вправе требовать от Общества уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

3.3. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только при условии предварительного согласия субъекта ПДн.

3.4. Общество принимает и обрабатывает запросы субъектов персональных данных и предоставляет сведения, подтверждающие факты обработки персональных данных, правовые основания, цели, сроки и способы обработки персональных данных, виды обрабатываемых персональных данных, свое наименование и местонахождение.

4. ОСНОВНЫЕ МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПДН

4.1. Общество принимаются следующие меры по обеспечению выполнения обязанностей, предусмотренных ФЗ «О персональных данных», в том числе в части обеспечения безопасности ПДн:

• определено лицо, ответственное за организацию обработки персональных данных в Обществе (генеральный директор);
• разработаны локальные документы по вопросам обработки и обеспечения безопасности персональных данных;
• осуществляется ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ о персональных данных, локальными актами по вопросам обработки персональных данных;
• осуществляется внутренний контроль и аудит соответствия обработки персональных данных законодательству РФ;
• определяются и моделируются угрозы безопасности персональных данных при их обработке;
• проводится оценка вреда, который может быть причинен субъектам персональных данных;
• производится учет машинных носителей персональных данных;
• применяются средства защиты персональных данных;
• обеспечивается регистрация и учет действий, совершаемых с персональными данными;
• проводится оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационных систем персональных данных;
• проводятся мероприятия по обнаружению фактов несанкционированного доступа к персональным данным;
• проводится восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• ограничение доступа к персональным данным, обрабатываемым Обществом;
• обеспечивается регистрация и учет действий, совершаемых с персональными данными;

4.2. Меры по обеспечению безопасности ПДн принимаются для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн и направлены на нейтрализацию актуальных угроз безопасности ПДн.

4.3. Состав и содержание организационных и технических мер безопасности ПДн устанавливается в соответствии с внутренними документами Общества.

5. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

В случае изменений законодательных и иных нормативных актов Российской Федерации настоящий документ, а также изменения к нему, применяются в части, не противоречащей вновь принятым законодательным и иным нормативным актам.