Политика конфиденциальности персональных данных
Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) Общества с ограниченной ответственностью «Аттика Упаковка» (далее – Оператор и/или ООО «Аттика Упаковка») разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона № 152-ФЗ от 27.07.2006 года «О персональных данных» (далее - Закон о ПДн) в целях обеспечения защиты прав и свобод человека и гражданина при обработке его ПДн, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.2. Политика действует в отношении всех ПДн, которые обрабатывает ООО «Аттика Упаковка».
1.3. Политика распространяется на отношения в области обработки ПДн, возникшие у Оператора как до, так и после утверждения настоящей Политики. 1.4. Во исполнение требований ч. 2 ст. 18.1 Закона о ПДн настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте Оператора. 1.5. Основные понятия, используемые в Политике: 1.5.1. персональные данные (далее – ПДн) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПДн); 1.5.2. оператор ПДн (оператор) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн; 1.5.3. обработка ПДн – любое действие (операция) или совокупность действий (операций) с ПДн, совершаемых с использованием средств автоматизации или без их использования. Обработка ПДн включает в себя в том числе:
а) сбор;
б) запись;
в) систематизацию;
г) накопление;
д) хранение;
е) уточнение (обновление, изменение);
ж) извлечение;
з) использование;
и) передачу (распространение, предоставление, доступ);
к) обезличивание;
л) блокирование;
м) удаление;
н) уничтожение;
1.5.4. автоматизированная обработка ПДн – обработка ПДн с помощью средств вычислительной техники;
1.5.5. распространение ПДн – действия, направленные на раскрытие ПДн неопределенному кругу лиц;
1.5.6. предоставление ПДн – действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц;
1.5.7. блокирование ПДн – временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн);
1.5.8. уничтожение ПДн – действия, в результате которых становится невозможным восстановить содержание ПДн в информационной системе ПДн и (или) в результате которых уничтожаются материальные носители ПДн;
1.5.9. обезличивание ПДн – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту ПДн;
1.5.10. информационная система ПДн – совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств.
1.6. Основные права и обязанности Оператора.
1.6.1. Оператор имеет право: а) самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о ПДн и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о ПДн или другими федеральными законами; б) поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку ПДн по поручению Оператора, обязано соблюдать принципы и правила обработки ПДн, предусмотренные Законом о ПДн, соблюдать конфиденциальность ПДн, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом о ПДн;
в) в случае отзыва субъектом ПДн согласия на обработку ПДн Оператор вправе продолжить обработку ПДн без согласия субъекта ПДн при наличии оснований, указанных в Законе о ПДн.
1.6.2. Оператор обязан:
а) организовывать обработку ПДн в соответствии с требованиями Закона о ПДн;
б) отвечать на обращения и запросы субъектов ПДн и их законных представителей в соответствии с требованиями Закона о ПДн;
в) сообщать в уполномоченный орган по защите прав субъектов ПДн – Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее – Роскомнадзор) по запросу этого органа необходимую информацию в течение 10 рабочих дней с даты получения такого запроса. Данный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить в Роскомнадзор мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации;
г) в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование его о компьютерных инцидентах, которые повлекли неправомерную передачу (предоставление, распространение, доступ) ПДн.
1.7. Основные права субъекта ПДн.
1.7.1. Субъект ПДн имеет право:
а) получать информацию, касающуюся обработки его ПДн, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются субъекту ПДн Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам ПДн, за исключением случаев, когда имеются законные основания для раскрытия таких ПДн. Перечень информации и порядок ее получения установлен Законом о ПДн; б) требовать от оператора уточнения его ПДн, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав; в) дать предварительное согласие на обработку ПДн в целях продвижения на рынке товаров, работ и услуг; г) обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействие Оператора при обработке его ПДн. 1.8. Контроль за исполнением требований настоящей Политики осуществляется уполномоченным лицом, ответственным за организацию обработки ПДн у Оператора.
1.9. Ответственность за нарушение требований законодательства Российской Федерации и нормативных актов ООО «Аттика Упаковка» в сфере обработки и защиты ПДн определяется в соответствии с законодательством Российской Федерации.
Цели сбора персональных данных
2.1. Обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора ПДн.
2.2. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
2.3. Обработка Оператором ПДн осуществляется в следующих целях:
2.3.1. осуществление своей деятельности в соответствии с уставом ООО «Аттика Упаковка», в том числе заключение и исполнение договоров с контрагентами;
2.3.2. исполнение трудового законодательства в рамках трудовых и иных непосредственно связанных с ним отношений, в том числе: содействие работникам в трудоустройстве, получении образования и продвижении по службе, привлечение и отбор кандидатов на работу у Оператора, обеспечение личной безопасности работников, контроль количества и качества выполняемой работы, обеспечение сохранности имущества, ведение кадрового и бухучета, заполнение и передача в уполномоченные органы требуемых форм отчетности, организация постановки на индивидуальный (персонифицированный) учет работников в системах обязательного пенсионного страхования и обязательного социального страхования;
2.3.3. осуществление пропускного режима;
2.3.4. осуществление маркетинговых и/или корпоративных мероприятий, в том числе в целях создание рекламных материалов для продвижения товаров и услуг Оператора с использованием ПДн субъектов ПДн, давших согласие на такого рода использование ПДн
2.4. Обработка ПДн работников может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов.
Правовые основания обработки персональных данных
3.1. Правовым основанием обработки ПДн является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку ПДн, в том числе:
3.1.1. Конституция Российской Федерации;
3.1.2. Гражданский кодекс Российской Федерации;
3.1.3. Трудовой кодекс Российской Федерации;
3.1.4. Налоговый кодекс Российской Федерации;
3.1.5. Федеральный закон № 14-ФЗ от 08.02.1998 года «Об обществах с ограниченной ответственностью»;
3.1.6. Федеральный закон № 402-ФЗ от 06.12.2011 года «О бухгалтерском учете»;
3.1.7. Федеральный закон № 167-ФЗ от 15.12.2001 года «Об обязательном пенсионном страховании в Российской Федерации»;
3.1.8. иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.
3.2. Правовым основанием обработки ПДн также являются:
3.2.1. Устав ООО «Аттика Упаковка»;
3.2.2. Положение об обработке и защите персональных данных работников и иных лиц в ООО «Аттика Упаковка»
3.2.3. договоры, заключаемые между Оператором и субъектами ПДн;
3.2.4. согласие субъектов ПДн на обработку их ПДн.
Объём и категории обрабатываемых персональных данных,
Категории субъектов персональных данных
4.1. Содержание и объем обрабатываемых ПДн должны соответствовать заявленным целям обработки, предусмотренным в разд. 2 настоящей Политики. Обрабатываемые ПДн не должны быть избыточными по отношению к заявленным целям их обработки.
4.2. Оператор может обрабатывать ПДн следующих категорий субъектов ПДн.
4.2.1. Кандидаты для приема на работу к Оператору - для целей исполнения трудового законодательства в рамках трудовых и иных непосредственно связанных с ним отношений, осуществления пропускного режима:
а) фамилия, имя, отчество;
б) пол;
в) гражданство;
г) дата и место рождения;
д) контактные данные;
е) сведения об образовании, опыте работы, квалификации, трудовом стаже;
ж) сведения о деловых и иных личных качествах, носящие оценочный характер. з) иные ПДн, сообщаемые кандидатами в резюме и сопроводительных письмах.
4.2.2. Работники и бывшие работники Оператора - для целей исполнения трудового законодательства в рамках трудовых и иных непосредственно связанных с ним отношений, осуществления пропускного режима: а) фамилия, имя, отчество;
б) пол;
в) гражданство;
г) дата и место рождения;
д) фото- и видеоизображение; е) паспортные данные;
ж) адрес регистрации по месту жительства;
з) адрес фактического проживания;
и) контактные данные;
к) индивидуальный номер налогоплательщика (ИНН);
л) страховой номер индивидуального лицевого счета (СНИЛС);
м) сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;
н) семейное положение, наличие детей, родственные связи, в объеме, установленном трудовым законодательством;
о) сведения о трудовой деятельности, в том числе наличие поощрений, награждений и (или) дисциплинарных взысканий;
п) данные о регистрации брака;
р) сведения о воинском учете;
с) сведения об инвалидности;
т) сведения об удержании алиментов;
у) сведения о доходе с предыдущего места работы;
ф) иные ПДн, предоставляемые работниками в соответствии с требованиями трудового законодательства.
4.2.3. Члены семьи работников Оператора - для целей исполнения трудового законодательства в рамках трудовых и иных непосредственно связанных с ним отношений:
а) фамилия, имя, отчество;
б) степень родства;
в) год рождения;
г) иные ПДн, предоставляемые работниками в соответствии с требованиями трудового законодательства.
4.2.4. Клиенты и контрагенты Оператора (физические лица) - для целей осуществления своей деятельности в соответствии с уставом ООО «Аттика Упаковка», осуществления пропускного режима:
а) фамилия, имя, отчество;
б) дата и место рождения;
в) паспортные данные;
г) адрес регистрации по месту жительства;
д) контактные данные;
е) замещаемая должность;
ж) индивидуальный номер налогоплательщика;
з) номер расчетного счета;
и) иные ПДн, предоставляемые клиентами и контрагентами (физическими лицами), необходимые для заключения и исполнения договоров.
4.2.5. Представители (работники) клиентов и контрагентов Оператора (юридических лиц) - для целей осуществления своей деятельности в соответствии с уставом ООО «Аттика Упаковка», осуществления пропускного режима:
а) фамилия, имя, отчество;
б) паспортные данные;
в) контактные данные;
г) замещаемая должность;
д) иные ПДн, предоставляемые представителями (работниками) клиентов и контрагентов, необходимые для заключения и исполнения договоров.
4.3. Обработка Оператором биометрических ПДн (сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность) осуществляется в соответствии с законодательством Российской Федерации и ЛНА Оператора.
4.4. Оператором не осуществляется обработка специальных категорий ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, за исключением случаев, предусмотренных законодательством РФ.
Порядок и условия обработки персональных данных
5.1. Обработка ПДн осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации.
5.2. Обработка ПДн осуществляется с согласия субъектов ПДн на обработку их ПДн, а также без такового в случаях, предусмотренных законодательством Российской Федерации.
5.3. Оператор осуществляет обработку ПДн для каждой цели их обработки следующими
способами:
5.3.1. неавтоматизированная обработка ПДн;
5.3.2. автоматизированная обработка ПДн с передачей полученной информации по
информационно-телекоммуникационным сетям или без таковой;
5.3.3. смешанная обработка ПДн.
5.4. К обработке ПДн допускаются работники Оператора, в должностные обязанности которых
входит обработка ПДн.
5.5. Обработка ПДн для каждой цели обработки, указанной в п. 2.3 Политики, осуществляется путем:
5.5.1. получения ПДн в устной и письменной форме непосредственно от субъектов ПДн;
5.5.2. внесения ПДн в журналы, реестры и информационные системы Оператора;
5.5.3. использования иных способов обработки ПДн.
5.6. Не допускается раскрытие третьим лицам и распространение ПДн без согласия субъекта ПДн, если иное не предусмотрено федеральным законом. Согласие на обработку ПДн, разрешенных субъектом ПДн для распространения, оформляется отдельно от иных согласий субъекта ПДн на обработку его ПДн. Требования к содержанию согласия на обработку ПДн, разрешенных субъектом ПДн для распространения, утверждены Приказом Роскомнадзора № 18от 24.02.2021.
5.7. Передача ПДн органам дознания и следствия, в Федеральную налоговую службу, Социальный фонд России и другие уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.
5.8. Оператор принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в том числе:
5.8.1. определяет угрозы безопасности ПДн при их обработке;
5.8.2. принимает локальные нормативные акты и иные документы, регулирующие отношения в сфере обработки и защиты ПДн;
5.8.3. назначает лиц, ответственных за обеспечение безопасности ПДн в структурных
подразделениях и информационных системах Оператора;
5.8.4. создает необходимые условия для работы с ПДн;
5.8.5. организует учет документов, содержащих ПДн;
5.8.6. организует работу с информационными системами, в которых обрабатываются ПДн;
5.8.7. хранит ПДн в условиях, при которых обеспечивается их сохранность и исключается
неправомерный доступ к ним;
5.8.8. организует обучение работников Оператора, осуществляющих обработку ПДн.
5.9. Оператор осуществляет хранение ПДн в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требует каждая цель обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором.
5.9.1. Персональные данные на бумажных носителях хранятся в ООО «Аттика Упаковка» в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ (Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации», Перечень типовых управленческих архивных документов, образующихся в процессе деятельности государственных
органов, органов местного самоуправления и организаций, с указанием сроков их хранения (утв. Приказом Росархива от 20.12.2019 № 236)).
5.9.2. Срок хранения ПДн, обрабатываемых в информационных системах ПДн, соответствует сроку хранения ПДн на бумажных носителях.
5.10. Оператор прекращает обработку ПДн в следующих случаях:
5.10.1. выявлен факт их неправомерной обработки. Срок - в течение трех рабочих дней с даты выявления;
5.10.2. достигнута цель их обработки;
5.10.3. истек срок действия или отозвано согласие субъекта ПДн на обработку указанных данных, когда по Закону о ПДн обработка этих данных допускается только с согласия.
5.11. При достижении целей обработки ПДн, а также в случае отзыва субъектом ПДн согласия на их обработку Оператор прекращает обработку этих данных, если:
5.11.1. иное не предусмотрено договором, стороной которого, выгодоприобретателем или
поручителем по которому является субъект ПДн;
5.11.2. Оператор не вправе осуществлять обработку без согласия субъекта ПДн на основаниях, предусмотренных Законом о ПДн или иными федеральными законами;
5.11.3. иное не предусмотрено другим соглашением между Оператором и субъектом ПДн.
5.12. При обращении субъекта ПДн к Оператору с требованием о прекращении обработки ПДн в срок, не превышающий 10 рабочих дней с даты получения Оператором соответствующего требования, обработка ПДн прекращается, за исключением случаев, предусмотренных Законом о ПДн. Указанный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить субъекту ПДн мотивированное уведомление с указанием причин продления срока.
5.13. При сборе ПДн, в том числе посредством информационно-телекоммуникационной сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе о ПДн.
Актуализация, исправление, удаление, уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным
6.1. Подтверждение факта обработки ПДн Оператором, правовые основания и цели обработки ПДн, а также иные сведения, указанные в ч. 7 ст. 14 Закона о ПДн, предоставляются Оператором субъекту ПДн или его представителю в течение 10 рабочих дней с момента обращения либо получения запроса субъекта ПДн или его представителя. Данный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору следует направить субъекту ПДн мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации.
6.1.1. В предоставляемые сведения не включаются ПДн, относящиеся к другим субъектам ПДн, за исключением случаев, когда имеются законные основания для раскрытия таких ПДн.
6.1.2. Запрос должен содержать:
а) номер основного документа, удостоверяющего личность субъекта ПДн или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
б) сведения, подтверждающие участие субъекта ПДн в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Оператором;
в) подпись субъекта ПДн или его представителя.
6.1.3. Запрос может быть направлен в форме электронного документа и подписан электронной
подписью в соответствии с законодательством Российской Федерации.
6.1.4. Оператор предоставляет сведения, указанные в ч. 7 ст. 14 Закона о ПДн, субъекту ПДн или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
6.1.5. Если в обращении (запросе) субъекта ПДн не отражены в соответствии с требованиями Закона о ПДн все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.
6.1.6. Право субъекта ПДн на доступ к его ПДн может быть ограничено в соответствии с ч. 8 ст. 14 Закона о ПДн, в том числе если доступ субъекта ПДн к его ПДн нарушает права и законные интересы третьих лиц.
6.2. В случае выявления неточных ПДн при обращении субъекта ПДн или его представителя либо по их запросу или по запросу Роскомнадзора Оператор осуществляет блокирование ПДн, относящихся к этому субъекту ПДн, с момента такого обращения или получения указанного запроса на период проверки, если блокирование ПДн не нарушает права и законные интересы субъекта ПДн или третьих лиц. В случае подтверждения факта неточности ПДн Оператор на основании сведений, представленных субъектом ПДн или его представителем либо Роскомнадзором, или иных необходимых документов уточняет ПДн в течение семи рабочих дней со дня представления таких сведений и снимает блокирование ПДн.
6.3. В случае выявления неправомерной обработки ПДн при обращении (запросе) субъекта ПДн или его представителя либо Роскомнадзора Оператор осуществляет блокирование неправомерно обрабатываемых ПДн, относящихся к этому субъекту ПДн, с момента такого обращения или получения запроса.
6.4. При выявлении Оператором, Роскомнадзором или иным заинтересованным лицом факта
неправомерной или случайной передачи (предоставления, распространения) ПДн (доступа к ПДн), повлекшей нарушение прав субъектов ПДн, Оператор:
6.4.1. в течение 24 часов - уведомляет Роскомнадзор о произошедшем инциденте, предполагаемых причинах, повлекших нарушение прав субъектов ПДн, предполагаемом вреде, нанесенном правам субъектов ПДн, и принятых мерах по устранению последствий инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором по вопросам, связанным с инцидентом;
6.4.2. в течение 72 часов - уведомляет Роскомнадзор о результатах внутреннего расследования
выявленного инцидента и предоставляет сведения о лицах, действия которых стали его причиной (при наличии).
6.5. Порядок уничтожения ПДн Оператором.
6.5.1. Условия и сроки уничтожения ПДн Оператором:
а) достижение цели обработки ПДн либо утрата необходимости достигать эту цель - в течение 30 дней;
б) достижение максимальных сроков хранения документов, содержащих ПДн, - в течение 30 дней;
в) предоставление субъектом ПДн (его представителем) подтверждения того, что ПДн получены
незаконно или не являются необходимыми для заявленной цели обработки, - в течение семи рабочих дней;
г) отзыв субъектом ПДн согласия на обработку его ПДн, если их сохранение для цели их обработки более не требуется, - в течение 30 дней.
6.5.2. При достижении цели обработки ПДн, а также в случае отзыва субъектом ПДн согласия на их обработку ПДн подлежат уничтожению, если:
а) иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн;
б) оператор не вправе осуществлять обработку без согласия субъекта ПДн на основаниях,
предусмотренных Законом о ПДн или иными федеральными законами;
в) иное не предусмотрено другим соглашением между Оператором и субъектом ПДн.
6.5.3. Уничтожение ПДн осуществляет комиссия, созданная приказом генерального директора ООО «Аттика Упаковка».
6.5.4. Способы уничтожения ПДн устанавливаются в локальных нормативных актах Оператора.