Политика обработки персональных данных

Общество с ограниченной ответственностью «КАЛЬДЕРА» — оператор персональных данных сервиса ca-helper (https://cahelper.ru/ и https://helper.casoft.ru/).

1. Общие положения

1.1. Политика обработки персональных данных (далее - Политика) в Обществе с ограниченной ответственностью «КАЛЬДЕРА» (сокращенное наименование – ООО «КАЛЬДЕРА»), место нахождения196607, Г.САНКТ-ПЕТЕРБУРГ, ВН.ТЕР.Г.ГОРОД ПУШКИН, ТЕР.СНТ КОЛЛЕКТИВНЫЙ САД N7, УЛ 8-Я ЛИНИЯ, Д. 15 К.2 СТР. 1, ОГРН 1237800057021, ИНН 7817128956 (далее - Оператор), разработана в соответствии с положениями Конституции Российской Федерации, Федерального закона от 27 июля 2006 г. №149-ФЗ «Об информации, информационных технологиях и о защите информации», Федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных» (далее - Федеральный закон «О персональных данных») и иными нормативными правовыми актами в области защиты и обработки персональных данных, действующими на территории Российской Федерации, устанавливает цели, основные принципы и правила обработки персональных данных и определяет основные меры по обеспечению их безопасности.

1.2. Настоящая Политика разработана для реализации Оператором требований законодательства Российской Федерации в области персональных данных, а также обеспечения защиты прав физических лиц при обработке их персональных данных.

1.3. Положения настоящей Политики являются основой для разработки и актуализации распорядительных и организационно-правовых документов (далее – локальных нормативных актов) Оператором, регламентирующих процессы обработки персональных данных различных категорий субъектов персональных данных, а также порядок реализации мер для защиты обрабатываемых персональных данных.

1.4. Положения настоящей Политики обязательны для исполнения работниками Оператора, имеющими доступ к персональным данным.

2. Основные понятия

2.1. В настоящей Политике используются следующие понятия: безопасность персональных данных - состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах; биометрические персональные данные - сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются Оператором для установления личности субъекта персональных данных; защита персональных данных - деятельность, направленная на предотвращение утечки защищаемых персональных данных, несанкционированных и непреднамеренных воздействий на защищаемые персональные данные; информационная система - совокупность содержащейся в базах данных информации (персональных данных) и обеспечивающих ее обработку информационных технологий и технических средств; конфиденциальность персональных данных - обязательное для соблюдения требование не раскрывать третьим лицам и не допускать раскрытия и распространения персональных данных без согласия субъектов персональных данных или наличия иного законного основания; обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение персональных данных; персональные данные (ПДн) - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных); персональные данные, разрешенные субъектом персональных данных для распространения - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом «О персональных данных»; субъекты персональных данных - работники Оператора, в том числе работающие по совместительству, уволенные, их близкие родственники и законные представители, кандидаты для приема на работу (соискатели), лица, проходящие обучение у Оператора (ученики), представители контрагентов Оператора, контрагенты-физические лица, оказывающие Оператору услуги или выполняющие работы по гражданско-правовым сделкам, пользователи сайта Оператора, а также иные лица, чьи персональные данные стали известны в силу осуществления деятельности Оператора, определенные в нормативных документах Оператора; специальные категории персональных данных - персональные данные субъектов персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни и судимости; трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу; уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) в результате которых уничтожаются материальные носители персональных данных; обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных; сайт, веб-сайт – совокупность графических и информационных материалов, а также программ для ЭВМ и баз данных, обеспечивающих их доступность в сети «Интернет» по сетевому адресу https://cahelper.ru/ и https://helper.casoft.ru/; файл сookie - небольшой фрагмент данных, который сайт отправляет и запрашивает у браузера, используемого на компьютерах или мобильных устройствах пользователя. Cookies позволяют Сайту «узнавать» Пользователя и «запоминать» его действия. Файлы Cookies хранятся локально на компьютерах и/или мобильных устройствах Пользователя. Пользователь может удалять сохраненные файлы Cookies по своему желанию, а также отключать возможность их использования. Другие аналогичные технологии для сбора и хранения данных в целях настоящей Политики приравниваются к файлам Cookies; ИСПДн - информационная система персональных данных.

3. Цели обработки персональных данных

3.1. Обработка ПДн Оператором осуществляется в целях осуществления своей деятельности, а именно:

• ведение кадрового, налогового и бухгалтерского учета;
• подбор персонала (соискателей) на вакантные должности Оператора;
• осуществление гражданско-правовых отношений, в том числе подготовка, заключение и исполнение гражданско-правовых договоров;
• осуществление взаимодействия с субъектами ПДн в рамках трудовых отношений, в том числе заключение и исполнение трудовых и ученических договоров, обеспечение соблюдения трудового, социального, страхового и пенсионного законодательства РФ;
• продвижение Оператором товаров, работ, услуг на рынке;
• обеспечение соблюдения законодательства РФ об оперативно-розыскной деятельности.

4. Принципы и правила обработки персональных данных

4.1. Обработка ПДн Оператором осуществляется с соблюдением следующих принципов и правил:

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определенных и законных целей;
• обработке подлежат ПДн, отвечающие целям обработки, при обязательном соответствии их объема и содержания заявленным целям обработки;
• не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
• при обработке обеспечиваются точность и достаточность ПДн и, при необходимости, актуальность по отношению к целям обработки с принятием мер по удалению или уточнению неполных или неточных данных либо обеспечением принятия таких мер;
• содержание и объем обрабатываемых ПДн неопределенному кругу лиц определяет субъект ПДн в согласии на распространение ПДн;
• хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн, не дольше, чем того требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором (соглашением), стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн;
• обрабатываемые ПДн подлежат уничтожению либо обезличиванию по достижении целей обработки, при отзыве субъектом ПДн согласия на распространение ПДн или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом;
• не допускается дискриминации при обработке ПДн. В связи с этим Оператор не осуществляет обработку специальных категорий ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений. Обработка сведений о состоянии здоровья и о судимости допускается Оператором исключительно в случаях, прямо предусмотренных законодательством Российской Федерации, в том числе Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных».

4.2. Обработка ПДн Оператором осуществляется на основании:

• нормативных правовых актов, включая, но не ограничиваясь: Трудовой кодекс Российской Федерации, Гражданский кодекс Российской Федерации, Налоговый кодекс Российской Федерации, Федеральный закон от 07.07.2003 №126-ФЗ «О связи», Федеральный закон от 01.04.1996 от 01.04.1996 №27-ФЗ «Об индивидуальном (персонифицированном) учете в системах обязательного пенсионного страхования и обязательного социального страхования», Федеральный закон от 02.10.2007 №229-ФЗ «Об исполнительном производстве», Федеральный закон от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и защите информации», Федеральный закон № от 06.12.2011 №402-ФЗ «О бухгалтерском учете» и др.;
• договоров, заключаемых между Оператором и субъектами ПДн, включая трудовые договоры и гражданско-правовые договоры, исполнение которых требует обработки ПДн;
• договоров, заключаемых между Оператором и его контрагентами (операторами ПДн), включая договоры поручения на обработку ПДн, если такие контрагенты участвуют в обработке ПДн по поручению Оператора;
• локальных нормативных актов;
• согласий субъектов ПДн, в случаях, когда иное основание для обработки ПДн отсутствует либо обработка осуществляется в целях, не охватываемых другими основаниями; Обработка ПДн Оператором также может осуществляться в иных случаях, прямо предусмотренных ст. 6 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных».

4.3. При обработке ПДн Оператор обеспечивает их конфиденциальность и принимает необходимые правовые, организационные и технические меры по обеспечению безопасности ПДн в соответствии с требованиями законодательства Российской Федерации.

5. Права субъекта персональных данных

5.1. Субъект ПДн имеет право:

• получать полную информацию, касающуюся своих ПДн и обработки этих данных Оператором, за исключением случаев, предусмотренных законодательством Российской Федерации;
• получать свободный бесплатный доступ к своим ПДн, включая право на получение копий любой записи, содержащей свои ПДн, за исключением случаев, предусмотренных законодательством Российской Федерации;
• определять своих представителей для защиты своих ПДн;
• требовать уточнения, блокирования или уничтожения своих ПДн в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки. При отказе Оператора исключить или исправить ПДн субъект ПДн имеет право заявить в письменной форме Оператору о своем несогласии с соответствующим обоснованием такого несогласия. ПДн оценочного характера субъект ПДн имеет право дополнить заявлением, выражающим его собственную точку зрения;
• требовать извещения всех лиц, которым ранее были сообщены его неверные или неполные ПДн, обо всех произведенных в них исключениях, исправлениях или дополнениях;
• отозвать согласие на обработку своих ПДн;
• обжаловать действия или бездействие Оператора при обработке и защите его ПДн в соответствии с законодательством Российской Федерации, в том числе в судебном порядке;
• реализовывать иные права, предусмотренные законодательством Российской Федерации.

5.2. Запрос субъекта ПДн может быть направлен Оператору:

• по адресу электронной почты: office@caldera.spb.ru;
• по юридическому адресу: 196607, Г.САНКТ-ПЕТЕРБУРГ, ВН.ТЕР.Г.ГОРОД ПУШКИН, ТЕР.СНТ КОЛЛЕКТИВНЫЙ САД N7, УЛ 8-Я ЛИНИЯ, Д. 15 К.2 СТР. 1.

6. Категории и объем обрабатываемых персональных данных

6.1. Содержание и объем обрабатываемых ПДн определяются целями их обработки, приведенными в разделе 3 Политики, и указываются в локальных нормативных актах Оператора, а также в согласии субъекта ПДн на обработку его ПДн, за исключением случаев, когда обработка ПДн может осуществляться без получения такого согласия.

6.2. Обработка ПДн, избыточных по отношению к заявленной цели их обработки, не допускается.

6.3. Обработка специальных категорий ПДн (состояния здоровья, судимости) осуществляется Оператором в отношении работников, уволенных работников и учеников (с которыми заключен ученический договор с обязательством последующего трудоустройства) на основаниях, прямо предусмотренных федеральным законодательством, а в случаях, не предусмотренных федеральным законодательством – при наличии письменного согласия субъекта ПДн.

6.4. Обработка Оператором биометрических ПДн не осуществляется.

7. Организация обработки персональных данных

7.1. В целях реализации прав субъектов ПДн Оператор при обработке их ПДн:

• принимает необходимые меры для выполнения обязанностей, предусмотренных законодательством Российской Федерации;
• разъясняет субъекту ПДн юридические последствия отказа предоставить ПДн, если это является обязательным в соответствии с законодательством Российской Федерации;
• осуществляет блокирование, уточнение и уничтожение неправомерно обрабатываемых ПДн, а также прекращение их неправомерной обработки;
• уведомляет субъекта ПДн об устранении допущенных нарушений или уничтожении его ПДн;
• предоставляет по запросу субъекта ПДн или его представителя информацию, касающуюся обработки его ПДн, в порядке, установленном законодательством Российской Федерации.

7.2. В целях эффективной организации процессов обработки ПДн назначается ответственный за организацию обработки ПДн Оператора, который в соответствии с установленными полномочиями обеспечивает:

• разработку и актуализацию локальных нормативных актов Оператора по вопросам обработки и защиты ПДн;
• доведение до сведения работников Оператора положений законодательства Российской Федерации, локальных нормативных актов Оператора по вопросам обработки ПДн, а также требований по защите ПДн;
• принятие правовых, организационных и технических мер для защиты ПДн, в том числе обрабатываемых в информационных системах, от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
• внутренний контроль за соблюдением Оператором требований законодательства Российской Федерации и локальных нормативных актов Оператора в области ПДн, в том числе требований по защите ПДн;
• оценку вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов ПДн, который может быть причинен субъектам ПДн в случае нарушения Федерального закона «О персональных данных», соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных»;
• контроль за обработкой обращений и запросов субъектов ПДн или их представителей по фактам нарушений законодательства в области ПДн, допущенных Оператором;
• взаимодействие с государственными органами по вопросам защиты ПДн;
• координацию действий сотрудников Оператора в случае компрометации баз данных в информационных системах и своевременное уведомление уполномоченного органа по защите прав субъектов ПДн об инциденте.

7.3. Обработка ПДн может осуществляться Оператором как на бумажных носителях, так и с использованием средств автоматизации (с помощью средств вычислительной техники) путем (включая, но не ограничиваясь):

• получения оригиналов необходимых документов, копирования оригиналов документов;
• получения электронного вида информации, содержащей ПДн;
• формирования ПДн в ходе кадровой работы;
• внесения ПДн в ИСПДн.

7.4. К обработке ПДн допускается генеральный директор Оператора, и только те работники Оператора, в должностные обязанности которых входит обработка ПДн. Перечень лиц, осуществляющих обработку ПДн либо имеющих к ним доступ, определяется локальными нормативными актами Оператора. Указанные лица имеют право обрабатывать только те ПДн, которые необходимы им для выполнения своих должностных обязанностей.

7.5. Передача ПДн третьим лицам осуществляется с письменного согласия субъектов ПДн, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъектов ПДн, а также в иных случаях, установленных законодательством Российской Федерации. Обработка ПДн, разрешенных субъектом ПДн для распространения, осуществляется с соблюдением запретов и условий, установленных статьей 10.1 Федерального закона «О персональных данных». Согласие на обработку ПДн, разрешенных субъектом ПДн для распространения, оформляется отдельно от иных согласий субъекта ПДн.

7.6. Передача ПДн в государственные органы осуществляется в соответствии с требованиями законодательства Российской Федерации.

7.7. Трансграничная передача ПДн Оператором не осуществляется. До момента начала передачи ПДн на территорию иностранного государства Оператор обязуется уведомить уполномоченный орган по защите прав субъектов ПДн о своем намерении осуществлять трансграничную передачу ПДн.

7.8. Оператор вправе поручить обработку ПДн другому юридическому лицу или индивидуальному предпринимателю с согласия субъектов ПДн на основании заключаемого договора, существенным условием которого является обязанность обеспечения исполнителем условий конфиденциальности ПДн, требований, предусмотренных частью 5 статьи 18 и статьей 18.1 Федерального закона «О персональных данных», обязанность по запросу Оператора в течение срока действия поручения Оператора, в том числе до обработки ПДн, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения Оператора требований, установленных в соответствии с настоящей статьей, обязанность обеспечивать безопасность ПДн при их обработке, а также должны быть указаны требования к защите обрабатываемых ПДн в соответствии со статьей 19 Федерального закона «О персональных данных», в том числе требование об уведомлении Оператора о случаях, предусмотренных частью 3.1 статьи 21 Федерального закона «О персональных данных».

7.9. При сборе ПДн, в том числе с использованием информационнотелекоммуникационной сети «Интернет», Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, обезличивание, удаление, уничтожение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, предусмотренных законодательством Российской Федерации.

7.10. Сроки хранения ПДн Оператором определяются в соответствии с законодательством Российской Федерации и локальными нормативными актами Оператора.

7.11. Оператор блокирует ПДн в порядке и на условиях, предусмотренных законодательством в области ПДн.

7.12. При достижении целей обработки ПДн или в случае утраты необходимости в достижении этих целей ПДн уничтожаются. Незаконно полученные ПДн или те, которые не являются необходимыми для цели обработки, уничтожаются в течение 10 (десяти) рабочих дней со дня представления субъектом ПДн (его представителем) подтверждающих сведений. ПДн, обработка которых прекращена из-за ее неправомерности и правомерность обработки которых невозможно обеспечить, уничтожаются в течение 10 (десяти) рабочих дней с даты выявления факта неправомерной обработки. ПДн уничтожаются в течение 30 (тридцати) календарных дней с даты достижения цели обработки, если иное не предусмотрено договором, стороной которого (выгодоприобретателем или поручителем по которому) является субъект ПДн, иным соглашением между ним и Оператором либо если Оператор не вправе обрабатывать ПДн без согласия субъекта ПДн на основаниях, предусмотренных федеральными законами. При достижении сроков хранения документов, содержащих ПДн, такие документы уничтожаются в течение 30 (тридцати) календарных дней. ПДн уничтожаются (если их сохранение не требуется для целей обработки ПДн) в течение 30 (тридцати) календарных дней с даты поступления отзыва субъектом ПДн согласия на их обработку. Иное может предусматривать договор, стороной которого (выгодоприобретателем или поручителем по которому) является субъект ПДн, иное соглашение между ним и Оператором. Кроме того, ПДн уничтожаются в указанный срок, если Оператор не вправе обрабатывать их без согласия субъекта ПДн на основаниях, предусмотренных законодательством Российской Федерации.

7.13. Отбор материальных носителей и (или) сведений в информационных системах, содержащих ПДн, которые подлежат уничтожению, а также уничтожение таких данных осуществляет Комиссия по уничтожению ПДн (далее - Комиссия), назначенная приказом генерального директора Оператора из числа работников Оператора, допущенных к обработке ПДн, в состав которой в обязательном порядке входит лицо, ответственное за организацию обработки ПДн. Комиссия производит отбор электронных и бумажных носителей ПДн, подлежащих уничтожению, с указанием оснований для уничтожения. На все отобранные к уничтожению носители ПДн составляется акт о выделении носителей, содержащих ПДн субъектов ПДн, к уничтожению (акт об уничтожении ПДн). ПДн на бумажных носителях уничтожаются путем их сожжения или с использованием шредера. ПДн на электронных носителях уничтожаются путем механического нарушения целостности носителя, не позволяющего считать или восстановить ПДн, а также путем удаления («затирания») данных с электронных носителей методами и средствами гарантированного удаления остаточной информации, а в случае уничтожения файлов, содержащих ПДн субъектов ПДн с жестких дисков ЭВМ, они удаляются средствами операционной системы ЭВМ с последующим «очищением корзины». Лицо, ответственное за организацию обработки ПДн, подтверждает уничтожение ПДн в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов ПДн.

7.14. Обеспечение безопасности ПДн, в том числе при их обработке в информационных системах, осуществляется в соответствии с законодательством Российской Федерации и требованиями уполномоченного органа государственной власти по защите прав субъектов ПДн, федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, и федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации.

8. Правила обработки персональных данных, осуществляемой без использования средств автоматизации

8.1. Обработка ПДн без использования средств автоматизации осуществляется в соответствии с требованиями, установленными Постановлением Правительства Российской Федерации от 15.09.2008 г. № 687 «Об утверждении Положения об особенностях обработки ПДн, осуществляемой без использования средств автоматизации» (с изменениями и дополнениями).

8.2. При осуществлении неавтоматизированной обработки ПДн в электронном виде необходимо принимать организационные и технические меры, исключающие возможность несанкционированного доступа к ПДн лиц, не допущенных к их обработке. При обработке ПДн без использования средств автоматизации не допускается фиксация на одном материальном носителе ПДн, цели обработки которых заведомо несовместимы.

8.3. При использовании форм документов, необходимых для реализации целей, приведенных в разделе 3 Политики, характер информации в которых предполагает или допускает включение ПДн (далее – форма), должны соблюдаться следующие условия:

• форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки ПДн, осуществляемой без использования средств автоматизации, имя (наименование) и адрес оператора, фамилию, имя, отчество и адрес субъекта ПДн, источник получения ПДн, сроки обработки ПДн, перечень действий с ПДн, которые будут совершаться в процессе их обработки, общее описание используемых оператором способов обработки ПДн;
• форма должна предусматривать поле, в котором субъект ПДн может поставить отметку о своем согласии на обработку ПДн, осуществляемую без использования средств автоматизации,
• при необходимости получения письменного согласия на обработку ПДн;
• форма должна быть составлена таким образом, чтобы каждый из субъектов ПДн, содержащихся в документе, имел возможность ознакомиться со своими ПДн, содержащимися в документе, не нарушая прав и законных интересов иных субъектов ПДн;
• типовая форма должна исключать объединение полей, предназначенных для внесения ПДн, цели обработки которых заведомо не совместимы.

8.4. Уничтожение или обезличивание части ПДн, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих ПДн, с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).

8.5. Уточнение ПДн при их обработке без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, - посредством фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными ПДн.

9. Меры по обеспечению безопасности ПДн

9.1. В соответствии с требованиями статей 18.1, 19 и 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» Оператор принимает комплекс правовых, организационных и технических мер, обеспечивающих защиту ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также иных неправомерных действий.

9.2. Оператор принимает следующие технические и организационные меры защиты:

9.2.1. Установлены правила разграничения доступа к ПДн, обрабатываемых в информационных системах ПДн;

9.2.2. Ограничен доступ в помещения, где размещены основные технические средства и системы информационных систем персональных данных и осуществляется неавтоматизированная обработка ПДн;

9.2.3. Организовано резервирование и восстановление работоспособности информационных систем ПДн и ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

9.2.4. Установлены требования к сложности паролей для доступа к информационным системам ПДн;

9.2.5. Осуществляется антивирусный контроль, предотвращение внедрения в корпоративную сеть вредоносных программ (программ-вирусов) и программных закладок;

9.2.6. Организовано своевременное обновление программного обеспечения, используемого в информационных системах персональных данных и средств защиты информации;

9.2.7. По обнаружению фактов несанкционированного доступа к персональным данным и принятие мер по установлению причин и устранению возможных последствий;

9.2.8. Осуществляется контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровней защищенности информационных систем персональных данных

9.2.9. Утвержден перечень лиц, доступ которых к ПДн, обрабатываемых в информационной системе, необходим для выполнениями ими служебных (трудовых) обязанностей;

9.2.10. Лица, осуществляющие обработку ПДн без использования средств автоматизации, проинформированы об особенностях и правилах осуществления такой обработки, локальными нормативными актами установлены места хранения ПДн и перечень лиц, осуществляющих обработку ПДн.

9.2.11. Работниками Оператора, непосредственно осуществляющими обработку ПДн, даны обязательства о неразглашении ПДн, к которым им предоставлен доступ на период исполнения должностных обязанностей.

9.2. Оператора принимает следующие организационно-правовые меры:

9.2.1. Назначено лицо, ответственное за организацию обработки ПДн;

9.2.2. Проведена возможного вреда субъектам ПДн в случае нарушения требований ФЗ‑152 и соотношение указанного вреда с принимаемыми мерами (в соответствии с методикой, утверждённой уполномоченным органом);

9.2.3. Разработаны локальные акты по вопросам обработки персональных данных;

9.2.4. Работники Оператора, непосредственно осуществляющие обработку ПДн, ознакомлены с положениями законодательства РФ в области ПДн, в том числе с требованиями к защите ПДн, а также локальными нормативными актами Оператора в отношении обработки ПДн;

9.2.5. Ведется внутренний аудит соответствия обработки работниками Оператора ПДн 152ФЗ и принятым в соответствии с ним нормативным правовым актам, локальным нормативным правовым актам.

9.2.6. Уничтожение носителей, содержащих ПДн осуществляется в соответствии со следующими правилами:

• исключение возможности восстановления носителей, содержащих ПДн;
• при уничтожении ПДн составляется акт об уничтожении, подписываемый ответственным лицом, если осуществлялась неавтоматизированная обработка ПДн, либо факт удаления ПДн из информационной системы ПДн подтверждается выгрузкой из журнала регистрации событий в информационной системе ПДн, если обработка ПДн осуществлялась Оператором с использованием средств автоматизации;
• уничтожение ПДн осуществляется только в отношении тех данных, обработка которых более (1) не требуется в связи с достижением цели их сбора, в случае (2) утраты необходимости в достижении указанной цели, (3) неполных или неточных данных, при отсутствии возможности уточнения таких данных, (4) в случае отзыва согласия на обработку ПДн субъектом, за исключением случаев, предусмотренных другими федеральными законами, (5) истечения сроков обработки ПДн, (6) в случае незаконной обработки ПДн. При этом должен быть исключен случайный или преднамеренный доступ к уничтожению персональных данных, относящихся к актуальным (не подлежащим уничтожению).

9.3. В случае выявления недостоверных персональных данных или установления факта их неправомерной обработки, а также при поступлении обращения или запроса от субъекта персональных данных, его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных, оператор обязан временно осуществить блокирование обработки соответствующих ПДн с момента получения указанного обращения или запроса до завершения проверки, если блокирование ПДн не нарушает права и законные интересы субъекта ПДн или третьих лиц.

10. Заключительные положения

10.1. Ответственность за нарушение требований законодательства Российской Федерации и локальных нормативных актов Оператора в области ПДн определяется в соответствии с законодательством Российской Федерации.

10.2. Политика является общедоступным документом и подлежит опубликованию на сайте Оператора или обеспечению неограниченного доступа к нему иным способом.

Приложение №1

Перечень целей, категорий обрабатываемых ПДн, категорий субъектов, оснований, способов и сроков обработки.