Политика обработки персональных данных

1. Общие положения

Политика определяет порядок, условия, цели, правовые основания и меры защиты персональных данных, обрабатываемых ООО «АЛТИМА А1 СОФТ».

Политика разработана во исполнение Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Трудового кодекса РФ, Гражданского кодекса РФ, Налогового кодекса РФ, законодательства о бухгалтерском учете, архивном деле и иных применимых нормативных актов.

Документ применяется ко всем операциям с персональными данными, выполняемым с использованием средств автоматизации, без таких средств или смешанным способом.

Политика является общедоступным документом и размещается на сайте Оператора. Если данные собираются через формы сайта, виджеты, мессенджеры или иные интернет-сервисы, доступ к Политике предоставляется до направления данных Оператору.

2. Основные термины

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.

Оператор — ООО «АЛТИМА А1 СОФТ», самостоятельно или совместно с другими лицами организующее и осуществляющее обработку персональных данных, определяющее цели обработки, состав данных и совершаемые действия.

Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.

Инцидент персональных данных — неправомерная или случайная передача, предоставление, распространение, доступ к персональным данным либо иные действия, которые повлекли или могут повлечь нарушение прав субъектов персональных данных.

3. Принципы обработки

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определенных и законных целей;
• не допускается обработка данных, несовместимая с целями их сбора;
• обрабатываются только данные, отвечающие заявленным целям;
• содержание и объем данных соответствуют целям обработки;
• Оператор не обрабатывает избыточные персональные данные;
• точность, достаточность и актуальность данных поддерживаются в пределах, необходимых для целей обработки;
• данные хранятся не дольше, чем этого требуют цели обработки, закон, договор или иное правовое основание;
• после достижения целей обработки данные уничтожаются или обезличиваются, если иное не предусмотрено законодательством РФ.

4. Цели, категории субъектов и правовые основания

Оператор обрабатывает персональные данные только для конкретных и законных целей. Основные процессы обработки приведены ниже.

5. Категории персональных данных

Оператор может обрабатывать следующие категории персональных данных в объеме, необходимом для достижения заявленных целей:

• общие персональные данные: ФИО, дата и место рождения, гражданство, пол, контактные данные, адрес, паспортные данные, ИНН, СНИЛС;
• кадровые данные: сведения об образовании, квалификации, опыте работы, трудовой деятельности, воинском учете, семейном положении, наличии детей, поощрениях и взысканиях;
• договорные и финансовые данные: сведения о договорах, счетах, платежах, банковских реквизитах, размере выплат, задолженности, актах и переписке;
• технические данные: IP-адрес, cookies, сведения о браузере, устройстве, логах доступа и действиях в информационных системах;
• данные обращений: содержание заявок, обращений, претензий, ответов, переписки и приложенных документов.

Оператор не обрабатывает специальные категории персональных данных, касающиеся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья и интимной жизни, кроме случаев, прямо предусмотренных законодательством РФ.

Оператор не обрабатывает биометрические персональные данные для установления личности субъекта, если такая обработка не введена отдельным локальным актом и не оформлена надлежащим правовым основанием.

6. Порядок и условия обработки

Оператор обрабатывает персональные данные с использованием средств автоматизации, без использования таких средств или смешанным способом.

К обработке допускаются только лица, которым доступ необходим для выполнения трудовых, должностных, договорных или иных обязанностей. Доступ предоставляется на основании локальных актов, матрицы доступа и индивидуальных учетных записей.

Лица, допущенные к обработке, обязаны соблюдать конфиденциальность, пройти инструктаж и выполнять требования локальных актов Оператора.

Оператор не принимает решений, порождающих юридические последствия для субъекта персональных данных или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки, если иное не предусмотрено законом или отдельным согласием субъекта.

7. Сайт, cookies и интернет-сервисы

При сборе персональных данных через сайт Оператор до момента направления данных предоставляет субъекту доступ к настоящей Политике и, при необходимости, к отдельным согласиям.

При использовании cookies, аналитических сервисов, форм обратной связи, виджетов, онлайн-чатов, мессенджеров, телефонии, CRM и иных сервисов Оператор определяет состав собираемых данных, цели, правовые основания, получателей, сроки хранения и необходимость согласия субъекта.

Технические cookies, необходимые для работы сайта, могут обрабатываться в пределах технической необходимости. Аналитические, рекламные и иные необязательные cookies применяются с учетом законодательства и выбранной модели получения согласия.

8. Передача третьим лицам и поручение обработки

Оператор вправе передавать персональные данные третьим лицам только при наличии законного основания и в объеме, необходимом для достижения конкретной цели обработки.

Передача данных может осуществляться государственным органам, банкам, нотариусам, операторам электронного документооборота, почтовым и курьерским службам, аудиторам, бухгалтерским и IT-подрядчикам, хостинг-провайдерам, CRM-провайдерам и иным лицам при наличии законного основания.

Если обработка поручается другому лицу, Оператор заключает договор или включает в договор условие о поручении обработки персональных данных, включая цели обработки, перечень действий, требования конфиденциальности, меры защиты и порядок возврата или уничтожения данных.

Трансграничная передача персональных данных осуществляется только при соблюдении требований законодательства РФ.

9. Права субъектов персональных данных

• получать информацию об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
• отозвать согласие на обработку персональных данных;
• требовать прекращения обработки персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзор или суд.

Для реализации прав субъект может направить обращение Оператору по юридическому адресу или через контактные каналы, указанные на сайте. Запрос должен позволять идентифицировать субъекта и подтвердить факт обработки его данных Оператором.

10. Рассмотрение обращений

Оператор рассматривает обращения субъектов персональных данных, их представителей и запросы Роскомнадзора в сроки, установленные законодательством РФ.

Подтверждение факта обработки, правовые основания, цели обработки и иные сведения предоставляются в течение 10 рабочих дней с момента обращения или получения запроса. Срок может быть продлен не более чем на 5 рабочих дней при направлении мотивированного уведомления.

Если в обращении отсутствуют сведения, необходимые для идентификации субъекта или подтверждения полномочий представителя, Оператор вправе запросить уточняющую информацию или направить мотивированный отказ.

11. Хранение и уничтожение данных

Персональные данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом, договором, архивным законодательством или иным законным основанием.

Данные уничтожаются или обезличиваются при достижении целей обработки, утрате необходимости в их достижении, отзыве согласия, требовании субъекта о прекращении обработки, выявлении незаконного получения данных или истечении сроков хранения, если иное не предусмотрено законодательством РФ.

12. Меры защиты персональных данных

Оператор принимает правовые, организационные и технические меры для защиты данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

• назначение ответственного за организацию обработки персональных данных;
• принятие локальных актов по обработке и защите данных;
• ведение реестра процессов обработки и перечня информационных систем;
• ограничение доступа по принципу минимально необходимых полномочий;
• индивидуальные учетные записи, пароли и дополнительные средства защиты при необходимости;
• подписание обязательств о неразглашении персональных данных;
• инструктаж и обучение работников;
• антивирусная защита, резервное копирование и обновление программного обеспечения;
• регистрация и расследование инцидентов;
• внутренние проверки соблюдения требований законодательства и локальных актов.

13. Инциденты

При выявлении неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным Оператор принимает меры по локализации инцидента, устранению последствий, сохранению доказательств и проведению внутреннего расследования.

В случаях, предусмотренных законом, Оператор уведомляет Роскомнадзор о произошедшем инциденте, предполагаемых причинах, возможном вреде, принятых мерах и результатах внутреннего расследования.

14. Локализация баз данных и сервисы

При сборе персональных данных граждан Российской Федерации, в том числе через интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение таких данных с использованием баз данных, находящихся на территории Российской Федерации, кроме случаев, предусмотренных законодательством РФ.

До подключения CRM, хостинга, облачных сервисов, email-сервисов, мессенджеров, аналитики, телефонии или иных подрядчиков Оператор оценивает место хранения данных, условия договора, наличие поручения обработки, меры защиты, порядок реагирования на инциденты и риски трансграничной передачи.

15. Заключительные положения

Контроль за исполнением настоящей Политики осуществляет лицо, ответственное за организацию обработки персональных данных у Оператора.

Политика пересматривается не реже одного раза в год, а также при изменении законодательства РФ, целей обработки, состава персональных данных, категорий субъектов, информационных систем, подрядчиков, каналов сбора, факта трансграничной передачи, выявлении инцидента или изменении деятельности Оператора.

Политика вступает в силу с даты утверждения генеральным директором Оператора и действует до ее отмены или утверждения новой редакции.

16. Реквизиты Оператора