Политика обработки персональных данных (Политика конфиденциальности) ООО «Проектный институт «Геоплан»
I. Общие положения
1. Настоящая политика обработки персональных данных составлена в соответствии с требованиями Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных ООО «Проектный институт «Геоплан» (далее – Оператор).
2. Основные понятия, используемые в Политике:
- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
- обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
- автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
- распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
- предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
- блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
- уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
- обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
- оператор персональных данных (оператор) - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
3. Обработка персональных данных Оператором выполняется с использованием средств автоматизации или без использования таких средств и включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных субъектов персональных данных, персональные данные которых обрабатываются в ООО «Проектный институт «Геоплан».
4. Обработка персональных данных без использования средств автоматизации может осуществляться в виде документов на бумажных носителях и в электронном виде (файлы, базы данных) на электронных носителях информации.
5. К субъектам персональных данных, персональные данные которых обрабатываются Оператором, в соответствии с настоящей Политикой относятся:
1) работники Оператора и члены их семей;
2) граждане, претендующие на работу у Оператора;
3) супруги (в том числе бывшие, супруги братьев и сестер, братья и сестры супругов), лица, состоящие в родстве (свойстве) с субъектами персональных данных, указанными в подпунктах 1, 2 настоящего пункта, в случаях, предусмотренных законодательством Российской Федерации;
4) уволенные работники Оператора;
5) лица, обработка персональных данных которых осуществляется в связи с исполнением договоров, заключаемых Оператором;
6) граждане, обратившиеся в соответствии с Федеральным законом от 2 мая 2006 г. N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации";
7) пользователи официального сайта Оператора в информационно-телекоммуникационной сети "Интернет".
6. Обработка персональных данных лиц, указанных в пункте 5 настоящей Политики, в соответствии с пунктом 2 части 1 статьи 6 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (далее - Федеральный закон "О персональных данных") осуществляется без согласия субъекта персональных данных на обработку его персональных данных для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей.
7. Обработка персональных данных Оператором осуществляется с соблюдением принципов и условий, предусмотренных настоящей Политикой и законодательством Российской Федерации в области персональных данных. Субъекты персональных данных имеют права, определенные Федеральный закон "О персональных данных".
II. Цели, условия и порядок обработки персональных данных и соответствующие им перечни обрабатываемых персональных данных
8. Персональные данные субъектов персональных данных, указанных в подпунктах 1-4 пункта 5 настоящей Политики, обрабатываются в целях:
- организации кадрового учета организации, обеспечения соблюдения законов, заключения и исполнения обязательств по трудовым и гражданско-правовым договорам;
- ведения кадрового делопроизводства, содействия работникам в трудоустройстве, обучении, пользовании льготами;
- исполнения требований налогового законодательства по вопросам исчисления и уплаты налога на доходы физических лиц, взносов во внебюджетные фонды и страховых взносов во внебюджетные фонды, пенсионного законодательства при формировании и передаче в СФР персонифицированных данных о каждом получателе доходов, которые учитываются при начислении взносов на обязательное пенсионное страхование;
- заполнения первичной статистической документации в соответствии с трудовым, налоговым законодательством и иными федеральными законами.
9. В целях, указанных в пункте 8 настоящей Политики, обрабатываются следующие категории персональных данных субъектов персональных данных, указанных в подпунктах 1 - 4 пункта 5 настоящей Политики:
1) фамилия, имя, отчество (при наличии) (в том числе прежние фамилии, имена и (или) отчества (при наличии), в случае их изменения);
4) сведения о гражданстве (в том числе о прежних гражданствах, иных гражданствах);
5) вид, серия, номер документа, удостоверяющего личность гражданина Российской Федерации, наименование органа, код подразделения органа, выдавшего его, дата выдачи;
6) адрес места жительства, дата регистрации по месту жительства (месту пребывания);
7) номер телефона или сведения о других способах связи;
8) сведения, содержащиеся в страховом свидетельстве обязательного пенсионного страхования или документе, подтверждающем регистрацию в системе индивидуального (персонифицированного) учета;
9) идентификационный номер налогоплательщика;
10) реквизиты страхового медицинского полиса обязательного медицинского страхования;
11) реквизиты свидетельства о государственной регистрации актов гражданского состояния;
12) сведения о семейном положении, составе семьи и о близких родственниках (в том числе бывших супругах);
13) сведения о трудовой деятельности, включая работу по совместительству, предпринимательскую и иную деятельность, военную службу;
14) отношение к воинской обязанности, сведения о воинском учете и реквизиты документов воинского учета (серия, номер, дата выдачи документов воинского учета, наименование органа, выдавшего его);
15) сведения об образовании с указанием наименования образовательной организации, года ее окончания, квалификации, специальности и (или) направления подготовки, наименования и реквизитов документа об образовании;
16) сведения об ученой степени, ученом звании;
18) сведения, содержащиеся в трудовом договоре, дополнительных соглашениях к трудовому договору;
19) сведения о прохождении гражданской службы, в том числе: дата увольнения с гражданской службы;
20) сведения о наличии или отсутствии судимости;
21) сведения о профессиональной переподготовке и (или) повышении квалификации;
22) сведения о ежегодных оплачиваемых отпусках, учебных отпусках и отпусках без сохранения денежного содержания;
25) иные сведения, которые субъект персональных данных пожелал сообщить о себе и которые отвечают целям обработки персональных данных, указанным в пункте 8 настоящей Политики.
10. Обработка специальных категорий персональных данных субъектов персональных данных осуществляется без их согласия в целях, указанных в пункте 8 настоящей Политики, в соответствии с подпунктом 2.3 пункта 2 части 2 статьи 10 Федерального закона "О персональных данных", за исключением случаев получения персональных данных у третьей стороны в соответствии с пунктом 3 статьи 86 Трудового кодекса Российской Федерации.
Обработка персональных данных субъектов персональных данных, указанных в подпунктах 1- 4, пункта 5 настоящей Политики, осуществляется с их согласия в следующих случаях:
1) при передаче персональных данных третьим лицам в случаях, не предусмотренных трудовым законодательством Российской Федерации;
2) при принятии решений, порождающих юридические последствия в отношении указанных лиц или иным образом затрагивающих их права и законные интересы, на основании исключительно автоматизированной обработки их персональных данных.
11. В случаях, предусмотренных пунктом 10 настоящей Политики, согласие субъектов персональных данных оформляется в письменной форме, если иное не установлено Федеральным законом "О персональных данных".
12. Обработка персональных данных субъектов персональных данных, указанных в подпунктах 1- 4, пункта 5 настоящей Политики, осуществляется отделом кадров и включает в себя следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
13. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных субъектов персональных данных осуществляется путем:
1) получения оригиналов необходимых документов (заявление, трудовая книжка, автобиография, иные документы, предоставляемые в отдел кадров Оператора (далее - оригиналы документов);
2) копирования оригиналов документов;
3) внесения сведений в учетные формы (на бумажных и электронных носителях);
4) формирования персональных данных в ходе кадровой работы;
5) внесения персональных данных в информационные системы персональных данных Оператора, используемые в кадровом делопроизводстве.
14. Запрещается получать, обрабатывать и приобщать к личному делу субъектов персональных данных, указанных в 1- 4, пункта 5 настоящей Политики, персональные данные, не предусмотренные пунктом 9 настоящей Политики, в том числе касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.
15. Персональные данные лиц, указанных в подпункте 5 пункта 5 настоящей Политики, обрабатываются в целях исполнения договорных обязательств, бухгалтерского и налогового учета.
16. В целях, указанных в пункте 15 настоящей Политики, обрабатываются следующие персональные данные лиц, указанных в подпункте 5 пункта 5 настоящей Политики:
1) фамилия, имя, отчество (при наличии);
3) адрес места жительства, дата регистрации по месту жительства (месту пребывания);
4) сведения, содержащиеся в страховом свидетельстве обязательного пенсионного страхования или документе, подтверждающим регистрацию в системе индивидуального (персонифицированного) учета;
5) идентификационный номер налогоплательщика;
6) вид, серия, номер документа, удостоверяющего личность гражданина Российской Федерации, наименование органа, код подразделения органа, выдавшего его, дата выдачи;
7) номер телефона или сведения о других способах связи;
8) иные персональные данные, которые отвечают цели обработки персональных данных, указанной в пункте 15 настоящей Политики.
17. Персональные данные лиц, указанных в подпункте 6 пункта 5 настоящей Политики, обрабатываются в целях обеспечения своевременного и в полном объеме рас смотрения устных и письменных обращений таких лиц в порядке, установленном Федеральным законом от 2 мая 2006 г. N 59-ФЗ "О порядке рассмотрения обращений граждан Российской Федерации".
18. В целях, указанных в пункте 17 настоящей Политики, обрабатываются следующие персональные данные лиц, указанных в подпункте 6 пункта 5 настоящей Политики:
1) фамилия, имя, отчество (при наличии);
3) адрес электронной почты (при наличии);
4) иные персональные данные, указанные в обращении, а также ставшие известными в ходе личного приема или в процессе рассмотрения обращения.
19. Обработка персональных данных лиц, указанных в подпункте 7 пункта 3 настоящей Политики, осуществляется в целях информационного взаимодействия с таким лицом, доступа к информации о деятельности Оператора, размещаемой в информационно-телекоммуникационной сети "Интернет".
20. В целях, указанных в пункте 19 настоящей Политики, обрабатываются следующие персональные данные лиц, указанных в подпункте 7 пункта 3 настоящей Политики:
1) фамилия, имя, отчество (при наличии);
3) адрес электронной почты (при наличии);
5) иные сведения, которые представлены пользователем сайта Оператора в информационно-телекоммуникационной сети "Интернет".
Также на сайте происходит сбор и обработка обезличенных данных о посетителях (в т.ч. файлов «cookie») с помощью сервисов интернет-статистики (Яндекс Метрика и других).
III. Правила работы с обезличенными данными в случае обезличивания персональных данных
21. Обезличивание персональных данных посетителей сайта Оператора осуществляется в статистических целях с соблюдением требований, предусмотренных Федеральным законом "О персональных данных".
22. Персональные данные, полученные в результате обезличивания, могут обрабатываться с использованием и без использования средств автоматизации и не подлежат разглашению.
23. Персональные данные, полученные в результате обезличивания, подлежат защите в соответствии с законодательством Российской Федерации.
24. Персональные данные, полученные в результате обезличивания, не подлежат предоставлению третьим лицам, осуществляющим обработку персональных данных с использованием дополнительной информации, позволяющей прямо или косвенно определить конкретное физическое лицо.
25. При обработке персональных данных, полученных в результате обезличивания, без использования средств автоматизации обеспечивается сохранность содержащих их материальных носителей и порядок доступа работников Оператора в помещения, в которых они хранятся, в целях исключения несанкционированного доступа к обезличенным персональным данным, возможности их несанкционированного уничтожения, изменения, блокирования, копирования, распространения, а также иных неправомерных действий.
26. При обработке персональных данных, полученных в результате обезличивания, в информационных системах персональных данных обеспечивается соблюдение парольной защиты информационных систем персональных данных, антивирусной политики, правил работы со съемными носителями (в случае их использования), правил резервного копирования, правил доступа в помещения, где расположены элементы информационных систем персональных данных.
27. При хранении персональных данных, полученных в результате обезличивания, обеспечивается раздельное хранение персональных данных, полученных в результате обезличивания, и информации о выбранном методе обезличивания персональных данных и параметрах процедуры обезличивания персональных данных.
IV. Сроки обработки и хранения персональных данных. Порядок уничтожения персональных данных
28. Сроки хранения персональных данных Оператором определяются действующим законодательством, в т.ч. Перечнем типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения, утвержденным приказом Федерального архивного агентства от 20 декабря 2019 г. N 236.
29. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.
30. Персональные данные подлежат уничтожению в следующих случаях:
1) При достижении цели обработки персональных данных или в случае утраты необходимости в достижении цели обработки персональных данных, если иное не предусмотрено Федеральным законом "О персональных данных";
2) При изменении, признании утратившими силу нормативных правовых актов, устанавливающих правовые основания обработки персональных данных;
3) При выявлении факта неправомерной обработки персональных данных;
4) При отзыве субъектом персональных данных согласия, если иное не предусмотрено Федеральным законом "О персональных данных".
31. Структурным подразделением (ответственным специалистом) Оператора, ответственным за документооборот и архивирование, осуществляется систематический контроль и выявление документов, содержащих персональные данные с истекшими сроками хранения.
32. Уничтожение персональных данных производится в порядке, предусмотренном действующим законодательством с составлением акта об уничтожении персональных данных.
V. Рассмотрение запросов субъектов персональных данных или их представителей
33. Лица, указанные в пункте 5 настоящей Политики, имеют право на получение информации, касающейся обработки их персональных данных, в том числе содержащей:
1) подтверждение факта обработки персональных данных Оператором;
2) правовые основания и цели обработки персональных данных;
3) цели и применяемые Оператором способы обработки персональных данных;
4) наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
6) сроки обработки персональных данных, в том числе сроки их хранения;
7) порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом "О персональных данных";
8) информацию об осуществленной или о предполагаемой трансграничной передаче данных;
9) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
10) информацию о способах исполнения Оператором обязанностей, установленных статьей 18.1 Федерального закона "О персональных данных";
11) иные сведения, предусмотренные Федеральным законом "О персональных данных" или другими федеральными законами.
34. Лица, указанные в пункте 5 настоящей Политики, вправе требовать от Оператора уточнения их персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
35. Сведения, указанные в пункте 33 настоящей Политики, должны быть предоставлены субъекту персональных данных Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.
36. Сведения, указанные в пункте 33 настоящей Политики, предоставляются субъекту персональных данных или его представителю уполномоченным должностным лицом Оператора, осуществляющим обработку соответствующих персональных данных, в течение десяти рабочих дней с момента обращения либо получения Оператором запроса субъекта персональных данных или его представителя. Запрос должен содержать:
1) номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
2) сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором;
3) подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
37. В случае если сведения, указанные в пункте 33 настоящей Политики, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно к Оператору или направить ему повторный запрос в целях получения указанных сведений и ознакомления с такими персональными данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных .
38. Субъект персональных данных вправе обратиться повторно к Оператору или направить ему повторный запрос в целях получения сведений, указанных в пункте 33 настоящей Политики, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в пункте 37 настоящей Политики, в случае если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в пункте 36 настоящей Политики, должен содержать обоснование направления повторного запроса.
39. Оператор вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным пунктами 37 и 38 настоящей Политики. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Операторе.
40. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
41. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе о персональных данных.