Положение об обработке персональных данных в компании ООО «Стройинвест»

1. Общие положения

1.1. Политика обработки персональных данных (далее – Политика) разработана в соответствии с Федеральным законом от 27.07.2006. № 152-ФЗ «О персональных данных» (далее – ФЗ-152) определяет цели и общие принципы обработки персональных данных, а также реализуемые меры защиты персональных данных в  ООО «Стройинвест» (далее — Компания). Политика является общедоступным документом Оператора и предусматривает возможность ознакомления с ней любых лиц.

1.2. Цель данного Положения – обеспечение требований защиты прав граждан при обработке персональных данных Частных Клиентов (как они определены ниже), а также персональных данных физических лиц – представителей Клиентов - организаций.

1.3. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации. Ограничение прав граждан Российской Федерации на основе использования информации об их социальном происхождении, о расовой, национальной, языковой, религиозной и партийной принадлежности запрещено в соответствии с законодательством.

1.4. Настоящее Положение утверждается Генеральным директором и действует до его отмены распорядительным документом по Компании или до его замены иным аналогичным внутренним документом. Настоящее Положение подлежит размещению на сайте Компании (в электронном виде) и является обязательным для исполнения всеми сотрудниками Компании, имеющими доступ к персональным данным Клиентов – физических лиц, персональным данным физических лиц – представителей Клиентов – организаций.

2. Основные понятия

2.1. Для целей настоящего Положения используются термины и определения в соответствии с их значениями, как они определены в Федеральном законе от 27.07.2006. № 152-ФЗ «О персональных данных».

2.2. Представителями Клиентов - организаций в контексте настоящего Положения являются:

• Лица, входящие в органы управления Клиентов - организаций (включая, но не ограничиваясь следующей номенклатурой должностей: генеральный директор, заместитель генерального директора, исполнительный директор, председатель правления, член правления, председатель совета директоров, член совета директоров, председатель наблюдательного совета, член наблюдательного совета, управляющий, конкурсный управляющий);
• Лица, являющиеся владельцами/учредителями/акционерами/участниками Клиентов – организаций;
• Лица, действующие от имени Клиентов - организаций на основании доверенности;
• Лица, оставляющие заявки на web-сайте Компании путем заполнения данных через форму «Отправить заявку», если ими были указаны данные об Организации, от имени которой они выступают.

2.3. Частными Клиентами Компании в контексте настоящего Положения являются:

• Физические лица (субъекты персональных данных), заключившие с Компанией письменный договор на приобретение продукции Компании, а также их представители на основании закона или доверенности;
• Лица, оставляющие заявки на web-сайте Компании путем заполнения данных через форму «Отправить заявку», действующие от своего имени, если ими не были указаны данные об Организации, от имени которой они выступают.

3. Состав персональных данных и способы их получения

3.1. Состав персональных данных Частного Клиента, обработка которых осуществляется Компанией:

• Фамилия, Имя, Отчество;
• Место работы (наименование Организации);
• Номер контактного телефона (домашний, сотовый, рабочий);
• Адрес электронной почты;
• Иные данные, которые Частный Клиент предоставил Компании на сайте Компании в разделе «Текст» заявки или вложенном файле.

3.2. Состав персональных данных представителей Клиентов - организаций, обработка которых осуществляется Компанией:

• Фамилия, Имя, Отчество;
• Место работы (наименование Организации);
• Номер контактного телефона (домашний, сотовый, рабочий);
• Адрес электронной почты;
• Паспортные данные, включая номер паспорта, сведения о дате выдачи и выдавшем паспорт органе, дату рождения, место рождения, пол, адрес регистрации;
• Данные паспорта или иного документа, удостоверяющего личность иностранного гражданина, включая номер, сведения о дате выдачи и выдавшем органе, срок действия, дату рождения, пол, адрес местонахождения (места пребывания);
• Занимаемая(ые) должность(и);
• Иные данные, которые представитель Клиента - организаций предоставил Компании на сайте Компании в разделе «Текст» заявки или вложенном файле.

3.3. Обработка персональных данных Частных Клиентов производится с их согласия. Содержание такого согласия указано в Приложении 2 к настоящему Положению.

3.4. Содержание и объем обрабатываемых персональных определяются исходя из целей обработки. Указанные в пунктах 3.1., 3.2. персональные данные обрабатываются в целях исполнения обязательств Компании по договорам с Частными Клиентами, договорам с Клиентами-организациями, а также на основании и во исполнение законов и подзаконных актов, регулирующих деятельность Компании. Не обрабатываются персональные данные, избыточные или несовместимые по отношению к вышеуказанным целям.

3.5. Компания получает персональные данные Частного Клиента:

3.5.1. Непосредственно от субъекта персональных данных – Частного Клиента, в связи с заключением с Частным Клиентом письменного договора и/или подачей заявки на web-сайте Компании путем заполнения данных через форму «Отправить заявку».

3.5.2. От законного представителя Клиента - организации (субъекта персональных данных).

3.5.3. Из общедоступных источников персональных данных, включая СМИ и Интернет.

3.6. Компания получает персональные данные представителя Клиента - организации:

3.6.1. От представителя Клиента - организации (субъекта персональных данных), в связи с заключением с Частным Клиентом письменного договора и/или подачей заявки на web-сайте Компании путем заполнения данных через форму «Отправить заявку».

3.6.2. От иных представителей Клиента - организации – только на основании федерального закона или только общедоступные персональные данные.

3.6.3. Из общедоступных источников персональных данных, включая СМИ, Интернет, ЕГРЮЛ и иные публичные государственные реестры.

4. Сведения об обработке персональных данных

4.1. Обработка персональных данных Компанией осуществляется смешанным способом: с использованием средств автоматизации и без их использования.

4.2. Действия с персональными данными включают обработку (включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, обезличивание, блокирование, уничтожение персональных данных), при этом общее описание вышеуказанных способов обработки данных приведено в  Федеральном законе от 27.07.2006  № 152-ФЗ, а также передача такой информации третьим лицам, в случаях, установленных нормативными документами государственных органов и законодательством.

4.3. Обработка персональных данных осуществляется Компанией на законной и справедливой основе, правовыми основания для обработки являются:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 27.07.2006г. № 152-ФЗ «О персональных данных»;
• Федеральный закон от 10.01.2002г. № 1-ФЗ «Об электронной цифровой подписи»;
• Федеральный закон от 06.04.2011г. № 63-ФЗ «Об электронной подписи»;
• Федеральный закон от 22.10.2004г. № 125-ФЗ «Об архивном деле в РФ»;
• Устав ООО «Стройинвест».

4.4. Обработка персональных данных Частных Клиентов и представителей Корпоративных - организаций осуществляется Компанией с согласия субъектов персональных данных, за исключением случаев, предусмотренных пунктом 6.2. настоящей статьи.

4.5. Компания имеет право без согласия субъекта персональных данных осуществлять обработку его персональных данных в следующих случаях:

• Обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;
• Обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
• Обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
• Обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
• Осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.

4.6. В целях обеспечения прав и свобод человека и гражданина Компания и ее работники при обработке персональных данных Клиента обязаны соблюдать следующие общие требования.

4.6.1. Обработка и хранение персональных данных осуществляются не дольше, чем этого требуют цели обработки персональных данных, если отсутствуют законные основания для дальнейшей обработки, например, если федеральным законом или договором с субъектом персональных данных не установлен соответствующий срок хранения.

4.6.2. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию при наступлении следующих условий:

• Достижение целей обработки персональных данных или максимальных сроков хранения — в течение 30 дней;
• Утрата необходимости в достижении целей обработки персональных данных — в течение 30 дней;
• Предоставление субъектом персональных данных или его законным представителем подтверждения того, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки — в течение 7 дней;
• Невозможность обеспечения правомерности обработки персональных данных — в течение 10 дней;
• Отзыв субъектом персональных данных согласия на обработку персональных данных, если сохранение персональных данных более не требуется для целей обработки персональных данных — в течение 30 дней;
• Отзыв субъектом персональных данных согласия на использование персональных данных для контактов с потенциальными потребителями при продвижении товаров и услуг — в течение 2 дней;
• Истечение сроков исковой давности для правоотношений, в рамках которых осуществляется либо осуществлялась обработка персональных данных;
• Ликвидация (реорганизация) Компании.

4.6.3. Обработка персональных данных на основании договоров и иных соглашений Компании, осуществляется в соответствии с условиями этих договоров, соглашений Компании, а также соглашений с лицами, которым поручена обработка или которые поручили обработку на законных основаниях. Такие соглашения могут определять, в частности:

• Цели, условия, сроки обработки персональных данных;
• Обязательства сторон, в том числе меры по обеспечению конфиденциальности;
• Права, обязанности и ответственность сторон, касающиеся обработки персональных данных.

4.6.4. В случаях, не предусмотренных явно действующим законодательством или договором, обработка осуществляется после получения согласия субъекта персональных данных. Согласие может быть выражено в форме совершения действий, принятия условий договора-оферты, проставления соответствующих отметок, заполнения полей в формах, бланках, или оформлено в письменной форме в соответствии с законодательством.

5. Конфиденциальность персональных данных

5.1. Сведения, перечисленные в Разделе 3 настоящего Положения, являются конфиденциальными. Компания обеспечивает конфиденциальность персональных данных, и обязана не допускать их распространения без согласия клиентов, либо наличия иного законного основания.

5.2. Все меры конфиденциальности при сборе, обработке и хранении персональных данных клиентов распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.

5.3. Режим конфиденциальности персональных данных снимается в случаях обезличивания или опубликования их в общедоступных источниках (СМИ, Интернет, ЕГРЮЛ и иных публичных государственных реестрах).

6. Права субъекта персональных данных

6.1. Субъект персональных данных имеет право на получение сведений об операторе, о месте его нахождения, о наличии у Компании персональных данных, относящихся к соответствующему субъекту персональных данных, а также на ознакомление с такими персональными данными. Субъект персональных данных вправе требовать от Компании уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

6.2. Сведения о наличии персональных данных должны быть предоставлены субъекту персональных данных Компанией в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных.

6.3. Доступ к своим персональным данным предоставляется субъекту персональных данных или его законному представителю Компанией при обращении либо при получении запроса субъекта персональных данных или его законного представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе и собственноручную подпись субъекта персональных данных или его законного представителя. Запрос может быть направлен в электронной форме и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации.

6.4. Субъект персональных данных имеет право на получение при обращении или при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей:

• Подтверждение факта обработки персональных данных Компанией, а также цель такой обработки;
• Способы обработки персональных данных, применяемые Компанией;
• Сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
• Перечень обрабатываемых персональных данных и источник их получения;
• Сроки обработки персональных данных, в том числе сроки их хранения;
• Сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.

6.5. Субъект персональных данных имеет право отозвать согласие на обработку персональных данных, ограничить способы и формы обработки персональных данных, запретить распространение персональных данных без его согласия.

6.6. Субъект персональных данных вправе обжаловать действия или бездействие Компании в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

6.7. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке.

7. Передача персональных данных

7.1. Передача персональных данных, указанных в Разделе 3, осуществляется Компанией исключительно для достижения целей, определенных письменными договорами между Клиентом и Компанией.

7.2. Передача персональных данных, указанных в Разделе 3, третьим лицам осуществляется Компанией только на основании соответствующего договора, существенным условием которого является обязанность обеспечения третьим лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке.

Данное положение не распространяется в случае обезличивания персональных данных и в отношении общедоступных персональных данных.

7.3. Передача персональных данных третьим лицам осуществляется по каналам связи с использованием необходимых средств защиты и на бумажных носителях.

7.4. Передача персональных данных государственным органам осуществляется в рамках их полномочий в соответствии с применимым законодательством.

8. Хранение и меры по обеспечению безопасности персональных данных

8.1. Персональные данные, указанные в Разделе 3, могут храниться, как на бумажных носителях, так и в электронном виде.

8.2. Персональные данные, указанные в Разделе 3, могут вноситься Компанией или клиентами в следующие группы документов:

• Письменные договоры с клиентами;
• Расчётные (платёжные) документы клиентов;
• Заявления, распоряжения, иные письменные поручения клиентов;
• Письменные претензии клиентов по качеству приобретаемой продукции;
• Письменные документы (судебные иски, возражения на иски, решения судебных инстанций и т.п.), связанные с ведением судебного делопроизводства по искам клиентов против Компании или Компании против клиента
• Корреспонденция с клиентами по прочим вопросам.

8.3. Персональные данные на бумажных носителях, если с них не снят на законном основании режим конфиденциальности, хранятся в условиях, ограничивающих доступ к ним третьим лицам.

8.4. Персональные данные, указанные в Разделе 3,  также хранятся в электронном виде: во внутренней сети Компании, с доступом для работников, допущенных к обработке персональных данных Частных Клиентов, представителей Клиентов - организаций.

8.5. Право доступа к персональным данным Частных Клиентов Компании и представителей Клиентов-организаций имеют:

• Генеральный директор, коммерческий директор;
• Работники Компании, в объеме, необходимом для исполнения их трудовых обязанностей;
• Работники, осуществляющие в Компании бухгалтерский учёт и участвующие в подготовке отчётности, согласно требованиям действующего законодательства, в объеме, необходимом для исполнения их трудовых обязанностей.

8.6. Компания предпринимает необходимые правовые, организационные и технические меры  для обеспечения безопасности персональных данных для их защиты от несанкционированного (в том числе, случайного) доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий.

К таким мерам, в частности, относятся:

• Назначение сотрудников, ответственных за организацию обработки и обеспечение безопасности персональных данных;
• Проверка наличия в договорах и включение при необходимости в договоры пунктов об обеспечении конфиденциальности персональных данных;
• Издание локальных актов по вопросам обработки персональных данных, ознакомление с ними работников, обучение пользователей;
• Обеспечение физической безопасности помещений и средств обработки, пропускной режим, охрана, видеонаблюдение;
• Ограничение и разграничение доступа сотрудников и иных лиц к персональным данным и средствам обработки, мониторинг действий с персональными данными;
• Определение угроз безопасности персональных данных при их обработке, формирование на их основе моделей угроз;
• Применение средств обеспечения безопасности (антивирусных средств, межсетевых экранов, средств защиты от несанкционированного доступа, средств криптографической защиты информации), в том числе прошедших процедуру оценки соответствия в установленном порядке;
• Учёт и хранение носителей информации, исключающее их хищение, подмену, несанкционированное копирование и уничтожение;
• Резервное копирование информации для возможности восстановления;
• Осуществление внутреннего контроля за соблюдением установленного порядка, проверка эффективности принятых мер, реагирование на инциденты.

9. Ответственность за разглашение персональных данных

9.1. Работники Компании, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.

9.2. За неисполнение или ненадлежащее исполнение работником по его вине возложенных на него обязанностей по соблюдению установленного порядка обработки персональных данных Частных Клиентов, представителей Клиентов-организаций Компания вправе применять предусмотренные Трудовым кодексом дисциплинарные взыскания.

9.3. Компания возмещает субъекту персональных данных ущерб, причиненный неправомерным использованием Компанией информации, содержащей персональные данные.