Общество с ограниченной ответственностью «Юридическая фирма Сергея Волкова»
ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
- Общие положения
- Настоящий документ определяет политику Общества с ограниченной ответственностью «Юридическая фирма Сергея Волкова» (ОГРН 1247700694570) (далее — «Общество») в отношении обработки персональных данных и разработан в соответствии с требованиями законодательства Российской Федерации и локальных актов Общества, регулирующих вопросы Обработки Персональных данных. Для целей настоящего документа используются термины и понятия в соответствии с определениями и толкованиями, данными в Федеральном законе от 27.07.2006 №152-ФЗ «О персональных данных» (далее — «Закон о Персональных Данных»). В частности:
- a. «Обработка Персональных данных» или «Обработка» — любое действие (операция) или совокупность действий (операций), совершаемых с Персональными данными с использованием средств автоматизации или без использования таких средств, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение Персональных данных;
- b. «Оператор» — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие Обработку Персональных данных, а также определяющие цели Обработки Персональных данных, состав Персональных данных, подлежащих Обработке, действия (операции), совершаемые с Персональными данными;
- c. «Персональные данные» — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (Субъекту Персональных данных). В случае изменения указанных терминов в Законе о Персональных Данных, для целей настоящего документа будут применяться такие изменённые термины. Кроме того, в настоящем документе используются следующие термины в указанных ниже значениях:
- a. «Информация» — сведения (сообщения, данные) независимо от формы их представления;
- b. «Материальный носитель» — бумажный или машиночитаемый носитель информации (в том числе магнитный и электронный), на котором осуществляется запись и хранение Персональных данных;
- c. «Обращение» — направленные в Общество в письменной форме или в форме электронного документа предложение, заявление или жалоба, а также устное обращение лица;
- d. «Общедоступные Персональные данные» — Персональные данные, к которым Субъектом Персональных данных либо по его просьбе предоставлен доступ неограниченному кругу лиц, а также Персональные данные, которые включены в общедоступные источники Персональных данных (справочники, адресные книги) с письменного согласия Субъекта Персональных данных;
- e. «Ответственный за организацию Обработки» — лицо, назначенное приказом Генерального директора Общества ответственным за организацию Обработки Персональных данных;
- f. «Политика» — настоящая Политика Общества в отношении Обработки Персональных данных;
- g. «Работник» — физическое лицо, у которого с Обществом заключен действующий трудовой договор;
- h. «Субъект» — прямо или косвенно определяемое физическое лицо, к которому относятся Персональные данные.
- Правовые основания Обработки Персональных данных
- Общество осуществляет Обработку Персональных данных, основываясь на следующих законах и нормативных актах:
- a. Конституция Российской Федерации;
- b. Трудовой кодекс Российской Федерации;
- c. Гражданский кодекс Российской Федерации;
- d. Федеральный закон от 27 июля 2006 года №149-ФЗ «Об информации, информационных технологиях и о защите информации»;
- e. Положение об особенностях Обработки персональных данных, осуществляемой без использования средств автоматизации, утв. постановлением Правительства Российской Федерации от 15 сентября 2008 года №687;
- f. Требования к Материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных, утв. постановлением Правительства Российской Федерации от 6 июля 2008 года №512;
- g. Требования к защите персональных данных при их Обработке в информационных системах персональных данных, утв. постановлением Правительства Российской Федерации от 1 ноября 2012 года №1119;
- h. иных применимых нормативных правовых актах Российской Федерации.
- Общество осуществляет Обработку Персональных данных, руководствуясь также:
- a. уставом Общества и локальными актами Общества;
- b. договорами (включая договоры о возмездном оказании юридических услуг и трудовые договоры), заключаемыми Обществом с Субъектами Персональных данных;
- c. поручениями на Обработку Персональных данных, полученными от клиентов и (или) контрагентов Общества с согласия Субъектов Персональных данных согласно п.3 ст.6 Закона о Персональных Данных;
- d. согласиями Субъектов Персональных данных на Обработку их Персональных данных.
- Цели Обработки Персональных данных
- Цели Обработки Персональных данных Обществом включают в себя:
- a. обеспечение соблюдения международных договоров, федеральных законов и нормативных правовых актов Российской Федерации;
- b. исполнение обязанностей, возложенных законодательством Российской Федерации на Общество, в том числе связанных с представлением Персональных данных в налоговые органы, Социальный фонд России, Федеральный фонд обязательного медицинского страхования, военные комиссариаты Российской Федерации, а также в иные государственные органы;
- c. исполнение обязанностей работодателя;
- d. обеспечение безопасности в помещениях и на объектах Общества;
- e. подготовку, заключение, исполнение и прекращение договоров с Субъектами Персональных данных;
- f. сбор информации для ведения внутреннего статистического анализа;
- g. исполнения Обществом договоров с контрагентами, в том числе с клиентами, которым Общество оказывает услуги;
- h. осуществления Обществом маркетинговой деятельности, включая проведение конференций, осуществление информационных рассылок;
- i. в иных целях, предусмотренных уставом Общества, согласием Субъекта Персональных данных и обязательными для соблюдения Обществом нормами законодательства Российской Федерации.
В Обществе могут обрабатываться Персональные данные следующих категорий Субъектов Персональных данных:
a. Работники, бывшие Работники, кандидаты на замещение вакантных должностей или прохождение стажировки или практики, члены семей и родственники Работников;
b. физические лица — учредители и участники (в том числе бывшие) Общества;
c. посетители, пропускаемые на территорию и в помещения, занимаемые Обществом;
d. командированные работники других организаций;
e. представители и работники контрагентов Общества — физические лица;
f. физические лица, являющиеся прямыми или косвенными выгодоприобретателями при оказании Обществом услуг юридического характера;
g. физические лица, чьи Персональные данные были переданы Обществу в связи с оказанием Обществом услуг юридического характера или осуществления Обществом иной хозяйственной деятельности;
h. физические лица, направляющие Обращения в Общество;
i. физические лица, оказывающие Обществу услуги на основании договоров гражданско-правового характера;
j. иных лиц, которые в зависимости от обстоятельств могут добровольно предоставлять Обществу свои Персональные данные.
Общество осуществляет Обработку следующих категорий персональных данных:
a. фамилия, имя, отчество;
b. адрес проживания;
c. адрес электронной почты;
d. номер телефона;
e. данные об организации Субъекта персональных данных (например, место работы, должность и контактные данные работодателя);
f. иные сведения, необходимые Обществу в целях, предусмотренных п.3 настоящей Политики, и при наличии соответствующих правовых оснований их Обработки.
4.3. Общество вправе обрабатывать специальные категории Персональных данных и биометрические Персональные данные исключительно в случаях, предусмотренных законодательством Российской Федерации.
- Права и обязанности Субъектов Персональных данных
- 5.1. Субъекты Персональных данных имеют право:
- a. получать Информацию, касающуюся Обработки их Персональных данных, в том числе содержащую:
- i. правовые основания, цели, источник получения, сроки и применяемые способы Обработки Персональных данных;
- ii. сведения о лицах, которым на законных основаниях могут быть раскрыты Персональные данные, в том числе о лицах, осуществляющих Обработку Персональных данных по поручению Общества;
- iii. информацию о передаче, в том числе о трансграничной передаче, Персональных данных третьим лицам;
- iv. иные сведения, право на получение которых предоставлено Субъекту Персональных данных законодательством Российской Федерации;
- b. осуществлять свободный бесплатный доступ к своим Персональным данным;
- c. требовать уточнения, блокирования или уничтожения Персональных данных в случае, если Персональные данные являются неполными, устаревшими, неточными, а также принимать предусмотренные законом меры по защите своих прав;
- d. обжаловать в суд любые неправомерные действия или бездействие Общества при Обработке и защите Персональных данных;
- e. осуществлять иные права, предоставленные им законодательством Российской Федерации.
- 5.2. Субъекты Персональных данных обязаны:
- a. предоставлять Обществу достоверную информацию, содержащую их Персональные данные;
- b. своевременно информировать Общество в случае изменения своих Персональных данных, обрабатываемых Обществом в целях, установленных настоящей Политикой, иными локальными актами Общества и согласиями на Обработку Персональных данных, и представлять подтверждающие документы в течение трех рабочих дней с даты таких изменений;
- c. учитывать, что отказ от предоставления Обществу Персональных данных, согласия на Обработку Персональных данных или отзыв ранее данного Обществу согласия на Обработку Персональных данных может повлечь невозможность дальнейшего выполнения Обществом своих обязательств в отношении Субъекта Персональных данных;
- d. выполнять иные обязанности, предусмотренные законодательством Российской Федерации.
Общество, осуществляя Обработку Персональных данных, вправе:
a. осуществлять Обработку Персональных данных, полученных Обществом законным способом, для целей, установленных настоящей Политикой, иными локальными актами Общества и согласиями на Обработку Персональных данных;
b. поручить Обработку Персональных данных другому лицу с письменного согласия Субъектов Персональных данных на основании заключаемого с этим лицом договора;
c. не предоставлять Субъекту Персональных данных Информацию, предусмотренную пп. 5.1 a настоящей Политики, в случаях, если:
i. Субъект Персональных данных уведомлен об осуществлении Обработки его Персональных данных соответствующим Оператором;
ii. Персональные данные получены на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является Субъект Персональных данных;
iii. Персональные данные являются Общедоступными Персональными данными;
iv. Общество осуществляет Обработку Персональных данных для статистических или иных исследовательских целей, если при этом не нарушаются права и законные интересы соответствующих Субъектов Персональных данных;
v. предоставление Субъекту Персональных данных указанных сведений нарушает права и законные интересы третьих лиц;
d. ограничить доступ Субъекта Персональных данных к его Персональным данным в соответствии с федеральными законами, в том числе в случае, если доступ нарушает права и законные интересы третьих лиц;
e. передавать Персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации;
f. совершать иные действия с Персональными данными, не противоречащие законодательству Российской Федерации в области Персональных данных.
При осуществлении Обработки Персональных данных Общество выполняет следующие обязанности:
a. предоставляет Субъектам Персональных данных по их просьбе Информацию, перечисленную в пп. 5.1 a настоящей Политики, за исключением случаев, установленных законом и настоящей Политикой;
b. разъясняет Субъектам Персональных данных юридические последствия отказа предоставить свои Персональные данные;
c. предоставляет Субъектам Персональных данных, если Персональные данные получены не от самого Субъекта, за исключением случаев, предусмотренных законодательством Российской Федерации в области Персональных данных, до начала Обработки таких Персональных данных Информацию о целях, источнике получения и предполагаемых пользователях Персональных данных, а также о правах Субъектов Персональных данных;
d. принимает меры для защиты Персональных данных от неправомерного или случайного доступа к ним, а также от иных неправомерных действий в отношении Персональных данных;
e. обеспечивает неограниченный доступ к настоящей Политике и к сведениям о реализуемых требованиях к защите Персональных данных, по запросу уполномоченного органа по защите прав Субъектов Персональных данных представляет документы и локальные акты Общества в отношении защиты Персональных данных;
f. не сообщает, не раскрывает третьим лицам и не распространяет Персональные данные без согласия Субъектов Персональных данных, за исключением предусмотренных законом случаев;
g. сообщает в установленном порядке Субъектам Персональных данных или их представителям Информацию о наличии Персональных данных, относящихся к соответствующим Субъектам, безвозмездно предоставляет возможность ознакомления с этими Персональными данными при Обращении и (или) поступлении запросов указанных Субъектов Персональных данных или их представителей или даёт письменный мотивированный ответ о причинах отказа с отсылкой на нормы законодательства Российской Федерации;
h. по запросу Субъекта Персональных данных или его представителя вносит необходимые изменения в Персональные данные, если они являются неполными, неточными или неактуальными, или уничтожает Персональные данные, если Персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели Обработки;
i. получает согласия Субъектов на Обработку их Персональных данных, за исключением установленных законом случаев;
j. обеспечивает соблюдение условий Обработки Персональных данных, которые содержатся в соответствующих договорах с Субъектами, в т. ч. в договорах об оказании Обществом услуг, содержащих условия Обработки Персональных данных, переданных Обществу контрагентом в связи с оказанием услуг;
k. информирует в письменном виде получателей документов, электронных файлов и иной Информации, содержащей Персональные данные, о необходимости соблюдения конфиденциальности получаемых Персональных данных;
l. выполняет иные обязанности, возложенные на Общество как на Оператора Персональных данных в соответствии с законодательством Российской Федерации.
7. Порядок, способы, сроки Обработки и хранения Персональных данных
При Обработке Персональных данных Обществом могут осуществляться следующие действия с Персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение Персональных данных. Сбор, запись, систематизация, накопление, уточнение (обновление, изменение), извлечение и использование Персональных данных могут осуществляться путем:
a. получения Персональных данных от контрагентов в связи с оказанием услуг по договорам;
b. получения оригиналов и копий документов, заполненных анкет и форм, предоставляемых Субъектами Персональных данных;
c. формирования Персональных данных в ходе кадровой работы;
d. получения Информации, содержащей Персональные данные, в устной и письменной форме непосредственно от Субъекта Персональных данных;
e. получения Персональных данных при направлении запросов в государственные органы, органы местного самоуправления, коммерческие и некоммерческие организации, физическим лицам в случаях и порядке, предусмотренных законодательством Российской Федерации;
f. получения Общедоступных Персональных данных;
g. фиксации (регистрации) Персональных данных в журналах, книгах, реестрах и других учетных формах;
h. внесения Персональных данных в информационные системы Персональных данных Общества, а также
i. использования иных средств и способов фиксации Персональных данных, получаемых в рамках осуществляемой Обществом деятельности.
7.3 Обработка Персональных данных осуществляется с письменного согласия Субъекта Персональных данных на Обработку либо при наличии в договоре об оказании юридических услуг, в рамках которого производится работа с соответствующими Персональными данными, условия об Обработке соответствующих Персональных данных по поручению клиента в соответствии с пунктом 3 статьи 6 Закона о Персональных Данных, если иное не предусмотрено законодательством Российской Федерации в области Персональных данных. Перед началом работы с Персональными данными Работник Общества должен убедиться в наличии согласия Субъекта Персональных данных на их Обработку. В случае отсутствия такого согласия Работник обязан незамедлительно сообщить об этом руководителю проекта и прекратить любую Обработку Персональных данных Субъекта.
7.4 Обработка Персональных данных осуществляется Обществом следующими способами:
a. неавтоматизированная Обработка Персональных данных;
b. автоматизированная Обработка Персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
c. смешанная Обработка Персональных данных.
7.5 Персональные данные при их Обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных Материальных носителях Персональных данных, в специальных разделах или на полях форм (бланков).
7.6 Любые Персональные данные, в том числе полученные от клиентов, их сотрудников, руководителей, акционеров, участников, представителей и прочих лиц, хранятся только на рабочих компьютерах Общества и на Яндекс.Диске в рабочих папках, соответствующих проекту, в рамках которого соответствующие данные получены и (или) используются, а также на физических носителях информации, полученных от контрагентов.
7.7 Обработка Персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории Персональных данных можно было определить места хранения Персональных данных (Материальных носителей) и установить перечень лиц, осуществляющих Обработку Персональных данных либо имеющих к ним доступ.
7.8 Для достижения целей Обработки Персональных данных Общество может поручать Обработку Персональных данных третьим лицам. В договор с лицом, осуществляющим Обработку Персональных данных по поручению Общества, включаются установленные законом обязательные положения, в том числе требования к защите обрабатываемых Персональных данных в соответствии с законодательством Российской Федерации.
7.9 Передача, включая трансграничную передачу, Персональных данных третьим лицам допускается с письменного согласия Субъектов Персональных данных, за исключением предусмотренных законом случаев.
7.10 При передаче Персональных данных третьим лицам Общество информирует принимающую сторону о необходимости соблюдения требований конфиденциальности в отношении Персональных данных.
7.11 Информация и (или) документы, содержащие Персональные данные, могут быть переданы органам государственной власти в рамках установленных полномочий при поступлении от них мотивированных запросов.
7.12 Общество принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей Оператора Персональных данных, предусмотренных действующим законодательством Российской Федерации. Общество также принимает правовые, организационные и технические меры для защиты Персональных данных от неправомерных действий в отношении Персональных данных. В частности, Общество:
a. назначает Ответственного за организацию Обработки;
b. принимает настоящую Политику, а также локальные акты по вопросам Обработки и защиты Персональных данных;
c. осуществляет внутренний контроль и (или) аудит соответствия Обработки Персональных данных действующему законодательству Российской Федерации и локальным актам Общества;
d. организует учет документов и иных Материальных носителей, содержащих Персональные данные и хранит их с соблюдением условий, обеспечивающих сохранность Персональных данных и исключающих несанкционированный доступ к ним, а также
e. исключает передачу Персональных данных третьим лицам при отсутствии согласия Субъекта Персональных данных, за исключением предусмотренных законом случаев.
7.13 Общество применяет организационные и технические меры по обеспечению безопасности Персональных данных при Обработке в информационных системах Персональных данных. В частности, Общество:
a. определяет угрозы безопасности персональных данных при их Обработке;
b. назначает Ответственного за обеспечение безопасности персональных данных;
c. организует работу с информационными системами, в которых обрабатываются персональные данные;
d. обнаруживает факты несанкционированного доступа к персональным данным и принимает меры по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
e. f. знакомит Работников Общества, непосредственно осуществляющих Обработку персональных данных, с положениями законодательства о персональных данных и локальных актов Общества по вопросам Обработки Персональных данных; периодически проводит мониторинг действий сотрудников, вовлечённых в Обработку Персональных данных, разбирательства по фактам нарушения требований безопасности персональных данных;
g. проводит консультации с генеральным директором, операционным директором и IT-специалистом на предмет достаточности реализуемых в Обществе мер безопасности по защите персональных устройств, сервера хранения информации, шифрования данных.
7.14 Общество осуществляет Обработку Персональных данных в течение срока, необходимого для достижения установленных настоящей Политикой целей Обработки персональных данных, или срока, установленного законодательством Российской Федерации.
7.15 Общество прекращает Обработку Персональных данных и уничтожает Персональные данные или обеспечивает прекращение такой Обработки и уничтожение Персональных данных не ранее чем через 5 (пять) лет с момента получения таких данных.
7.16 Хранение Персональных данных осуществляется в форме, позволяющей определить Субъекта Персональных данных не дольше, чем этого требуют цели Обработки Персональных данных, за исключением случаев, когда иные сроки хранения установлены законодательством Российской Федерации, согласием Субъекта Персональных данных или договором.
7.17 При осуществлении хранения Персональных данных Обществом используются базы данных, находящиеся на территории Российской Федерации в соответствии с требованиями законодательства Российской Федерации.
7.18 Общество соблюдает установленные законодательством Российской Федерации условия хранения документов, содержащих Персональные данные. В частности, документы, содержащие Персональные данные, хранятся в помещениях Общества в условиях, исключающих несанкционированный доступ к ним.
7.19 После завершения проекта все данные помещаются в отдельную папку с ограниченным доступом, администрируемую операционным директором.
7.20 Общество обеспечивает неограниченный доступ к настоящей Политике путём её размещения на официальном сайте Общества в информационно-телекоммуникационной сети Интернет.
8. Порядок уничтожения Персональных данных
8.1 Общество прекращает Обработку Персональных данных и уничтожает Персональные данные или обеспечивает прекращение такой Обработки и уничтожение Персональных данных (если Обработка осуществляется другим лицом, действующим по поручению Общества в случаях и в сроки, установленные законодательством Российской Федерации) при достижении цели обработки Персональных данных, при достижении максимальных сроков хранения документов, содержащих Персональные данные, а также в случаях предоставления Субъектом Персональных данных (его представителем) подтверждения того, что Персональные данные получены незаконно или не являются необходимыми для заявленной цели Обработки и отзыва Субъектом Персональных данных согласия на их обработку.
8.2 Уничтожение Персональных данных производится в следующие сроки:
a. при достижении цели Обработки Персональных данных либо утрате необходимости достигать эту цель — в течение 30 дней;
b. при достижении максимальных сроков хранения документов, содержащих Персональные данные, — в течение 30 дней;
c. при предоставлении Субъектом Персональных данных (его представителем) подтверждения того, что Персональные данные получены незаконно или не являются необходимыми для заявленной цели Обработки, — в течение 7 рабочих дней;
d. при отзыве Субъектом Персональных данных согласия на Обработку его Персональных данных, если их сохранение для цели их Обработки более не требуется, — в течение 30 дней.
8.3 Уничтожение Персональных данных производится Ответственным за организацию Обработки и оформляется актом об уничтожении Персональных данных, если:
a. иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект Персональных данных;
b. Общество не вправе осуществлять Обработку без согласия Субъекта Персональных данных на основаниях, предусмотренных Законом о Персональных Данных или иными федеральными законами, или
c. иное не предусмотрено иным соглашением между Обществом и Субъектом Персональных данных.
8.4 Уничтожение Персональных данных осуществляется следующими способами:
a. для бумажных носителей Персональных данных — разрезание, пропуск документов через уничтожитель бумаги (шредер);
b. для электронных носителей Персональных данных — стирание информации, многократная перезапись информации, физическое уничтожение съемных носителей.
9. Процедуры, направленные на предотвращение и выявление нарушений законодательства в области Персональных данных, устранение последствий таких нарушений
9.1 Общество обеспечивает регулярный и систематический внутренний контроль, а также при необходимости внутренний аудит Обработки Персональных данных с целью подтверждения соответствия требованиям Федерального закона №152-ФЗ «О персональных данных», настоящей Политики, а также иным локальным нормативным актам Общества, регулирующих порядок Обработки и обеспечения безопасности Персональных данных.
9.2 Общество обеспечивает контроль за надежностью и эффективностью функционирования внутреннего контроля и (или) аудита соответствия Обработки Персональных данных.
9.3 Участники Общества и (или) генеральный директор Общества вправе самостоятельно или с привлечением внешних консультантов проводить внутренний аудит Обработки Персональных данных в любое время для оценки эффективности контроля за соблюдением установленного режима Обработки Персональных данных.
9.4 Внутренний аудит Обработки Персональных данных должен проводиться в условиях независимости проверяющего лица от Работников и лиц, осуществляющих функции Обработки Персональных данных. Размер, порядок и (или) условия выплаты вознаграждения проверяющего лица не могут зависеть от Работников и лиц, осуществляющих функции Обработки Персональных данных.
9.5 Для обеспечения информирования Субъектов Персональных данных и разъяснения последствий отказа в их Обработке Общество ежеквартально осуществляет проверку журнала запросов и форм согласий Субъектов Персональных данных. Общество также вправе провести выборочную проверку ответов на соответствующие запросы Субъектов Персональных данных и форм согласий.
9.6 В случае отказа Субъекта Персональных данных от предоставления Персональных данных для Обработки Обществом, Субъект Персональных данных должен направить по электронной почте на адрес info@volkovlegal.ruписьменное разъяснение относительно отказа.
9.7 Ответственный за организацию Обработки осуществляет внутренний контроль за соблюдением Обществом и его Работниками законодательства Российской Федерации о Персональных данных, в том числе требований к защите Персональных данных, посредством получения копий запросов Субъектов Персональных данных, ответов Общества, пояснений Работников и иных лиц, имеющих доступ к Персональным данным Субъекта, а также сверки принятых мер защиты Персональных данных Субъектов с установленным в настоящей Политике режимом Обработки.
9.8 Ответственный за организацию Обработки вправе в любое время провести выборочную проверку соответствия действий Работников Общества и иных лиц, имеющих доступ к Персональным данным Субъектов, Политике, условиям Обработки Персональных данных, которые содержатся в соответствующих договорах с Субъектами, и требованиям Закона о Персональных Данных. При выявлении нарушений Ответственный за организацию Обработки вправе запросить отчет о работе с Персональными данными или устные пояснения.
9.9 Ответственный за организацию Обработки вправе высказывать мотивированное суждение относительно эффективности предпринятых в Обществ мер защиты Персональных данных Субъектов.
9.10 С целью защиты Персональных данных Общество выстраивает систему реагирования на инциденты, связанные с нарушением безопасности Персональных данных. Целью системы является своевременное выявление, локализация, расследование и предотвращение утечек Персональных данных, а также минимизация последствий для Субъектов Персональных данных. При выявлении утечки Ответственный за организацию Обработки Персональных данных обязан:
a. письменно зафиксировать факт утечки;
b. незамедлительно уведомить Субъекта Персональных данных об утечке и приостановить Обработку его Персональных данных до получения дальнейших инструкций от Субъекта Персональных данных;
c. локализовать источник утечки, провести расследование и по его результатам составить акт о выявленном случае утечки Персональных данных;
d. незамедлительно уведомить третьих лиц, получивших несанкционированный доступ к Персональным данным Субъекта, о недопустимости их распространения, а также о необходимости немедленно прекратить Обработку и уничтожить все полученные Персональные данные;
e. уведомить Субъекта Персональных данных о факте утечки и согласовать с ним порядок уведомления уполномоченного органа по защите прав субъектов персональных данных об утечке;
f. уведомить уполномоченный орган по защите прав субъектов персональных данных в соответствии с согласованным порядком.
9.11 В случае нарушения Федерального закона №152-ФЗ «О персональных данных» Ответственный за организацию Обработки производит оценку вреда, который может быть причинен Субъектам Персональных данных. Результаты оценки вреда оформляются актом оценки вреда.
10. Рассмотрение Обращений и запросов Субъектов Персональных данных
10.1 Субъекты Персональных данных вправе в порядке, предусмотренном законодательством, запросить сведения об Обработке их Персональных данных, предоставление которых Обществом предусмотрено законодательством Российской Федерации.
10.2 Указанные сведения предоставляются Субъекту Персональных данных в доступной форме Ответственным за организацию Обработки на основании соответствующего требованиям законодательства Обращения или запроса Субъекта Персональных данных.
10.3 Обращения и запросы могут быть переданы Субъектами Персональных данных в Общество лично, направлены почтой по адресу регистрации Общества в Едином государственном реестре юридических лиц либо направлены по электронной почте на адрес info@volkovlegal.ru с указанием желаемого способа получения ответа от Общества (лично по месту нахождения Общества, по почте или по электронной почте на адрес Субъекта Персональных данных, указанный в Обращении или запросе).
10.4 Ответ на Обращение или запрос предоставляется Обществом в течение 30 дней с момента его получения.
10.5 Субъект Персональных данных вправе обратиться с повторным Обращением или запросом не ранее чем через 30 дней после первоначального Обращения или запроса, если более короткий срок не установлен федеральными законами, нормативными правовыми актами или договором, стороной, выгодоприобретателем или поручителем по которому является Субъект Персональных данных. Повторный запрос или Обращение могут быть направлены до истечения 30-дневного срока в случае, если запрошенные сведения и (или) обрабатываемые Персональные данные не были предоставлены Субъекту Персональных данных для ознакомления в полном объеме по результатам рассмотрения первоначального Обращения. Повторный запрос должен содержать обоснование направления повторного запроса.
10.6 Общество вправе отказать Субъекту Персональных данных в выполнении повторного запроса, не соответствующего вышеуказанным условиям. Такой отказ должен быть мотивированным.
10.7 В случае получения запроса Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзора) Общество обязано сообщить необходимую информацию в течение 10 рабочих дней с даты получения такого запроса.
11. Заключительные положения
11.1 Вопросы, не урегулированные Положением, регулируются законодательством, уставом Общества и внутренними документами Общества.
11.2 Общество обеспечивает обязательное ознакомление под роспись всех Работников с внутренними документами в области Обработки Персональных данных Общества.
11.3 Ответственным за организацию и контроль процесса ознакомления Работников с внутренними политиками является Ответственный за организацию Обработки.
При Обработке Персональных данных Обществом могут осуществляться следующие действия с Персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение Персональных данных. Сбор, запись, систематизация, накопление, уточнение (обновление, изменение), извлечение и использование Персональных данных могут осуществляться путем:
a. получения Персональных данных от контрагентов в связи с оказанием услуг по договорам;
b. получения оригиналов и копий документов, заполненных анкет и форм, предоставляемых Субъектами Персональных данных;
c. формирования Персональных данных в ходе кадровой работы;
d. получения Информации, содержащей Персональные данные, в устной и письменной форме непосредственно от Субъекта Персональных данных;
e. получения Персональных данных при направлении запросов в государственные органы, органы местного самоуправления, коммерческие и некоммерческие организации, физическим лицам в случаях и порядке, предусмотренных законодательством Российской Федерации;
f. получения Общедоступных Персональных данных;
g. фиксации (регистрации) Персональных данных в журналах, книгах, реестрах и других учетных формах;
h. внесения Персональных данных в информационные системы Персональных данных Общества, а также
i. использования иных средств и способов фиксации Персональных данных, получаемых в рамках осуществляемой Обществом деятельности.
7.3 Обработка Персональных данных осуществляется с письменного согласия Субъекта Персональных данных на Обработку либо при наличии в договоре об оказании юридических услуг, в рамках которого производится работа с соответствующими Персональными данными, условия об Обработке соответствующих Персональных данных по поручению клиента в соответствии с пунктом 3 статьи 6 Закона о Персональных Данных, если иное не предусмотрено законодательством Российской Федерации в области Персональных данных. Перед началом работы с Персональными данными Работник Общества должен убедиться в наличии согласия Субъекта Персональных данных на их Обработку. В случае отсутствия такого согласия Работник обязан незамедлительно сообщить об этом руководителю проекта и прекратить любую Обработку Персональных данных Субъекта.
7.4 Обработка Персональных данных осуществляется Обществом следующими способами:
a. неавтоматизированная Обработка Персональных данных;
b. автоматизированная Обработка Персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
c. смешанная Обработка Персональных данных.
7.5 Персональные данные при их Обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных Материальных носителях Персональных данных, в специальных разделах или на полях форм (бланков).
7.6 Любые Персональные данные, в том числе полученные от клиентов, их сотрудников, руководителей, акционеров, участников, представителей и прочих лиц, хранятся только на рабочих компьютерах Общества и на Яндекс.Диске в рабочих папках, соответствующих проекту, в рамках которого соответствующие данные получены и (или) используются, а также на физических носителях информации, полученных от контрагентов.
7.7 Обработка Персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории Персональных данных можно было определить места хранения Персональных данных (Материальных носителей) и установить перечень лиц, осуществляющих Обработку Персональных данных либо имеющих к ним доступ.
7.8 Для достижения целей Обработки Персональных данных Общество может поручать Обработку Персональных данных третьим лицам. В договор с лицом, осуществляющим Обработку Персональных данных по поручению Общества, включаются установленные законом обязательные положения, в том числе требования к защите обрабатываемых Персональных данных в соответствии с законодательством Российской Федерации.
7.9 Передача, включая трансграничную передачу, Персональных данных третьим лицам допускается с письменного согласия Субъектов Персональных данных, за исключением предусмотренных законом случаев.
7.10 При передаче Персональных данных третьим лицам Общество информирует принимающую сторону о необходимости соблюдения требований конфиденциальности в отношении Персональных данных.
7.11 Информация и (или) документы, содержащие Персональные данные, могут быть переданы органам государственной власти в рамках установленных полномочий при поступлении от них мотивированных запросов.
7.12 Общество принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей Оператора Персональных данных, предусмотренных действующим законодательством Российской Федерации. Общество также принимает правовые, организационные и технические меры для защиты Персональных данных от неправомерных действий в отношении Персональных данных. В частности, Общество:
a. назначает Ответственного за организацию Обработки;
b. принимает настоящую Политику, а также локальные акты по вопросам Обработки и защиты Персональных данных;
c. осуществляет внутренний контроль и (или) аудит соответствия Обработки Персональных данных действующему законодательству Российской Федерации и локальным актам Общества;
d. организует учет документов и иных Материальных носителей, содержащих Персональные данные и хранит их с соблюдением условий, обеспечивающих сохранность Персональных данных и исключающих несанкционированный доступ к ним, а также
e. исключает передачу Персональных данных третьим лицам при отсутствии согласия Субъекта Персональных данных, за исключением предусмотренных законом случаев.
7.13 Общество применяет организационные и технические меры по обеспечению безопасности Персональных данных при Обработке в информационных системах Персональных данных. В частности, Общество:
a. определяет угрозы безопасности персональных данных при их Обработке;
b. назначает Ответственного за обеспечение безопасности персональных данных;
c. организует работу с информационными системами, в которых обрабатываются персональные данные;
d. обнаруживает факты несанкционированного доступа к персональным данным и принимает меры по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
e. f. знакомит Работников Общества, непосредственно осуществляющих Обработку персональных данных, с положениями законодательства о персональных данных и локальных актов Общества по вопросам Обработки Персональных данных; периодически проводит мониторинг действий сотрудников, вовлечённых в Обработку Персональных данных, разбирательства по фактам нарушения требований безопасности персональных данных;
g. проводит консультации с генеральным директором, операционным директором и IT-специалистом на предмет достаточности реализуемых в Обществе мер безопасности по защите персональных устройств, сервера хранения информации, шифрования данных.
7.14 Общество осуществляет Обработку Персональных данных в течение срока, необходимого для достижения установленных настоящей Политикой целей Обработки персональных данных, или срока, установленного законодательством Российской Федерации.
7.15 Общество прекращает Обработку Персональных данных и уничтожает Персональные данные или обеспечивает прекращение такой Обработки и уничтожение Персональных данных не ранее чем через 5 (пять) лет с момента получения таких данных.
7.16 Хранение Персональных данных осуществляется в форме, позволяющей определить Субъекта Персональных данных не дольше, чем этого требуют цели Обработки Персональных данных, за исключением случаев, когда иные сроки хранения установлены законодательством Российской Федерации, согласием Субъекта Персональных данных или договором.
7.17 При осуществлении хранения Персональных данных Обществом используются базы данных, находящиеся на территории Российской Федерации в соответствии с требованиями законодательства Российской Федерации.
7.18 Общество соблюдает установленные законодательством Российской Федерации условия хранения документов, содержащих Персональные данные. В частности, документы, содержащие Персональные данные, хранятся в помещениях Общества в условиях, исключающих несанкционированный доступ к ним.
7.19 После завершения проекта все данные помещаются в отдельную папку с ограниченным доступом, администрируемую операционным директором.
7.20 Общество обеспечивает неограниченный доступ к настоящей Политике путём её размещения на официальном сайте Общества в информационно-телекоммуникационной сети Интернет.
8. Порядок уничтожения Персональных данных
8.1 Общество прекращает Обработку Персональных данных и уничтожает Персональные данные или обеспечивает прекращение такой Обработки и уничтожение Персональных данных (если Обработка осуществляется другим лицом, действующим по поручению Общества в случаях и в сроки, установленные законодательством Российской Федерации) при достижении цели обработки Персональных данных, при достижении максимальных сроков хранения документов, содержащих Персональные данные, а также в случаях предоставления Субъектом Персональных данных (его представителем) подтверждения того, что Персональные данные получены незаконно или не являются необходимыми для заявленной цели Обработки и отзыва Субъектом Персональных данных согласия на их обработку.
8.2 Уничтожение Персональных данных производится в следующие сроки:
a. при достижении цели Обработки Персональных данных либо утрате необходимости достигать эту цель — в течение 30 дней;
b. при достижении максимальных сроков хранения документов, содержащих Персональные данные, — в течение 30 дней;
c. при предоставлении Субъектом Персональных данных (его представителем) подтверждения того, что Персональные данные получены незаконно или не являются необходимыми для заявленной цели Обработки, — в течение 7 рабочих дней;
d. при отзыве Субъектом Персональных данных согласия на Обработку его Персональных данных, если их сохранение для цели их Обработки более не требуется, — в течение 30 дней.
8.3 Уничтожение Персональных данных производится Ответственным за организацию Обработки и оформляется актом об уничтожении Персональных данных, если:
a. иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект Персональных данных;
b. Общество не вправе осуществлять Обработку без согласия Субъекта Персональных данных на основаниях, предусмотренных Законом о Персональных Данных или иными федеральными законами, или
c. иное не предусмотрено иным соглашением между Обществом и Субъектом Персональных данных.
8.4 Уничтожение Персональных данных осуществляется следующими способами:
a. для бумажных носителей Персональных данных — разрезание, пропуск документов через уничтожитель бумаги (шредер);
b. для электронных носителей Персональных данных — стирание информации, многократная перезапись информации, физическое уничтожение съемных носителей.
9. Процедуры, направленные на предотвращение и выявление нарушений законодательства в области Персональных данных, устранение последствий таких нарушений
9.1 Общество обеспечивает регулярный и систематический внутренний контроль, а также при необходимости внутренний аудит Обработки Персональных данных с целью подтверждения соответствия требованиям Федерального закона №152-ФЗ «О персональных данных», настоящей Политики, а также иным локальным нормативным актам Общества, регулирующих порядок Обработки и обеспечения безопасности Персональных данных.
9.2 Общество обеспечивает контроль за надежностью и эффективностью функционирования внутреннего контроля и (или) аудита соответствия Обработки Персональных данных.
9.3 Участники Общества и (или) генеральный директор Общества вправе самостоятельно или с привлечением внешних консультантов проводить внутренний аудит Обработки Персональных данных в любое время для оценки эффективности контроля за соблюдением установленного режима Обработки Персональных данных.
9.4 Внутренний аудит Обработки Персональных данных должен проводиться в условиях независимости проверяющего лица от Работников и лиц, осуществляющих функции Обработки Персональных данных. Размер, порядок и (или) условия выплаты вознаграждения проверяющего лица не могут зависеть от Работников и лиц, осуществляющих функции Обработки Персональных данных.
9.5 Для обеспечения информирования Субъектов Персональных данных и разъяснения последствий отказа в их Обработке Общество ежеквартально осуществляет проверку журнала запросов и форм согласий Субъектов Персональных данных. Общество также вправе провести выборочную проверку ответов на соответствующие запросы Субъектов Персональных данных и форм согласий.
9.6 В случае отказа Субъекта Персональных данных от предоставления Персональных данных для Обработки Обществом, Субъект Персональных данных должен направить по электронной почте на адрес info@volkovlegal.ruписьменное разъяснение относительно отказа.
9.7 Ответственный за организацию Обработки осуществляет внутренний контроль за соблюдением Обществом и его Работниками законодательства Российской Федерации о Персональных данных, в том числе требований к защите Персональных данных, посредством получения копий запросов Субъектов Персональных данных, ответов Общества, пояснений Работников и иных лиц, имеющих доступ к Персональным данным Субъекта, а также сверки принятых мер защиты Персональных данных Субъектов с установленным в настоящей Политике режимом Обработки.
9.8 Ответственный за организацию Обработки вправе в любое время провести выборочную проверку соответствия действий Работников Общества и иных лиц, имеющих доступ к Персональным данным Субъектов, Политике, условиям Обработки Персональных данных, которые содержатся в соответствующих договорах с Субъектами, и требованиям Закона о Персональных Данных. При выявлении нарушений Ответственный за организацию Обработки вправе запросить отчет о работе с Персональными данными или устные пояснения.
9.9 Ответственный за организацию Обработки вправе высказывать мотивированное суждение относительно эффективности предпринятых в Обществ мер защиты Персональных данных Субъектов.
9.10 С целью защиты Персональных данных Общество выстраивает систему реагирования на инциденты, связанные с нарушением безопасности Персональных данных. Целью системы является своевременное выявление, локализация, расследование и предотвращение утечек Персональных данных, а также минимизация последствий для Субъектов Персональных данных. При выявлении утечки Ответственный за организацию Обработки Персональных данных обязан:
a. письменно зафиксировать факт утечки;
b. незамедлительно уведомить Субъекта Персональных данных об утечке и приостановить Обработку его Персональных данных до получения дальнейших инструкций от Субъекта Персональных данных;
c. локализовать источник утечки, провести расследование и по его результатам составить акт о выявленном случае утечки Персональных данных;
d. незамедлительно уведомить третьих лиц, получивших несанкционированный доступ к Персональным данным Субъекта, о недопустимости их распространения, а также о необходимости немедленно прекратить Обработку и уничтожить все полученные Персональные данные;
e. уведомить Субъекта Персональных данных о факте утечки и согласовать с ним порядок уведомления уполномоченного органа по защите прав субъектов персональных данных об утечке;
f. уведомить уполномоченный орган по защите прав субъектов персональных данных в соответствии с согласованным порядком.
9.11 В случае нарушения Федерального закона №152-ФЗ «О персональных данных» Ответственный за организацию Обработки производит оценку вреда, который может быть причинен Субъектам Персональных данных. Результаты оценки вреда оформляются актом оценки вреда.
10. Рассмотрение Обращений и запросов Субъектов Персональных данных
10.1 Субъекты Персональных данных вправе в порядке, предусмотренном законодательством, запросить сведения об Обработке их Персональных данных, предоставление которых Обществом предусмотрено законодательством Российской Федерации.
10.2 Указанные сведения предоставляются Субъекту Персональных данных в доступной форме Ответственным за организацию Обработки на основании соответствующего требованиям законодательства Обращения или запроса Субъекта Персональных данных.
10.3 Обращения и запросы могут быть переданы Субъектами Персональных данных в Общество лично, направлены почтой по адресу регистрации Общества в Едином государственном реестре юридических лиц либо направлены по электронной почте на адрес info@volkovlegal.ru с указанием желаемого способа получения ответа от Общества (лично по месту нахождения Общества, по почте или по электронной почте на адрес Субъекта Персональных данных, указанный в Обращении или запросе).
10.4 Ответ на Обращение или запрос предоставляется Обществом в течение 30 дней с момента его получения.
10.5 Субъект Персональных данных вправе обратиться с повторным Обращением или запросом не ранее чем через 30 дней после первоначального Обращения или запроса, если более короткий срок не установлен федеральными законами, нормативными правовыми актами или договором, стороной, выгодоприобретателем или поручителем по которому является Субъект Персональных данных. Повторный запрос или Обращение могут быть направлены до истечения 30-дневного срока в случае, если запрошенные сведения и (или) обрабатываемые Персональные данные не были предоставлены Субъекту Персональных данных для ознакомления в полном объеме по результатам рассмотрения первоначального Обращения. Повторный запрос должен содержать обоснование направления повторного запроса.
10.6 Общество вправе отказать Субъекту Персональных данных в выполнении повторного запроса, не соответствующего вышеуказанным условиям. Такой отказ должен быть мотивированным.
10.7 В случае получения запроса Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзора) Общество обязано сообщить необходимую информацию в течение 10 рабочих дней с даты получения такого запроса.
11. Заключительные положения
11.1 Вопросы, не урегулированные Положением, регулируются законодательством, уставом Общества и внутренними документами Общества.
11.2 Общество обеспечивает обязательное ознакомление под роспись всех Работников с внутренними документами в области Обработки Персональных данных Общества.
11.3 Ответственным за организацию и контроль процесса ознакомления Работников с внутренними политиками является Ответственный за организацию Обработки.
info@volkovlegal.ru