Политика обработки персональных данных

Утверждена приказом ООО «ФОРБИОН» № ___ от ___. Редакция от ___.

• 1. Общие положения

  1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности в Обществе с ограниченной ответственностью «ФОРБИОН» (ОГРН 1222300041820, ИНН 2308286941, далее — Оператор) и разработана во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

  1.2. Политика распространяется на все персональные данные, обрабатываемые Оператором с использованием средств автоматизации и без использования таких средств.

  1.3. Действующая редакция Политики размещается в свободном доступе в сети «Интернет» по адресу forbion.ru/privacy.

  1.4. Оператор осуществляет обработку персональных данных в двух качествах:

  • как оператор — в отношении данных работников, клиентов и их представителей, посетителей сайта, пользователей личного кабинета;
  • как лицо, осуществляющее обработку по поручению другого оператора (ч. 3 ст. 6 152-ФЗ) — в отношении данных, содержащихся в информационных системах клиентов, размещённых на технических средствах Оператора. Особенности такой обработки — раздел 7.

• 2. Правовые основания

  Конституция РФ; Гражданский кодекс РФ; Трудовой кодекс РФ; Налоговый кодекс РФ; Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»; Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»; Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»; постановление Правительства РФ от 01.11.2012 № 1119; приказ ФСТЭК России от 18.02.2013 № 21; уставные документы Оператора, договоры с субъектами и контрагентами, согласия субъектов.

• 3. Принципы обработки

  Оператор обрабатывает персональные данные на законной и справедливой основе; ограничивается достижением конкретных, заранее определённых и законных целей; не объединяет базы данных, обработка в которых ведётся в несовместимых между собой целях; обрабатывает только те данные, которые отвечают целям обработки, и в объёме, не избыточном по отношению к ним; обеспечивает точность и достаточность данных; хранит данные не дольше, чем этого требуют цели обработки, после чего уничтожает или обезличивает их.

• 4. Цели обработки, категории субъектов, состав данных и сроки хранения

  Цель

  Субъекты

  Состав данных

  Основание

  Срок хранения

  Кадровый учёт, исполнение трудового договора и обязанностей работодателя, обязательная отчётность

  работники, лица в гражданско-правовых отношениях

  сведения, необходимые для исполнения трудового законодательства и законодательства о налогах и страховых взносах: идентификационные, контактные, о трудовой деятельности, о доходах и удержаниях

  ТК РФ, НК РФ, п. 2 ч. 1 ст. 6 152-ФЗ

  по срокам, установленным для хранения кадровых и бухгалтерских документов

  Подбор персонала: рассмотрение кандидатур на вакансии Оператора

  кандидаты (соискатели)

  ФИО, контактные данные, сведения из резюме (образование, опыт работы, профессиональные навыки). Источники: сведения, предоставленные самим кандидатом, и резюме, размещённые кандидатом на сайтах по поиску работы

  согласие, п. 1 ч. 1 ст. 6

  до принятия решения по вакансии и не более 30 дней после её закрытия; кадровый резерв не формируется

  Заключение и исполнение договоров, расчёты

  клиенты — физлица и ИП

  ФИО, ИНН, контакты, реквизиты, сведения о заключённых договорах

  п. 5 ч. 1 ст. 6

  срок действия договора + сроки хранения первичных документов (не менее 5 лет)

  Взаимодействие с представителями клиентов и контрагентов

  представители юрлиц

  ФИО, должность, рабочие телефон и почта, наименование организации

  п. 7 ч. 1 ст. 6 (законный интерес)

  срок действия договора + 1 год

  Предоставление доступа к личному кабинету

  пользователи кабинета

  ФИО, должность, рабочие телефон и почта, учётные данные, сведения о входах

  п. 5 и п. 7 ч. 1 ст. 6

  срок действия договора; журналы доступа — 1 год

  Рассмотрение заявок и обращений с сайта

  посетители сайта

  ФИО, телефон, электронная почта, наименование организации и должность (если указаны), содержание обращения

  согласие, п. 1 ч. 1 ст. 6

  6 месяцев с даты обращения либо до отзыва согласия

  Продвижение услуг, информационные и рекламные рассылки

  подписчики

  ФИО, электронная почта, телефон

  согласие (ст. 15 152-ФЗ, ст. 18 ФЗ-38)

  до отзыва согласия

  Обеспечение работы и безопасности сайта

  посетители сайта

  технические файлы cookie, IP-адрес, сведения о браузере и устройстве

  п. 7 ч. 1 ст. 6 (законный интерес)

  срок сессии, для журналов — 6 месяцев

  Бухгалтерский и налоговый учёт

  контрагенты, подотчётные лица

  ФИО, ИНН, реквизиты, сведения о расчётах

  402-ФЗ, НК РФ

  не менее 5 лет

  4.1. Биометрические персональные данные Оператор не обрабатывает.

  4.2. Специальные категории персональных данных обрабатываются Оператором исключительно в объёме и в случаях, предусмотренных трудовым законодательством, в связи с исполнением обязанностей работодателя (п. 2.3 ч. 2 ст. 10 152-ФЗ).

  4.3. Решения, порождающие юридические последствия, исключительно на основании автоматизированной обработки персональных данных Оператором не принимаются.

  4.4. Полный перечень целей обработки, категорий субъектов и категорий обрабатываемых персональных данных содержится в Положении об обработке персональных данных, утверждённом Оператором. Субъект вправе получить сведения об обработке своих персональных данных в порядке раздела 9 настоящей Политики.

  4.5. Аналитические и рекламные сервисы сторонних лиц (счётчики посещаемости, системы рекламного таргетинга) Оператором не используются. При их подключении настоящая Политика подлежит изменению до начала сбора данных.

• 5. Порядок и условия обработки

  5.1. Обработка включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (в предусмотренных законом случаях), блокирование, удаление и уничтожение персональных данных.

  5.2. Обработка осуществляется с согласия субъекта, за исключением случаев, предусмотренных законом. Согласие может быть отозвано субъектом в порядке раздела 9.

  5.3. Оператор не раскрывает персональные данные третьим лицам и не распространяет их без согласия субъекта, за исключением случаев, предусмотренных законодательством.

  5.4. Передача персональных данных государственным органам осуществляется в объёме и порядке, установленных законодательством.

  5.5. Трансграничная передача персональных данных Оператором не осуществляется.

  5.6. Если персональные данные кандидата получены не от него самого (например, из резюме, размещённого на сайте по поиску работы), Оператор при первом обращении к кандидату предоставляет ему сведения, предусмотренные ч. 3 ст. 18 152-ФЗ: наименование и адрес Оператора, цель обработки и её правовое основание, источник получения данных и порядок осуществления прав субъекта.

  5.7. Резюме, направленные вне открытых вакансий (по инициативе соискателя, при отсутствии подходящей вакансии), Оператором не используются, в информационные системы не вносятся и уничтожаются в течение 30 дней с даты поступления. Кадровый резерв Оператором не формируется; хранение резюме сверх указанного срока возможно только с отдельного согласия соискателя.

• 6. Локализация

  Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Это относится в том числе к резервным копиям.

• 7. Обработка персональных данных по поручению

  7.1. Оператор оказывает услуги по размещению информационных систем клиентов (в том числе информационных баз программ «1С») на своих технических средствах. Персональные данные, содержащиеся в таких системах, Оператор обрабатывает по поручению клиента, который является в отношении этих данных оператором (ч. 3 ст. 6 152-ФЗ).

  7.2. В отношении таких данных Оператор:

  • не определяет цели обработки и состав обрабатываемых персональных данных;
  • совершает только действия, поручённые договором: хранение, резервное копирование и восстановление, извлечение и использование в объёме, необходимом для адаптации и сопровождения программного обеспечения, блокирование, удаление и уничтожение;
  • не использует данные в собственных интересах и не передаёт их третьим лицам;
  • соблюдает конфиденциальность и обеспечивает безопасность данных при обработке в соответствии со ст. 19 152-ФЗ.

  7.3. Доступ работников Оператора к содержимому информационных систем клиентов осуществляется исключительно в объёме, необходимом для исполнения договора, — по заявке клиента либо для устранения аварии; факты доступа фиксируются в журнале.

  7.4. Обращения субъектов, чьи персональные данные содержатся в информационных системах клиентов, Оператор по существу не рассматривает: он не является оператором таких данных и не вправе самостоятельно предоставлять сведения о них, изменять или уничтожать их. Такое обращение Оператор передаёт клиенту, являющемуся оператором соответствующих персональных данных, и уведомляет заявителя о передаче. Ответственность перед субъектом в этом случае несёт клиент как оператор; Оператор несёт ответственность перед клиентом (ч. 5 ст. 6 152-ФЗ). Порядок и сроки передачи установлены договором с клиентом.

• 8. Меры по обеспечению безопасности

  8.1. Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 152-ФЗ, в том числе: назначает ответственного за организацию обработки персональных данных; издаёт локальные акты по вопросам обработки; осуществляет внутренний контроль соответствия обработки требованиям закона; проводит оценку вреда, который может быть причинён субъектам; знакомит работников с требованиями законодательства и локальных актов; ограничивает круг лиц, допущенных к обработке, и ведёт их учёт; применяет средства защиты информации; ведёт учёт машинных носителей; регистрирует и учитывает действия с персональными данными; обнаруживает и устраняет факты несанкционированного доступа; восстанавливает данные, изменённые или уничтоженные вследствие несанкционированного доступа.

  8.2. Уровень защищённости персональных данных при их обработке в информационных системах определяется в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119, меры защиты — в соответствии с приказом ФСТЭК России от 18.02.2013 № 21.

• 9. Права субъектов персональных данных

  9.1. Субъект вправе получать сведения об обработке его персональных данных, требовать их уточнения, блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, отозвать согласие, а также обжаловать действия Оператора в Роскомнадзор или в суд.

  9.2. Субъект вправе в любой момент потребовать прекращения обработки его данных в целях продвижения услуг; Оператор прекращает такую обработку незамедлительно.

  9.3. Обращения направляются по адресу электронной почты info@forbion.ru либо почтовым отправлением по адресу места нахождения Оператора. Обращение должно позволять идентифицировать заявителя; Оператор вправе запросить дополнительные сведения для идентификации.

  9.4. Оператор рассматривает обращения и предоставляет ответы в сроки, установленные 152-ФЗ.

• 10. Уничтожение персональных данных

  По достижении целей обработки, в случае отзыва согласия, истечения срока хранения либо по требованию субъекта персональные данные подлежат уничтожению или обезличиванию. Порядок уничтожения и форма подтверждающего документа определяются локальным актом Оператора. Данные, содержащиеся в резервных копиях, уничтожаются не позднее окончания цикла ротации копий.

• 11. Ответственный и контакты

  Ответственный за организацию обработки персональных данных — генеральный директор ООО «ФОРБИОН». Контакты для обращений по вопросам обработки персональных данных: info@forbion.ru, рабочие дни 9:00–18:00 МСК.

• 12. Заключительные положения

  Политика подлежит изменению в случае изменения законодательства или состава обрабатываемых данных. Актуальная редакция публикуется по адресу forbion.ru/privacy. Оператор обеспечивает неограниченный доступ к Политике до начала сбора персональных данных.