Политика конфиденциальности

1. Термины и определения

1.1. В настоящей Политике Общества с ограниченной ответственностью «АК БАРС Строй» (далее - Общество) используются следующие термины:

1.1.1. Автоматизированная обработка персональных данных – обработка персональных данных (ПДн) с помощью средств вычислительной техники.

1.1.2. Близкие родственники - супруг, супруга, родители, дети, усыновители, усыновленные, родные братья и родные сестры, дедушка, бабушка, внуки.

1.1.3. Блокирование ПДн – временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн).

1.1.4. Доступ к ПДн – возможность получения ПДн и их использование

1.1.5. Информационная система ПДн – совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств.

1.1.6. Информационный актив – информация с реквизитами, позволяющими ее идентифицировать; имеющая ценность для Общества; находящаяся в распоряжении Общества и представленная на любом материальном носителе в пригодной для ее обработки, хранения или передачи форме.

1.1.7. Информация – сведения (сообщения, данные) независимо от формы их представления.

1.1.8. Использование ПДн – действия (операции) с ПДн, совершаемые уполномоченным лицом в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта ПДн или других лиц либо иным образом затрагивающих права и свободы субъекта ПДн или других лиц.

1.1.9. Конфиденциальная информация (сведения конфиденциального характера) – сведения, содержащие информацию, составляющую коммерческую тайну Общества, информацию, являющуюся информацией «Для служебного пользования» и инсайдерскую информацию.

1.1.10.Внутренний нормативный документ (ВНД) – зафиксированная на материальном носителе путем документированная информация с реквизитами, позволяющими определить такую информацию, создаваемая в Обществе и используемая в его деятельности. Приложения к внутреннему документу являются его неотъемлемой частью.

1.1.11.Несанкционированный доступ (несанкционированные действия) – доступ к информации или действия с информацией, осуществляемые с нарушением установленных прав и (или) правил доступа к информации или действий с ней с применением штатных средств информационной системы или средств, аналогичных им по своему функциональному предназначению и техническим характеристикам.

1.1.12.Носитель информации – физическое лицо или материальный объект, в том числе физическое поле, в котором информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.

1.1.13.Обезличивание ПДн – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному субъекту ПДн.

1.1.14.Обработка ПДн – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.

1.1.15.ПДн – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПДн).

1.1.16.Предоставление ПДн – действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц.

1.1.17.Работники – физические лица, вступившие в трудовые отношения с работодателем.

1.1.18.Распространение ПДн – действия, направленные на раскрытие ПДн неопределенному кругу лиц.

1.1.19.Субъект ПДн – физическое лицо, которое прямо или косвенно определено или определяемо с помощью ПДн.

1.1.20.Трансграничная передача ПДн – передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

1.1.21.Угроза информационной безопасности ПДн – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к ПДн, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение ПДн, а также иные несанкционированные действия при их обработке в информационной системе ПДн или без использования средств автоматизации.

1.1.22.Уничтожение ПДн – действия, в результате которых становится невозможным восстановить содержание ПДн в информационной системе ПДн и (или) в результате которых уничтожаются материальные носители ПДн.

1.2. В настоящей Политике используются следующие сокращения:

1.2.1. ВНД – Внутренний нормативный документ

1.2.2. ПДн – Персональные данные

2. Общие положения

2.1. Настоящая Политика определяет принципы, условия и способы обработки персональных данных, в том числе защиты ПДн в Обществе.

2.2. Настоящая Политика разработана в целях обеспечения необходимого и достаточного уровня информационной безопасности ПДн и процессов, связанных с их обработкой, а также для обеспечения защиты прав и свобод субъектов ПДн при обработке их ПДн, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

2.3. В Обществе обработка и обеспечение безопасности ПДн осуществляется в соответствии с законодательством Российской Федерации, внутренними нормативными документами Общества в области ПДн, в том числе требованиями к защите ПДн.

2.4. ПДн являются конфиденциальной, строго охраняемой информацией. На них распространяются все требования, установленные внутренними документами Общества к защите конфиденциальной информации.

2.5. Законодательные и иные нормативные правовые акты Российской Федерации, внутренние нормативные документы, в соответствии с которыми определяется Политика в отношении обработки ПДн в Общество.

2.5.1. Политика обработки ПДн в Обществе определяется в соответствии со следующими нормативными правовыми актами:

2.5.1.1. Конституция Российской Федерации.

2.5.1.2. Трудовой кодекс Российской Федерации.

2.5.1.3. Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных».

2.5.1.4. Указ Президента Российской Федерации от 06 марта 1997 г. № 188 «Об утверждении Перечня сведений конфиденциального характера».

2.5.1.5. Постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

2.5.1.6. Постановление Правительства Российской Федерации от 6 июля 2008 г. № 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных».

2.5.1.7. Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

2.5.1.8. Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

2.5.1.9. Приказ Роскомнадзора от 05 сентября 2013 г. № 996 «Об утверждении требований и методов по обезличиванию персональных данных»;

2.5.1.10. Иные нормативные правовые акты, нормативные акты, правовые по отдельным вопросам, касающимся обработки ПДн (в том числе изданные государственными органами, Обществом России, органами местного самоуправления в пределах своих полномочий).

2.5.2. В целях реализации положений Политики в Обществе разрабатываются соответствующие внутренние нормативные документы и иные документы, регламентирующие в Обществе вопросы обработки ПДн.

3. Цели обработки ПДн

3.1. Обработка ПДн в Обществе осуществляется в следующих целях:

3.1.1. Обеспечение соблюдения Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации, ВНД Общества.

3.1.2. Осуществление функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Общество, в том числе по предоставлению ПДн в органы государственной власти, в Пенсионный фонд Российской Федерации, в Фонд социального страхования Российской Федерации, в Федеральный фонд обязательного медицинского страхования, а также в иные государственные органы.

3.1.3. Исчисление взносов на обязательное социальное и пенсионное страхование.

3.1.4. Защита жизни, здоровья или иных жизненно важных интересов субъектов ПДн.

3.1.5. Осуществление деятельности, предусмотренной Уставом Общества, действующим законодательством Российской Федерации.

3.1.6. Заключение, исполнение и прекращение гражданско-правовых договоров с физическими, юридическим лицами, индивидуальными предпринимателями и иными лицами, в случаях, предусмотренных действующим законодательством и Уставом Общества.

3.1.7. Организация кадрового учета Общества, обеспечение соблюдения законов и иных нормативно-правовых актов, заключения и исполнения обязательств по трудовым и гражданско-правовым договорам; ведение кадрового делопроизводства, содействие работникам в трудоустройстве, обучении и продвижении по службе, пользовании различного вида льготами, исполнение требований налогового законодательства в связи с исчислением и уплатой налога на доходы физических лиц, пенсионного законодательства при формировании и представлении персонифицированных данных о каждом получателе доходов, учитываемых при начислении страховых взносов на обязательное пенсионное страхование и обеспечение, заполнение первичной статистической документации, в соответствии с Трудовым кодексом Российской Федерации, Налоговым кодексом Российской Федерации, Федеральными законами, в частности: «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования», «О персональных данных», а также Уставом и ВНД Общества.

3.1.8. Защита прав и интересов субъектов ПДн относительно их ПДн, обрабатываемых Обществом.

3.1.9. В иных законных целях.

4. Принципы и условия обработки ПДн

4.1. В Обществе соблюдаются следующие принципы обработки ПДн:

4.1.1. Обработка ПДн осуществляется в соответствии с конкретными заранее определенными и законными целями и производится только до момента достижения этих целей.

4.1.2. Содержание и объем ПДн не противоречат заявленным целям, не являются избыточными по отношению к ним.

4.1.3. При обработке ПДн в Обществе обеспечиваются точность, достаточность, актуальность ПДн по отношению к целям обработки за счет применения необходимых мер по удалению или уточнению неполных, или неточных данных.

4.1.4. Объединение баз данных, содержащих ПДн, цели обработки которых не совместимы между собой, недопустимо.

4.1.5. Хранение ПДн осуществляется в форме, позволяющей идентифицировать субъект ПДн, и ограничивается установленными целями обработки ПДн.

4.1.6. По достижении целей обработки или в случае утраты необходимости их достижения ПДн подлежат уничтожению в соответствии с законодательством.

4.2. В Обществе соблюдаются следующие условия обработки ПДн:

4.2.1. Обработка ПДн в Обществе осуществляется только с согласия субъекта ПДн на обработку его ПДн, если иное не предусмотрено законодательством.

4.2.2. Общество вправе поручить обработку ПДн третьему лицу, в том числе находящемуся за пределами Российской Федерации (трансграничная передача) с согласия субъекта ПДн на основании заключаемого с этим лицом договора при обязательном включении в него перечня действий с ПДн, целей их обработки, требований к их защите, обязанностей третьего лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность ПДн при их обработке. В случае трансграничной передачи данных Обществ помимо прочего обязан убедиться в том, что третьим лицом обеспечивается адекватная защита прав субъектов ПДн до начала осуществления такой передачи. Общество до начала осуществления трансграничной передачи персональных данных уведомляет уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных, в соответствии с требованиями ст. 12 Федерального закона №152-ФЗ «О персональных данных».

4.2.3. Обществ несет ответственность перед субъектом ПДн за обработку ПДн, в том числе выполняемую третьим лицом на основании договора.

4.2.4. Работники Общества, имеющие доступ к ПДн, не раскрывают ПДн третьим лицам и не распространяют их без согласия субъекта ПДн, если иное не предусмотрено законодательством.

5. Перечень субъектов, ПДн которых обрабатываются в Обществе

5.1. В Обществе обрабатываются ПДн следующих категорий субъектов:

5.1.1. ПДн работника (бывших работников) Общества — информация, необходимая Обществу в связи с трудовыми отношениями и касающиеся конкретного работника.

5.1.2. ПДн близких родственников работников Общества– информация, необходимая Обществу в случаях и целях, предусмотренных действующим законодательством.

5.1.3. ПДн кандидатов для приема на работу - информация, необходимая Обществу на период принятия работодателем решения о приеме либо отказе в приеме на работу.

5.1.4. ПДн контрагента (клиента, потенциального контрагента или клиента) Общества – физического лица, а также ПДн руководителя, участника (акционера) или работника юридического лица, являющегося Контрагентом (клиентом, потенциальным контрагентом или клиентом) Общества — информация, необходимая Обществу для выполнения своих обязательств в рамках договорных отношений с Клиентом и для выполнения требований законодательства Российской Федерации.

6. Перечень ПДн, обрабатываемых в Обществе

6.1. Перечень ПДн, обрабатываемых Обществом, определяется в соответствии с законодательством Российской Федерации и ВНД Общества с учетом целей обработки ПДн, указанных в разделе 4 настоящей Политики, в т.ч.:

6.1.1. Кандидаты для приема на работу к Оператору:

• фамилия, имя, отчество;
• пол;
• гражданство;
• дата и место рождения;
• контактные данные;
• сведения об образовании, опыте работы, квалификации;
• иные персональные данные, сообщаемые кандидатами в резюме и сопроводительных письмах.

6.1.2. Работники и бывшие работники Общества:

• фамилия, имя, отчество;
• пол;
• гражданство;
• дата и место рождения;
• изображение (фотография);
• паспортные данные;
• адрес регистрации по месту жительства;
• адрес фактического проживания;
• контактные данные;
• индивидуальный номер налогоплательщика;
• страховой номер индивидуального лицевого счета (СНИЛС);
• сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;
• семейное положение, наличие детей, родственные связи;
• сведения о трудовой деятельности, в том числе наличие поощрений, награждений и (или) дисциплинарных взысканий;
• данные о регистрации брака;
• сведения о воинском учете;
• сведения об инвалидности;
• сведения об удержании алиментов;
• сведения о доходе с предыдущего места работы;
• иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства.

6.1.3. Близкие родственники работников Общества:

• фамилия, имя, отчество;
• степень родства;
• год рождения;
• иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства.

6.1.4. Клиенты и контрагенты, потенциальные клиенты и контрагенты Оператора (физические лица):

• фамилия, имя, отчество;
• дата и место рождения;
• паспортные данные;
• адрес регистрации по месту жительства;
• контактные данные;
• замещаемая должность;
• индивидуальный номер налогоплательщика;
• номер расчетного счета;
• иные персональные данные, предоставляемые клиентами и контрагентами (физическими лицами), необходимые для заключения и исполнения договоров.

6.1.5. Представители (работники) клиентов и контрагентов, потенциальных клиентов и контрагентов Оператора (юридических лиц):

• фамилия, имя, отчество;
• паспортные данные;
• контактные данные;
• замещаемая должность;
• иные персональные данные, предоставляемые представителями (работниками) клиентов и контрагентов, необходимые для заключения и исполнения договоров.

6.2. Обработка специальных категорий ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, в Обществе не осуществляется.

7. Способы обработки ПДн

7.1. Общество осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение ПДн.

7.2. Обработка ПДн в Обществе осуществляется следующими способами:

7.2.1. Неавтоматизированная обработка ПДн.

7.2.2. Автоматизированная обработка ПДн с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой.

7.2.3. Смешанная обработка ПДн.

8. Права субъекта ПДн

8.1. В установленном законодательством РФ порядке субъект ПДн вправе получать доступ к следующим сведениям:

8.1.1. Подтверждение факта обработки ПДн Обществом.

8.1.2. Правовые основания и цели обработки ПДн.

8.1.3. Цели и применяемые Обществом способы обработки ПДн.

8.1.4. Наименование и место нахождения оператора, сведения о лицах (за исключением работников Общества), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Обществом или на основании Федерального закона.

8.1.5. Обрабатываемые ПДн, относящиеся к соответствующему субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен Федеральным законом.

8.1.6. Сроки обработки ПДн, в том числе сроки их хранения.

8.1.7. Порядок реализации субъектом ПДн прав, предусмотренных Федеральным законом №152-ФЗ «О персональных данных».

8.1.8. Информация об осуществленной или о предполагаемой трансграничной передаче ПДн.

8.1.9. Наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Общества, если обработка поручена или будет поручена такому лицу.

8.1.10.Иные сведения, предусмотренные Федеральным законом №152-ФЗ «О персональных данных» или другими Федеральными законами.

8.2. Субъект ПДн имеет право на:

8.2.1. Принятие предусмотренных законом мер по защите своих прав.

8.2.2. Уточнение, блокирование или уничтожение его ПДн в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или избыточными по отношению к заявленной цели обработки.

8.2.3. Получение сведений, указанных в п. 8.1. настоящей Политики, в полном объеме, а также ознакомление с обрабатываемыми ПДн при направлении запроса или обращения в Общество.

8.2.4. Повторное обращение или запрос на предоставление информации об обрабатываемых ПДн в случае, если они не были предоставлены в полном объеме относительно первоначального запроса.

8.2.5. Обжалование действия или бездействия Общества в уполномоченный орган в случае осуществления Обществом обработки ПДн субъекта с нарушением требований законодательства, а также прав и свобод субъекта ПДн, в судебном порядке.

8.2.6. Компенсацию морального вреда независимо от возмещения имущественного вреда и понесенных субъектом ПДн убытков и возмещение убытков в судебном порядке.

9. Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных Федеральным законом от 27.07.2006 г. №152-ФЗ «О персональных данных».

9.1. Общество при осуществлении обработки ПДн:

9.1.1. Назначает лицо, ответственное за организацию обработки ПДн в Обществе, которое доводит до работников Общества положения законодательства Российской Федерации и ВНД Общества в области ПДн и осуществляет внутренний контроль за их соблюдением.

9.1.2. Применяет правовые, организационные и технические меры для защиты ПДн от несанкционированного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.

9.1.3. Издает ВНД, определяющие политику и вопросы обработки и защиты ПДн в Обществе, а также устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.

9.1.4. Проводит оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения действующего законодательства, соотносит указанный вред и принимаемые оператором меры, направленные на обеспечение выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных».

9.1.5. Осуществляет ознакомление работников Общества, непосредственно осуществляющих обработку ПДн, с положениями законодательства Российской Федерации и ВНД Общества в области ПДн, в том числе требованиями к защите ПДн, и проводит обучение указанных работников.

9.1.6. Публикует или иным образом обеспечивает неограниченный доступ к настоящей Политике.

9.1.7. Осуществляет сбор ПДн субъекта с соблюдением требований, предусмотренных ст.18 Федерального закона №152-ФЗ «О персональных данных» с предоставлением субъекту ПДн информации, указанной в п. 8.1. настоящей Политики, а в случае получения ПДн не от субъекта ПДн информацию в соответствии с ч.4 ст.18 Федерального закона №152-ФЗ «О персональных данных» и в случае отказа от предоставления ПДн, которые должны быть предоставлены на основании Федерального закона, разъясняет субъекту ПДн последствия этого отказа.

9.1.8. При обращении либо получении запроса субъекта ПДн или его законного представителя на доступ к ПДн Общество предоставляет ему сведения, указанные в п. 8.1. настоящей Политики, в доступной форме, не раскрывая при этом ПДн, относящихся к другим субъектам ПДн, за исключением случаев наличия законного основания.

9.1.9. Устраняет нарушения законодательства, допущенные при обработке ПДн, в установленном порядке.

9.1.10.Прекращает обработку и уничтожает ПДн в случаях, предусмотренных законодательством Российской Федерации в области ПДн.

9.1.11.Совершает иные действия, предусмотренные законодательством Российской Федерации в области ПДн.

10. Меры, принимаемые Обществом для обеспечения безопасности ПДн

10.1.В Обществе реализуются следующие необходимые и достаточные меры по защите ПДн:

10.1.1.Назначение лица, ответственного за организацию обработки ПДн.

10.1.2.Распределение обязанностей и установление персональной ответственности лиц, осуществляющих обработку ПДн, за нарушение правил обработки ПДн, установленных ВНД Общества и законодательством Российской Федерации.

10.1.3.Принятие ВНД и иных документов в области обработки и защиты ПДн.

10.1.4.Обособление ПДн, обрабатываемых без использования средств автоматизации, от иной информации, в частности путем их фиксации на отдельных материальных носителях ПДн, в специальных разделах.

10.1.5.Исключение объединения баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой.

10.1.6.Осуществление внутреннего контроля соответствия обработки Федеральному закону №152-ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, настоящей Политике, ВНД Общества.

10.1.7.Организация пропускного режима в помещениях, в которых обрабатываются ПДн.

10.1.8.Организация работы с документами и материальными носителями, содержащими ПДн.

10.1.9.Реализация необходимых организационных и технических мер для обеспечения безопасности ПДн от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий.

10.1.10.Назначение ответственного за организацию обработки ПДн в Обществе в целях координации действий по обеспечению безопасности ПДн.

10.1.11.Контроль за реализацией требований информационной безопасности при обработке ПДн.

10.1.12.Иные меры по обеспечению безопасности обрабатываемых в Обществе ПДн.

11. Контроль за соблюдением законодательства Российской Федерации и ВНД Общества в области ПДн

11.1. Организация и осуществление внутреннего контроля за соблюдением подразделениями Общества законодательства Российской Федерации и ВНД Общества области ПДн, в том числе требований к защите ПДн, обеспечиваются лицом, ответственным за организацию обработки ПДн в Обществе.

11.2. Внутренний контроль соответствия обработки ПДн Федеральному закону №152-ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, настоящей Политике, ВНД Общества осуществляет Департамент по информационной безопасности.

11.3. Ответственность за соблюдение требований законодательства Российской Федерации и ВНД Общества в области ПДн, а также за обеспечение конфиденциальности и безопасности ПДн в подразделениях Общества возлагается на их руководителей.

12. Заключительные положения

12.1. Настоящая Политика подлежит размещению на официальном сайте Общества:  https://abs-bitrix.miliard.ru/privacy/.

12.2. Контроль исполнения требований настоящей Политики осуществляется ответственным за организацию обработки ПДн Общества.

12.3. Ответственность должностных лиц Общества, имеющих доступ к ПДн, за невыполнение требований норм, регулирующих обработку и защиту ПДн, определяется в соответствии с законодательством Российской Федерации и внутренними документами Общества.

12.4. Пересмотр настоящей Политики должен производиться в случае изменения законодательства в области ПДн и специальных нормативных документов по обработке и защите ПДн, изменения бизнес-процессов Общества, требующих изменения перечня обрабатываемых ПДн, а также по результатам анализа инцидентов информационной безопасности, актуальности, достаточности и эффективности используемых мер обеспечения информационной безопасности Обществовских информационных технологических процессов, но не реже одного раза в три года.