ПОЛИТИКА В ОБЛАСТИ ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Общие положения

Политика в области обработки и защиты персональных данных ООО «ОКОЛО Маркет» разработана в соответствии с документом "Приказ 9_25 Приложение Политика обработки персональных данных ОКОЛО Маркет", а также Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – «ФЗ-152») и иными федеральными законами и подзаконными актами Российской Федерации, определяющими порядок и особенности обработки персональных данных и обеспечения безопасности и конфиденциальности персональных данных.

Положения настоящей Политики являются обязательными для исполнения всеми работниками Общества, имеющими доступ к персональным данным.

Политика распространяется на все действия, связанные с обработкой персональных данных, в том числе с использованием сайта okolo.market, приложения OKOLO.Market, связанных с ним сервисов (далее – «Сайт»), а также в информационных системах Общества.

Настоящая Политика подлежит пересмотру не реже 1 раза в три года, либо незамедлительно в случаях изменения процессов обработки персональных данных в Обществе, изменения законодательства и других нормативных правовых актов, определяющими порядок и особенности обработки персональных данных и обеспечения безопасности и конфиденциальности персональных данных.

2. Термины и сокращения

2.1 Термины и определения

2.2 Сокращения и расшифровки

3. Цели и задачи Политики

Основными целями Политики являются:

• организация обработки и защиты персональных данных в Обществе в соответствии с требованиями законодательства РФ, нормативными и методическими документами в области ИБ;
• обеспечение соблюдения Обществом прав субъектов персональных данных.

Достижение указанных целей обеспечивается выполнением следующих задач:

• издание локальных нормативных актов, регламентирующих порядок обработки и защиты персональных данных в Обществе;
• применение организационных и технических мер по обеспечению безопасности обрабатываемых персональных данных;
• обучение работников Общества правилам обработки персональных данных и обеспечения ИБ;
• организация взаимодействия с субъектами персональных данных;
• регулярный контроль соответствия процессов обработки и защиты персональных данных требованиям законодательства РФ, нормативным и методическим документам в области ИБ

4. Правовые основания обработки персональных данных

Правовыми основаниями обработки персональных данных Обществом являются:

• Конституция Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Устав Общества;
• Согласие субъекта на обработку персональных данных;
• Трудовой договор;
• Договор с субъектом персональных данных;
• Пользовательское соглашение, размещенное на Сайте Общества;
• Федеральный закон от 06.12.2011 г. № 402-ФЗ «О бухгалтерском учете»;
• Федеральный закон от 01.04.1996 г. № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
• Приказ Росархива от 20.12.2019 № 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения»;
• Федеральный закон от 07.07.2003 г. № 126-ФЗ «О связи»;
• Федеральный закон от 13.03.2006 г. № 38-ФЗ «О рекламе»;
• Федеральный закон от 06.04.2011 г. № 63-ФЗ «Об электронной подписи».
• Договора с Контрагентами;
• Иные нормативные правовые акты Российской Федерации

5. Категории субъектов персональных данных и цели обработки персональных данных

Общество осуществляет обработку персональных данных Субъектов в целях, общее определение которых приведено в таблице ниже. При этом конкретные цели обработки прямо устанавливаются в согласии на обработку персональных данных, которое дает Субъект.

В Обществе не допускается обработка следующих категорий персональных данных:

• расовая принадлежность;
• национальная принадлежность;
• политические взгляды;
• философские убеждения;
• состояние интимной жизни;
• религиозные убеждения.

В Обществе не обрабатываются биометрические персональные данные (сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность).

Сведения о состоянии здоровья работника Общества, которые относятся к возможности исполнять работником свои трудовые функции, обрабатываются исключительно в случаях, предусмотренных Трудовым кодексом РФ.

В Обществе не осуществляется обработка данных о судимости субъектов персональных данных.

К перечню, обрабатываемых персональных данных, относятся:

• сведения, необходимые Оператору для реализации прав и исполнения обязательств, возникших в связи с трудовыми, гражданско-правовыми отношениями с работниками, контрагентами, продавцами;
• сведения, полученные при регистрации пользователей на сайте okolo.market и в мобильном приложении OKOLO.Market;
• информация о полученных заявлениях / обращениях, о ходе и результате их рассмотрения.

6. Порядок и условия обработки персональных данных

6.1 Принципы обработки персональных данных

Обработка персональных данных в Обществе осуществляется с соблюдением принципов и правил, установленных законодательством Российской Федерации:

• обработка персональных данных осуществляется на законной и справедливой основе;
• обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;
• не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
• обработке подлежат только персональные данные, которые отвечают целям их обработки;
• содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки;
• при обработке персональных данных обеспечивается точность, актуальность, достаточность персональных данных по отношению к целям обработки персональных данных, а также принимаются необходимые меры по уточнению или удалению неполных или неточных данных;
• хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, федеральные законы, договоры, стороной которого являются субъекты персональных данных;
• обрабатываемые персональные данные подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации;
• обеспечение безопасности персональных данных, включая защиту от несанкционированной или незаконной обработки и случайной потери, уничтожения или повреждения, с использованием соответствующих технических или организационных мер.

Общество не принимает решения, порождающие юридические последствия в отношении Субъекта персональных данных или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных, за исключением случаев, предусмотренных федеральными законами, или при наличии согласия в письменной форме Субъекта персональных данных.

6.2 Способы обработки персональных данных.

Общество обрабатывает персональные данные субъектов с использованием средств автоматизации и без использования таких средств посредством их сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (предоставление, доступ), блокирования, удаления, уничтожения персональных данных.

6.3 Передача персональных данных

Общество вправе передавать персональные данные Субъектов третьим лицам, в том числе Контрагентам Общества, организаторам перевозок, и другим юридическим лицам с согласия Субъекта персональных данных, если иное не предусмотрено федеральными законами, на основании заключаемого с третьими лицами договора.

Общество вправе поручить обработку персональных данных Субъектов третьим лицам на основании заключаемых с такими третьими лицами договоров, в следующих случаях:

• для обработки обращений Пользователей, заявителей посредством голосовых и неголосовых каналов связи, включая электронную почту, онлайн-чат, приложения для мобильных устройств и (или) социальные сети;
• в целях организации маркетинговых коммуникаций с зарегистрированными пользователями:
• в целях анализа качества предоставляемого сервиса и улучшению качества обслуживания;
• в целях проведения статистических или иных маркетинговых исследований.

Передача или поручение обработки персональных данных сторонним организациям осуществляется на основании заключенных договоров, обязательными условиями которых является обязанность по соблюдению конфиденциальности и обеспечению безопасности персональных данных при их обработке, а также обязательство третьего лица использовать данные исключительно в заранее определенных целях и объемах.

Общество вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.

6.4 Конфиденциальность персональных данных

Общество и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия Субъекта персональных данных, если иное не предусмотрено федеральным законом.

6.5 Сроки обработки персональных данных

Персональные данные Субъектов, обрабатываемые Обществом, подлежат уничтожению или обезличиванию в случае:

• достижения целей обработки персональных данных или утраты необходимости в достижении этих целей;
• отзыва согласия Субъекта персональных данных на обработку его персональных данных (за исключением случаев, предусмотренных действующим законодательством Российской Федерации);
• получения от Субъекта персональных данных требования об удалении его персональных данных (за исключением случаев, предусмотренных действующим законодательством Российской Федерации);
• выявления неправомерной обработки персональных данных;
• прекращения деятельности Общества.

6.6 Хранение персональных данных

Хранение персональных данных осуществляется в форме, позволяющей определить Субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных не установлен федеральным законом, договором с Контрагентом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект персональных данных.

Общество осуществляет запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

6.7 Актуализация, исправление, удаление и уничтожение персональных данных

В случае подтверждения факта неточности персональных данных или неправомерности их обработки в Обществе, персональные данные подлежат актуализации, а обработка их прекращается.

При достижении целей обработки персональных данных, а также в случае отзыва Субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, за исключением случаев:

• дальнейшая обработка предусмотрена договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект персональных данных;
• Общество вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных действующим законодательством Российской Федерации.

6.8 Порядок реагирования на запросы обращения субъектов персональных данных, их представителей и уполномоченных органов

Общество организовывает процессы взаимодействия с субъектами персональных данных таким образом, чтобы Субъект мог обратиться в Общество по всем предусмотренным в законодательстве Российской Федерации вопросам, связанным с обработкой его персональных данных.

В зависимости от информации, предоставленной в запросе, принимается решение о предоставлении доступа Субъекту персональных данных к его персональным данным, обрабатываемым в Обществе.

При оформлении субъектом обращений и запросов по вопросам обработки персональных данных рекомендуется использовать типовые формы, которые приведены в Приложениях А – Б к настоящей Политике.

Субъект персональных данных может обратиться в Общество по следующим каналам связи:

• по электронной почте на адрес: info@okolo.market;
• по почтовому адресу: 450112, РЕСПУБЛИКА БАШКОРТОСТАН, Г.О. ГОРОД УФА, Г УФА, УЛ ЦВЕТОЧНАЯ, Д. 36/2

Обращение или запрос субъекта в виде электронного документа должен быть подписан простой электронной подписью (простой электронной подписью будет являться фамилия, имя, отчество субъекта и адрес электронной почты).

В случае, если данных, предоставленных Субъектом персональных данных или его законным представителем, недостаточно для идентификации Субъекта персональных данных или предоставление персональных данных нарушает конституционные права и свободы других лиц, Общество подготавливает мотивированный отказ, в соответствии с ч. 8 ст. 14 ФЗ-152 или иного федерального закона, являющего основанием для такого отказа, в срок, не превышающий десяти рабочих дней со дня обращения Субъекта персональных данных.

Сведения о наличии персональных данных предоставляются Субъекту при ответе на запрос в течении десяти рабочих дней с даты получения запроса Субъекта персональных данных.

Для выполнения запроса Субъекта на получение информации об обрабатываемых персональных данных запрос должен содержать:

• номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта персональных данных в отношениях с Обществом (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных;
• подпись субъекта персональных данных или его представителя.

В соответствии с ч. 4 ст. 20 ФЗ-152 Общество обязано сообщить в уполномоченный орган по защите прав Субъектов персональных данных по запросу необходимую информацию в течение десяти рабочих дней с даты получения такого запроса. Допускается запрос уполномоченного органа, направленный в электронном виде.

7. Права субъекта персональных данных

Субъект персональных данных имеет право на получение у Общества информации, касающейся обработки его персональных данных, если такое право не ограничено в соответствии с федеральными законами.

Субъект персональных данных вправе требовать от Общества уточнения его персональных данных, их изменения, блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Субъект персональных данных имеет право на уточнение, изменение или удаление любых своих персональных данных в любое время. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения.

В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные.

Если Субъект персональных данных считает, что Общество осуществляет обработку его персональных данных с нарушением требований действующего законодательства Российской Федерации или иным образом нарушает его права и свободы, Субъект персональных данных вправе обжаловать действия или бездействие Общества в Уполномоченный орган по защите прав Субъектов персональных данных или в судебном порядке.

Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

Субъект персональных данных имеет право на отзыв согласия на обработку персональных данных.

8. Безопасность персональных данных

Общество заинтересовано в обеспечении безопасности персональных данных, обрабатываемых в рамках выполнения основной деятельности, как с точки зрения требований законодательства Российской Федерации, так и с точки зрения оценки рисков для бизнеса.

Общество принимает необходимые правовые, организационные и технические меры для защиты персональных данных от несанкционированного (в том числе, случайного) доступа, изменения, уничтожения и других несанкционированных действий, включающие в себя:

• назначение лиц, ответственных за организацию обработки и обеспечение безопасности персональных данных в Обществе;
• утверждение локальных нормативных документов по вопросам обработки персональных данных, информационной безопасности, ознакомление с ними работников;
• проведение обучающих мероприятий для работников по вопросам обработки персональных данных, обеспечения информационной безопасности;
• обеспечение физической безопасности помещений и средств обработки, пропускной режим, охрана, видеонаблюдение;
• ограничение и разграничение доступа работников, сторонних организаций к персональным данным и средствам обработки, мониторинг действий с персональными данными в информационных системах персональных данных (ИСПДн) Общества;
• оценку вреда, который может быть причинен субъектам персональных данных и определение актуальных угроз безопасности персональных данных при их обработке в ИСПДн Общества;
• применение средств обеспечения безопасности ИСПДн (антивирусных средств, межсетевых экранов, средств защиты от несанкционированного доступа, средств криптографической защиты информации), в том числе, в необходимых случаях, прошедших процедуру оценки соответствия в установленном порядке;
• учёт и хранение носителей информации, исключающее их хищение, подмену, несанкционированное копирование и уничтожение;
• резервное копирование информации для возможности восстановления;
• осуществление внутреннего контроля (аудита) за соблюдением установленного порядка обработки и защиты персональных данных, оценку эффективности принятых мер, реагирование на инциденты;
• проверку наличия в договорах с третьими лицами и включение при необходимости в договоры пунктов об обеспечении конфиденциальности и безопасности персональных данных;
• иные меры в соответствии с локальными нормативными документами Общества в области ИБ.

9. Контроль

В Обществе проводится внутренний контроль (аудит) соответствия процессов обработки персональных данных требованиям законодательства Российской Федерации. Контроль проводится в случаях:

• создания новых процессов обработки персональных данных или внесения изменений в существующие процессы;
• создания новых ИСПДн или внесения изменений в существующие ИСПДн;
• изменения законодательства Российской Федерации, затрагивающего процессы обработки персональных данных в Обществе;
• проведения ежегодных внутренних контрольных мероприятий на предмет оценки соответствия процессов обработки персональных данных требованиям законодательства Российской Федерации.

Приложение А

Рекомендованная форма

запроса субъекта персональных данных

на получение информации, касающейся

обработки его персональных данных

Запрос на получение информации, касающейся обработки персональных данных

Прошу предоставить мне для ознакомления следующую информацию, касающуюся обработки моих персональных данных в ООО «ОКОЛО Маркет» (далее – Общество):

• подтверждение факта обработки персональных данных Обществом;
• правовые основания и цели обработки персональных данных;
• цели и применяемые Обществом способы обработки персональных данных;
• наименование и место нахождения Общества, сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Обществом или на основании федерального закона;
• обрабатываемые персональные данные, источник их получения;
• сроки обработки персональных данных, в том числе сроки их хранения;
• порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом №152- ФЗ «О персональных данных»;
• информацию об осуществленной или о предполагаемой трансграничной передаче персональных данных;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Общества, если обработка поручена или будет поручена такому лицу.
• информацию о способах исполнения оператором обязанностей, установленных статьей 18.1 настоящего Федерального закона
• иные сведения, предусмотренные законодательством Российской Федерации:

Приложение Б

Рекомендованная форма заявления

субъекта персональных данных на уточнение

его персональных данных

Заявление на уточнение персональных данных

Прошу уточнить мои персональные данные, обрабатываемые в ООО «ОКОЛО Маркет», в связи с обработкой следующих неточных или неактуальных сведений:

(перечислить с приложением подтверждающих сведений)