1.общие положения
1.1.Настоящие Правила обработки персональных данных (далее — «Правила») разработаны в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных») и определяют порядок обработки персональных данных в АО «САРАФФАН.РАДИО» (далее — «Оператор»), принимаемые Оператором меры по обеспечению безопасности персональных данных при их обработке, а также порядок реализации прав субъектов персональных данных.
1.2.Правила утверждаются и вводятся в действие приказом единоличного исполнительного органа Оператора и обязательны для исполнения всеми работниками Оператора, имеющими доступ к персональным данным в силу своих должностных обязанностей.
1.3.Действие Правил распространяется на все персональные данные, обрабатываемые Оператором с использованием средств автоматизации и без использования таких средств, включая персональные данные Пользователей, Заказчиков и Поставщиков Платформы SARAFFAN, а также персональные данные работников и контрагентов Оператора в части, не противоречащей специальным требованиям трудового законодательства Российской Федерации.
1.4.Правила являются документом, определяющим политику Оператора в отношении обработки персональных данных в значении ч. 2 ст. 18.1 Закона о персональных данных, и подлежат размещению в свободном доступе на Платформе наряду с Политикой в отношении обработки персональных данных.
2.принципы обработки персональных данных
2.1.Обработка персональных данных Оператором осуществляется на основе следующих принципов, установленных ст. 5 Закона о персональных данных:
2.1.1.законность и справедливость целей и способов обработки персональных данных;
2.1.2.соответствие целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям Оператора;
2.1.3.недопустимость объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
2.1.4.соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки, недопустимость избыточности обрабатываемых персональных данных по отношению к заявленным целям;
2.1.5.обеспечение точности, достаточности, а при необходимости — актуальности персональных данных;
2.1.6.хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если иной срок хранения не установлен законодательством Российской Федерации либо договором;
2.1.7.уничтожение либо обезличивание персональных данных по достижении целей обработки либо в случае утраты необходимости в их достижении.
3.ответственный за организацию обработки персональных данных
3.1.Ответственный за организацию обработки персональных данных назначается приказом Оператора. Ответственным за организацию обработки персональных данных является Генеральный директор Оператора — Яковенко Диана Владимировна, если иное лицо не назначено отдельным приказом Оператора.
3.2.Ответственный за организацию обработки персональных данных в соответствии со ст. 22.1 Закона о персональных данных:
3.2.1.осуществляет внутренний контроль за соблюдением Оператором и его работниками законодательства Российской Федерации о персональных данных, включая требования к защите персональных данных;
3.2.2.доводит до сведения работников Оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
3.2.3.организует прием и обработку обращений и запросов субъектов персональных данных либо их представителей и (или) осуществляет контроль за приемом таких обращений и запросов;
3.2.4.иные обязанности, предусмотренные законодательством Российской Федерации.
4.состав и категории обрабатываемых персональных данных
4.1.Состав персональных данных, обрабатываемых Оператором в отношении Пользователей, Заказчиков и Поставщиков, определен разделом 4 Политики в отношении обработки персональных данных Оператора.
4.2.Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные, за исключением случаев, прямо предусмотренных законодательством Российской Федерации либо осуществляемых на основании отдельного согласия субъекта.
4.3.Перечень информационных систем персональных данных, используемых Оператором, состав обрабатываемых в них персональных данных и категории субъектов персональных данных фиксируются во внутренней документации Оператора и подлежат актуализации при изменении состава обрабатываемых данных.
5.правовые основания и цели обработки
5.1.Правовые основания и цели обработки персональных данных соответствуют разделам 3 и 5 Политики в отношении обработки персональных данных Оператора.
5.2.Не допускается обработка персональных данных в целях, не соответствующих целям, определенным настоящими Правилами и Политикой, без получения дополнительного согласия субъекта персональных данных либо наличия иного законного основания.
6.порядок сбора, систематизации и хранения персональных данных
6.1.Сбор персональных данных осуществляется непосредственно у субъекта персональных данных при регистрации на Платформе, оформлении Заказа, прохождении процедуры допуска Поставщика к Платформе, а также при обращении субъекта к Оператору.
6.2.Систематизация и хранение персональных данных осуществляются в информационных системах персональных данных Оператора, размещенных на территории Российской Федерации, с разграничением прав доступа работников в зависимости от их должностных обязанностей.
6.3.Уточнение персональных данных производится по инициативе субъекта персональных данных путем внесения изменений в личном кабинете либо по обращению, направленному Оператору, а также по итогам проверки достоверности данных Оператором.
6.4.При обработке персональных данных на бумажных носителях (при наличии) Оператор обеспечивает их хранение в местах, исключающих доступ к ним лиц, не допущенных к обработке персональных данных, с учетом требований Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства Российской Федерации от 15.09.2008 № 687.
7.порядок использования, передачи и поручения обработки персональных данных
7.1.Использование персональных данных допускается исключительно в объеме и в целях, необходимых для исполнения обязанностей Оператора и реализации целей, указанных в разделе 5 настоящих Правил.
7.2.Поручение обработки персональных данных третьим лицам осуществляется на основании договора, обязательным условием которого является соблюдение принципов и правил обработки персональных данных, предусмотренных Законом о персональных данных, обязанность обеспечивать конфиденциальность и безопасность персональных данных при их обработке, а также иные условия, предусмотренные ч. 3 ст. 6 Закона о персональных данных.
7.3.Оператор ведет учет лиц, которым поручена обработка персональных данных, и целей такого поручения.
7.4.Передача персональных данных третьим лицам, не являющимся лицами, которым поручена обработка, допускается исключительно на основаниях, предусмотренных разделом 6 Политики в отношении обработки персональных данных Оператора.
8.трансграничная передача персональных данных
8.1.Оператор не осуществляет трансграничную передачу персональных данных на дату утверждения настоящих Правил.
8.2.В случае принятия решения об осуществлении трансграничной передачи персональных данных Оператор до ее начала обеспечивает соблюдение требований ст. 12 Закона о персональных данных, включая направление в уполномоченный орган по защите прав субъектов персональных данных соответствующего уведомления и оценку достаточности обеспечиваемой государством, на территорию которого осуществляется передача, защиты прав субъектов персональных данных.
9.обезличивание, блокирование, удаление и уничтожение персональных данных
9.1.Персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки, в случае утраты необходимости в достижении этих целей, по истечении срока действия согласия субъекта персональных данных, при отзыве субъектом персональных данных согласия на обработку персональных данных, а также в иных случаях, предусмотренных законодательством Российской Федерации.
9.2.Уничтожение персональных данных, обрабатываемых с использованием средств автоматизации, осуществляется путем удаления из соответствующих информационных систем персональных данных Оператора с исключением возможности восстановления.
9.3.Уничтожение персональных данных на бумажных носителях осуществляется по акту, составляемому комиссией, назначаемой Оператором.
9.4.Блокирование персональных данных осуществляется Оператором по требованию субъекта персональных данных либо его представителя, а также по требованию уполномоченного органа по защите прав субъектов персональных данных на период проверки в случае выявления недостоверности персональных данных или неправомерности их обработки.
10.меры по обеспечению безопасности персональных данных
10.1.В целях обеспечения безопасности персональных данных при их обработке Оператор принимает следующие организационные меры:
10.1.1.назначение ответственного за организацию обработки персональных данных;
10.1.2.ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных и настоящими Правилами под подпись;
10.1.3.определение перечня работников, допущенных к обработке персональных данных, и разграничение их прав доступа;
10.1.4.издание локальных актов по вопросам обработки и защиты персональных данных;
10.1.5.осуществление внутреннего контроля соответствия обработки персональных данных требованиям законодательства Российской Федерации.
10.2.Оператор принимает следующие технические меры:
10.2.1.определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных и уровня защищенности таких систем в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119;
10.2.2.применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
10.2.3.использование антивирусной защиты, средств резервного копирования и защищенных каналов связи при передаче персональных данных по сетям связи общего пользования;
10.2.4.учет машинных носителей персональных данных;
10.2.5.обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по их устранению;
10.2.6.восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа.
11.порядок рассмотрения обращений и запросов субъектов персональных данных
11.1.Обращения и запросы субъектов персональных данных, связанные с обработкой их персональных данных, направляются Оператору по реквизитам, указанным в разделе 16 настоящих Правил, и регистрируются ответственным за организацию обработки персональных данных в день поступления.
11.2.Оператор рассматривает обращение и предоставляет субъекту персональных данных ответ по существу в срок не более 10 (десяти) рабочих дней с момента получения обращения, если иной срок не установлен законодательством Российской Федерации.
11.3.При отзыве субъектом персональных данных согласия на обработку персональных данных Оператор прекращает их обработку и уничтожает персональные данные в срок, не превышающий 30 (тридцати) дней с даты поступления отзыва, за исключением случаев, когда обработка может быть продолжена без согласия субъекта в соответствии с Законом о персональных данных.
12.порядок действий при выявлении инцидентов безопасности персональных данных
12.1.При выявлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, ответственный за организацию обработки персональных данных незамедлительно организует внутреннее расследование обстоятельств инцидента.
12.2.Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных не позднее 24 (двадцати четырех) часов с момента выявления инцидента (предварительное уведомление) и не позднее 72 (семидесяти двух) часов с момента выявления инцидента (уведомление о результатах внутреннего расследования) в порядке, предусмотренном ст. 21 Закона о персональных данных.
12.3.По результатам внутреннего расследования Оператор принимает меры по устранению последствий инцидента, предотвращению повторных инцидентов и, при необходимости, уведомляет затронутых субъектов персональных данных.
13.внутренний контроль и актуализация сведений об обработке
13.1.Ответственный за организацию обработки персональных данных осуществляет периодический внутренний контроль соответствия обработки персональных данных требованиям законодательства Российской Федерации, настоящим Правилам и Политике.
13.2.При изменении целей, состава или условий обработки персональных данных Оператор актуализирует настоящие Правила, Политику и, при необходимости, уведомление об обработке персональных данных, направляемое в уполномоченный орган по защите прав субъектов персональных данных в соответствии со ст. 22 Закона о персональных данных.
14.ответственность за нарушение требований к обработке персональных данных
14.1.Работники Оператора, виновные в нарушении требований законодательства Российской Федерации о персональных данных и настоящих Правил, несут дисциплинарную, гражданско-правовую, административную и уголовную ответственность в порядке, установленном законодательством Российской Федерации.
14.2.Административная ответственность за нарушение законодательства о персональных данных предусмотрена ст. 13.11 Кодекса Российской Федерации об административных правонарушениях, уголовная ответственность за нарушение неприкосновенности частной жизни — ст. 137 Уголовного кодекса Российской Федерации.
15.заключительные положения
15.1.Настоящие Правила вступают в силу с момента их утверждения приказом Оператора и действуют до утверждения новой редакции.
15.2.Изменения в настоящие Правила вносятся приказом Оператора и доводятся до сведения работников, а также размещаются на Платформе в актуальной редакции.
15.3.Вопросы, не урегулированные настоящими Правилами, разрешаются в соответствии с Политикой в отношении обработки персональных данных Оператора и законодательством Российской Федерации.