УТВЕРЖДЕНА
приказом
от «7» июля 2024г. № 07/24-01
Назначение
Политика ИП Карпухина Михаила Михайловича в отношении обработки персональных данных (далее – Политика) разработана в рамках реализации требований, установленных п. 2 ч. 1 ст. 18.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ) и определяет основные принципы, цели и условия обработки персональных данных (далее – ПДн), обрабатываемых у ИП Карпухиным Михаилом Михайловичем (далее также – Оператор), функции Оператора при обработке ПДн, основные правовые, организационные и технические меры, принимаемые Оператором в целях соблюдения требований законодательства в области обработки и защиты ПДн, а также является основой для разработки локальных нормативных актов, регламентирующих порядок обработки и защиты персональных данных у Оператора.
Целью разработки Политики является защита прав и свобод граждан, вступающих в правовые отношения с Оператором, при обработке их ПДн, в том числе защита прав на неприкосновенность частной жизни граждан, их личной и семейной тайны.
Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте Оператора по адресу: www.v-put.com.
Область применения
Настоящая Политика распространяется на все бизнес-процессы Оператора и обязательна для исполнения всеми работниками Оператора, имеющими доступ к ПДн при их обработке с использованием средств автоматизации и без использования таких средств.
Нормативные ссылки
Настоящая Политика разработана с учетом требований:
Конституции Российской Федерации;
Гражданского кодекса Российской Федерации;
Трудового кодекса Российской Федерации;
Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
Федерального закона от 27 июля 2006 г. №149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Указа Президента Российской Федерации от 06 марта 1997 г. №188 «Об утверждении Перечня сведений конфиденциального характера»;
постановления Правительства Российской Федерации от 1 ноября 2012 г. №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» (далее – постановление №1119);
постановления Правительства Российской Федерации от 15 сентября 2008 г. №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» (далее – Постановление №687);
Доктрины информационной безопасности Российской Федерации (утверждена Указом Президента Российской Федерации от 5 декабря 2016 г. №646);
приказа ФСТЭК России от 18 февраля 2013 г. №21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
приказа ФСБ России от 10 июля 2014 г. №378 «Об утверждении состава и содержания
организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использование средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого уровня защищенности»;
приказа Роскомнадзора России от 24 февраля 2021 г. №18 «Об утверждении требований
к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения» (далее – приказ №18);
приказа Роскомнадзора России от 27 октября 2022 г. №178 «Об утверждении
требований к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных».
Правовые основания обработки персональных данных у Оператора
нормативные правовые акты Российской Федерации, федеральных органов исполнительной власти Российской Федерации и органов местного самоуправления, регламентирующие деятельность в области ПДн и имеющих отношения к деятельности Оператора;
договоры и соглашения, заключенные между Оператором и субъектами ПДн;
полученные от субъектов ПДн согласия на определенные действия в отношении их ПДн
(согласие на обработку ПДн, согласие на передачу ПДн третьим лицам и др.).
Порядок утверждения, внесения изменений и дополнений
Настоящая Политика, все изменения и дополнения к ней утверждаются и вводятся в действие приказом ИП Карпухина Михаила Михайловича и действуют до их отмены приказом ИП Карпухина Михаила Михайловича или по иным основаниям предусмотренным законодательством РФ.
Настоящая Политика подлежит актуализации при изменении законодательных, иных нормативных правовых актов Российской Федерации и(или) на основании требований (предписаний) уполномоченных органов государственной власти.
Сокращения:
«О персональных данных»
Термины и определения:
Принципы и цели обработки персональных данных
Обработка ПДн у Оператора осуществляется на законной и справедливой основе, в соответствии с принципами, установленными законодательством Российской Федерации в области ПДн, в частности Законом № 152-ФЗ, и ограничивается достижением конкретных, заранее определенных и законных целей, при этом содержание и объем обрабатываемых ПДн соответствует указанным целям обработки, по достижении которых ПДн полежат уничтожению.
Не допускается обработка ПДн в интересах, не совместимых с целями сбора ПДн и избыточность ПДн по отношению к заявленным целям их обработки;
Обеспечивается точность, актуальность и достаточность ПДн по отношению к целям обработки ПДн и своевременно принимаются меры по удалению или уточнению неполных и(или) неточных ПДн.
Обработка ПДн у Оператора осуществляется в целях:
ведения бухгалтерского и налогового учета;
обеспечения соблюдения налогового законодательства, законодательства в области социального и пенсионного страхования;
исполнения, возложенных на Оператора обязанностей по предоставлению ПДн в правоохранительные органы и органы государственной власти, а также иным лицам (по запросам адвокатов, нотариусов и т.п.);
подготовки и заключения договоров, исполнения и прекращения обязательств, предусмотренных договорами, заключаемыми Оператором с разработчиками и консультантами;
заключение договоров с пользователями по предоставлению доступа к программному продукту В Путь, исполнение указанного договора, в том числе получение оплаты от пользователей;
выдачи доверенностей от имени Оператора;
участия в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах с участием Оператора и субъекта персональных данных, а также в целях исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
в иных законных целях, не противоречащих законодательству Российской Федерации.
У Оператора обрабатываются ПДн следующих категорий субъектов:
разработчики и консультанты (в случае, если разработчики и консультанты являются юридическими лицами – их представители);
пользователи;
иные субъекты ПДн в целях, предусмотренных разделом 5 настоящей Политики.
В целях ведения бухгалтерского и налогового учета:
в отношении разработчиков и консультантов обрабатываются: фамилия, имя, отчество, дата рождения, ИНН, номер банковского счета;
в отношении пользователей обрабатываются:
фамилия, имя, отчество, дата рождения, ИНН.
В целях обеспечения соблюдения налогового законодательства, законодательства в области социального и пенсионного страхования обрабатываются:
в отношении разработчиков и консультантов обрабатываются:
фамилия, имя, отчество, ИНН, СНИЛС, дата рождения, сведения о доходах, гражданство и иные сведения, подлежащие передаче в Социальный фонд России.
в отношении пользователей обрабатываются:
фамилия, имя, отчество, дата рождения, ИНН.
В целях исполнения, возложенных на Оператора обязанностей по предоставлению ПДн в правоохранительные органы и органы государственной власти, а также иным лицам (по запросам адвокатов, нотариусов и т.п.), обрабатываются:
все имеющиеся у Оператора персональные данные, полученные в рамках других целей и обязанность передать которые предусмотрена законодательством Российской Федерации.
В целях подготовки и заключения договоров, исполнения и прекращения обязательств, предусмотренных договорами, заключаемыми Оператором с разработчиками и консультантами, обрабатываются:
фамилия, имя, отчество, ИНН, номер телефона, адрес электронной почты, номер банковского счета.
В целях заключения договоров с пользователями по предоставлению доступа к программному продукту В Путь, исполнение указанного договора, в том числе получение оплаты от пользователей, обрабатываются:
имя, фамилия, номер мобильного телефона, адрес электронной посты, пол, а также в случае предоставления Оператору разрешения – сведения о геолокации пользователей.
В целях выдачи доверенностей от имени Оператора обрабатываются:
должность, место работы, фамилия, имя, отчество, дата и место рождения, гражданство, пол, адрес регистрации, номер и серия основного документа, удостоверяющего личность, сведения о дате выдачи указанного документа и выдавшем его органе,
В целях участия в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах с участием Оператора и субъекта персональных данных, а также в целях исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве обрабатываются:
все имеющиеся у Оператора персональные данные, полученные в рамках других целей и необходимые для подачи заявления, искового заявления, а также персональные данные, приобщенные к материалам дела.
Субъект ПДн имеет право:
получить полную информацию, касающуюся обработки его ПДн (сроки обработки и сроки хранения ПДн, правовые основания и цели обработки ПДн, подтверждение факта обработки ПДн Оператором, наименование и местонахождение Оператора и иную информацию, в соответствии с п. 7 ст. 14 Закона № 152-ФЗ);
требовать от Оператора уточнения его ПДн, их блокирования или уничтожения, в случае если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
обратиться к Оператору с требованиями прекратить передачу (распространение, предоставление, доступ) своих ПДн, ранее разрешенных для распространения, в случае несоблюдения порядка и условий обработки, установленных Законом № 152-ФЗ;
отозвать согласие на обработку ПДн, направив Оператору отзыв, составленный в произвольной письменной форме посредством почтового отправления с описью вложения нарочно и/или иными доступными способами, позволяющими подтвердить факт получения;
на защиту своих прав и законных интересов, в том числе на возмещение убытков и(или) компенсацию морального вреда, связанного с обработкой его ПДн Оператором, в порядке, установленном законодательством Российской Федерации;
на осуществление иных прав, предусмотренных законодательством Российской Федерацией.
Право субъекта на доступ к своим ПДн может быть ограничено, если предоставление ПДн нарушает права и законные интересы других лиц, а также в иных случаях, предусмотренных законодательством Российской Федерации, в том числе установленных в п. 8 ст. 14 Закона № 152-ФЗ.
Субъект ПДн обязан предоставлять Оператору достоверные ПДн и своевременно уведомлять Оператора об изменениях своих ПДн в соответствии с требованиями законодательства Российской Федерации.
Обработка ПДн допускается в следующих случаях:
согласие Субъекта персональных данных на обработку персональных данных с учетом требований, предусмотренных Законодательством РФ для соответствующей категории персональных данных;
в связи с участием Оператора в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
судебные акты, акты другого органа или должностного лица, подлежащие исполнению Оператором в соответствии с положениями законодательства РФ об исполнительном производстве;
договор, стороной которого либо выгодоприобретателем по которому является Субъект персональных данных, если обработка персональных данных необходима для заключения указанного договора или исполнения обязательств по договору;
обеспечение и(или) осуществление защиты жизни, здоровья или иных жизненно важных интересов Субъекта персональных данных, если получение согласия Субъекта персональных данных невозможно;
права и законные интересы Оператора, Третьих лиц, иных лиц либо достижение общественно значимых целей при условии, что при этом не нарушаются права и свободы Субъекта персональных данных;
обработка персональных данных в статистических или иных исследовательских целях при условии обязательного обезличивания персональных данных;
обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с Законодательством РФ и иными применимыми нормативными правовыми актами РФ;
обработка персональных данных необходима для осуществления научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы Субъекта персональных данных.
Согласие на обработку ПДн может быть получено в письменной форме на бумажном носителе с собственноручной подписью субъекта ПДн, в форме электронного документа, подписанного электронной подписью, либо в электронной форме путем выполнения субъектом ПДн определенных действий, позволяющих установить конкретность, предметность, информированность, сознательность и однозначность согласия, при этом:
согласие разработчиков и консультантов, как правило, получается в форме документа на бумажном носителе или в форме электронного документа, подписанного электронной подписью;
согласие пользователей, как правило, получается в электронной форме путем выполнения субъектом ПДн определенных действий, позволяющих установить конкретность, предметность, информированность, сознательность и однозначность согласия.
Передача ПДн субъекта осуществляется Оператором только в порядке, предусмотренном законодательством Российской Федерации и (или) при получении согласия субъекта ПДн.
Условием прекращения обработки ПДн является достижение целей обработки ПДн либо истечение срока действия согласия или отзыв согласия субъекта ПДн на обработку его ПДн, а также выявления неправомерной обработки ПДн.
Хранение персональных данных:
при осуществлении хранения ПДн Оператор, в соответствии с требованиями Закона
№152-ФЗ использует базы данных, находящихся на территории Российской Федерации;
хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн не дольше, чем этого требуют цели обработки ПДн;
хранение ПДн, обработка которых выполняется без использования средств автоматизации, осуществляется в соответствии с требованиями постановления № 687, а с использованием средств автоматизации в соответствии с требованиями постановления
№ 1119.
Актуализация, исправление, удаление и уничтожение ПДн, ответы на запросы субъектов на доступ к ПДн:
в случае подтверждения факта неточности обрабатываемых ПДн они подлежат
актуализации в порядке и в сроки, установленные действующим законодательством;
при достижении целей обработки ПДн, в случае отзыва субъектом ПДн или истечения срока действия согласия субъекта ПДн на их обработку, а также в случае выявления неправомерности обработки ПДн персональные данные подлежат уничтожению в порядке и в сроки, установленные действующим законодательством.
При поступлении Оператору запроса (обращения) от субъекта ПДн или его представителя на получение информации о наличии (обработке) в Обществе ПДн, относящихся к соответствующему субъекту ПДн или на ознакомление с ПДн, относящихся к соответствующему субъекту ПДн, Оператор в течение десяти рабочих дней с даты получения запроса (обращения), предоставляет запрашиваемую информацию субъекту ПДн или его представителю в той форме, в которой был направлен запрос (обращение), если иное не указано в запросе.
При необходимости продления срока предоставления запрашиваемой информации, указанного в п. 8.1 Политики, он может быть продлен не более чем на пять рабочих дней, о чем в обязательном порядке уведомляется субъект ПДн или его представитель посредством направления мотивированного уведомления в адрес субъекта ПДн или его представителя, с указанием причин продления срока предоставления запрашиваемой информации.
Информация предоставляется субъекту ПДн или его представителю в доступной форме и в ней не должны содержатся ПДн, относящиеся к другим субъектам ПДн, за исключением случаев, когда имеются законные основания для раскрытия таких ПДн.
В предоставлении запрашиваемой информации субъекту ПДн или его представителю может быть отказано в случаях, в порядке и в сроки, предусмотренные ст. 14 Закона № 152- ФЗ, о чем уведомляется субъект ПДн или его представитель посредством направления мотивированного уведомления в адрес субъекта ПДн или его представителя, с указанием причин отказа в предоставлении запрашиваемой информации.
При получении Оператором запроса на предоставлении информации от уполномоченного органа по защите прав субъектов ПДн, Оператор предоставляет запрашиваемую информацию в порядке и в сроки, установленные действующим законодательством.
У Оператора применяются правовые, организационные и технические меры обеспечения защиты и безопасности ПДн при их обработке, в том числе внутренний
контроль соответствия обработки ПДн нормам Закона № 152-ФЗ, защита ПДн от неправомерного или случайного доступа, ограничение доступа к ПДн.
Обеспечение безопасности ПДн достигается в том числе выполнением требований Закона № 152-ФЗ и подзаконных нормативных актов, утверждением состава и содержания организационных и технических мер по обеспечению безопасности персональных данных, установления требуемого уровня защищенности ПДн с внедрением обязательных мер защиты, использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого уровня защищенности.
За несоблюдение требований настоящей Политики работники Оператора могут быть привлечены к ответственности в порядке, установленном законодательством Российской Федерации.