6. Объем и категории обрабатываемых персональных данных. Категории субъектов персональных данных
6.1. К Субъектам персональных данных, на которых распространяется действие настоящей Политики, относятся следующие физические лица:
− клиенты Оператора и их представители;
− контрагенты Оператора и их представители;
− выгодоприобретатели клиентов и контрагентов Оператора;
− бенефициарные владельцы клиентов и контрагентов оператора;
- посетители сайта Оператора,
− лица, входящие в структуру собственности Оператора (акционеры,бенефициарные владельцы, аффилированные с указанными лицами лица и их представители);
− представители зависимых и дочерних юридических лиц.
6.2. Состав (объем) персональных данных по категориям Субъектов персональных данных.
К персональным данным клиентов и контрагентов Оператора (физических лиц) и представителей клиентов и контрагентов Оператора (физических и юридических лиц), обрабатываемым Оператором в целях осуществления его хозяйственной деятельности, в том числе заключения, исполнения и прекращения договоров с его контрагентами, а также соблюдения законодательства, относятся (могут относиться):
- фамилия, имя, отчество, дата и место рождения, пол, сведения о гражданстве;
- фотография профиля в мобильном приложении;
- адрес электронной почты;
- имя, адрес, телефон в мессенджерах;
- контактные телефоны;
- номер банковского счета;
- номер банковской карты.
- место постоянной и временной регистрации, место фактического проживания;
- вид, серия, номер документа, удостоверяющего личность, дата выдачи, наименование выдавшего его органа;
- реквизиты документа, удостоверяющего полномочия действовать от имени клиента или контрагента Оператора (для представителей клиентов и контрагентов Оператора (физических и юридических лиц));
- номер телефона, адрес электронной почты.
6.3. Область применения Политики.
Положения Политики распространяются на все отношения, связанные с обработкой персональных данных, осуществляемой Оператором:
- с использованием средств автоматизации, в том числе в информационно-телекоммуникационных сетях, или без использования таковых, если обработка персональных данных без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск персональных данных, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях персональных данных, и (или) доступ к таким персональным данным;
- без использования средств автоматизации.
Настоящей Политикой руководствуются все сотрудники Оператора, осуществляющие обработку персональных данных или имеющие к ним доступ.
7. Порядок и условия обработки персональных данных
7.1. Принципы обработки персональных данных.
Обработка персональных данных должна осуществляться с соблюдением следующих принципов:
- персональные данные должны обрабатываться на законной и справедливой основе;
- обработка должна ограничиваться достижением конкретных, заранее определенных и законных целей, которым должны соответствовать содержание и объем обрабатываемых персональных данных. Обрабатывать можно только персональные данные, которые отвечают целям обработки;
- при обработке должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки. Оператор должен принимать необходимые меры по удалению или уточнению неполных или неточных данных либо обеспечивать принятие таких мер;
- хранить персональные данные нужно в форме, позволяющей определить Субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок их хранения не установлен федеральным законом или договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект персональных данных. Обрабатываемые персональные данные нужно уничтожить или обезличить по достижении целей обработки или если утрачена необходимость в достижении этих целей, при условии, что иное не предусмотрено федеральным законом.
Не допускается:
- обработка персональных данных, несовместимая с целями сбора персональных данных;
- объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
- избыточность обрабатываемых персональных данных по отношению к заявленным целям их обработки.
7.2. Порядок и условия обработки персональных данных
Обработка персональных данных осуществляется с согласия Субъекта персональных данных за исключением случаев, установленных законодательством Российской Федерации.
Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Такое согласие может быть дано в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.
Согласие на обработку персональных данных может быть отозвано Субъектом персональных данных.
В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия, предоставленного в письменной форме Субъектом персональных данных.
Персональные данные обрабатываются с использованием средств автоматизации и без использования средств автоматизации.
Персональные данные Субъектов персональных данных размещаются Оператором в следующих информационных системах:
- информационная система персональных данных работников Оператора;
- информационная система персональных данных лиц, не являющихся работниками Оператора, но персональные данные которых Оператор должен обрабатывать в соответствии с трудовым законодательством;
- информационная система персональных данных клиентов и контрагентов Оператора (физических лиц) и представителей клиентов и контрагентов Оператора (физических и юридических лиц).
7.3. Оператор осуществляет следующие действия с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
При необходимости обеспечения условий обработки персональных данных субъекта может предоставляться согласие субъекта персональных данных на обработку его персональных данных.
Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе.
Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.
В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются Оператором. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при выполнении альтернативных условий обработки персональных данных. Обязанность предоставить доказательство получения согласия субъекта персональных данных на обработку его персональных данных или доказательство выполнения альтернативных условий обработки персональных данных возлагается на Оператора.
В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия в письменной форме субъекта персональных данных.
Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного в соответствии с федеральным законом электронной подписью. В случае недееспособности субъекта персональных данных согласие на обработку его персональных данных дает законный представитель субъекта персональных данных.
Оператор вправе передавать персональные данные своим партнерам/контрагентам, привлеченным им для исполнения своих обязательств по предоставлению сервисов для Пользователя и исполнению заключенных с Пользователем договоров, включая но не ограничиваясь: курьерским/почтовым службам, службам доставки, грузоперевозчикам, банкам, мобильным операторам, а также органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.
Оператор не осуществляет трансграничную передачу персональных данных.
Оператор не создает общедоступные источники персональных данных.
Обработка персональных данных, осуществляемая без использования средств автоматизации, осуществляется таким образом, чтобы в отношении каждой категории персональных данных можно определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.
Обеспечивается раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.
При хранении материальных носителей соблюдаются условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются Оператором.
При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются, за исключением случаев, указанных в п. 2, 3, 4, 8 ч. 1 ст. 6 Закона о персональных данных.
8. Хранение персональных данных
Персональные данные хранятся в течение срока, установленного законодательством РФ.
Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных, в специальных разделах или на полях форм (бланков).
При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы.
В целях обработки различных категорий персональных данных для каждой категории используется отдельный материальный носитель.
Оператор обеспечивает раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.
При хранении материальных носителей установлены меры, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ к ним.
Оператор, получивший доступ к персональным данным, не раскрывает третьим лицам и не распространяет персональные данные без согласия Субъекта персональных данных, если иное не предусмотрено федеральным законом.
При обработке персональных данных для их защиты от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий Оператор принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие, а именно:
- определение угрозы безопасности персональных данных при их обработке в информационных системах персональных данных (далее - информационная система);
- применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности персональных данных;
- применение средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;
- проведение оценки эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы;
- ведение учета машинных носителей персональных данных;
- обеспечение обнаружения фактов несанкционированного доступа к персональным данным и принятие мер, в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы и по реагированию на компьютерные инциденты в них;
- обеспечение восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
- установление правил доступа к персональным данным, обрабатываемым в информационной системе, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе;
- осуществление контроля за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищенности информационных систем.
При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации, с использованием баз данных, находящихся на территории России.
Оператор, за исключением случаев, предусмотренных Федеральным законом «О персональных данных», до начала обработки персональных данных уведомил уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных.
9. Блокирование, удаление и уничтожение персональных данных. Ответы на запросы субъектов на доступ к персональным данным
9.1. Оператор должен осуществить блокирование персональных данных или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в следующих случаях и в следующие сроки:
- если выявлена неправомерная обработка персональных данных при обращении Субъекта персональных данных или его представителя либо по запросу Субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных — с момента такого обращения или получения указанного запроса на период проверки;
- если выявлены неточные персональные данные при обращении Субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных — с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы Субъекта персональных данных или третьих лиц;
- если отсутствует возможность уничтожения персональных данных в течение срока, указанного в ч. 3 - ч. 5.1 ст. 21 Закона о персональных данных, — до момента уничтожения.
Оператор должен также прекратить обработку персональных данных или обеспечить прекращение такой обработки лицом, действующим по поручению Оператора, в следующих случаях:
- если выявлена неправомерная обработка персональных данных, осуществляемая Оператором или лицом, действующим по поручению Оператора, — в срок не более трех рабочих дней с даты этого выявления;
- если достигнуты цели обработки персональных данных;
- если Субъект персональных данных отозвал согласие на обработку его персональных данных;
- если Субъект персональных данных обратился к Оператору с требованием о прекращении обработки - в срок не более десяти рабочих дней с даты получения соответствующего требования. Этот срок может быть продлен, но не более чем на пять рабочих дней, если Оператор направит Субъекту персональных данных мотивированное уведомление с указанием причин продления срока.
9.2. Оператор должен уничтожить персональные данные, в частности, в следующих случаях и в следующие сроки:
- если достигнуты цели обработки персональных данных либо утрачена необходимость их достижения — в срок не более тридцати дней с даты достижения указанных целей, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект персональных данных, иным соглашением между Оператором и Субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия Субъекта персональных данных на основаниях, предусмотренных федеральными законами;
- если Субъект персональных данных или его представитель предъявил сведения, подтверждающие, что такие персональные данные получены незаконно или не являются необходимыми для заявленной цели обработки, — в срок не более семи рабочих дней со дня представления таких сведений;
- если выявлена неправомерная обработка персональных данных при условии, что невозможно обеспечить ее правомерность, — в срок не более десяти рабочих дней с даты выявления неправомерной обработки;
- если Субъект персональных данных отозвал согласие на обработку его персональных данных при условии, что сохранение таких данных более не требуется для целей их обработки, — в срок не более тридцати дней с даты поступления отзыва. Это возможно при условии, что иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект персональных данных, иным соглашением между Оператором и Субъектом персональных данных, либо в случае, если Оператор не вправе осуществлять обработку персональных данных без согласия Субъекта персональных данных на основаниях, предусмотренных федеральными законами.
9.3. При обработке персональных данных без использования средств автоматизации документом, подтверждающим уничтожение персональных данных, является Акт об уничтожении персональных данных.
При обработке персональных данных с использованием средств автоматизации документами, подтверждающими уничтожение персональных данных, являются Акт об уничтожении персональных данных и Выгрузка из журнала регистрации событий в информационной системе персональных данных (далее - Выгрузка из журнала).
При обработке персональных данных одновременно с использованием средств автоматизации и без использования средств автоматизации документами, подтверждающими уничтожение персональных данных, являются Акт об уничтожении персональных данных и Выгрузка из журнала.
Акт об уничтожении персональных данных и Выгрузка из журнала подлежат хранению в течение 3 лет с момента уничтожения персональных данных.
9.4. Ответы на запросы и обращения Субъектов персональных данных
Субъекты персональных данных вправе обращаться к Оператору и направлять ему запросы по вопросам, указанным в Законе о персональных данных.
Обеспечение реализации прав Субъектов осуществляется посредствомисполнения запросов, поступающих от физических лиц Оператору по адресам:
− почтовый адрес: 123308, г. Москва, вн.тер.г. муниципальный округ Хорошево-Мнёвники, просп. Маршала Жукова, д. 2, помещ. 19/3.
− электронный адрес:
info@evi-global.com.
Оператор предоставляет сведения, указанные в ч. 7 ст. 14 Закона о персональных данных, Субъекту персональных данных или его представителю в течение десяти рабочих дней с момента обращения либо получения соответствующего запроса Субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней, если Оператор направит в адрес Субъекта персональных данных мотивированное уведомление с указанием причин продления срока.
Эти сведения Оператор предоставляет Субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
Запрос должен содержать:
- номер основного документа, удостоверяющего личность Субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
- сведения, подтверждающие участие Субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
- подпись Субъекта персональных данных или его представителя.
Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
Оператор обязан сообщить в порядке, предусмотренном ст. 14 Закона о персональных данных, Субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему Субъекту, а также предоставить возможность ознакомления с этими данными при обращении Субъекта персональных данных или его представителя либо в течение десяти рабочих дней с даты получения запроса Субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней, если Оператор направит в адрес Субъекта персональных данных мотивированное уведомление с указанием причин продления срока.
В случае отказа в предоставлении информации о наличии персональных данных о соответствующем Субъекте или персональных данных Субъекту персональных данных или его представителю при их обращении либо при получении запроса Субъекта персональных данных или его представителя Оператор обязан дать в письменной форме мотивированный ответ.
Такой ответ должен содержать ссылку на положение ч. 8 ст. 14 Закона о персональных данных или иного федерального закона, являющееся основанием для такого отказа. Ответ должен быть дан в срок не более десяти рабочих дней со дня обращения Субъекта персональных данных или его представителя либо с даты получения запроса Субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней, если Оператор направит в адрес Субъекта персональных данных мотивированное уведомление с указанием причин продления срока.
10. Заключительные положения
Действие настоящей Политики распространяется на все процессы по сбору, записи, систематизации, накоплению, хранению, уточнению, извлечению, использованию, передаче (распространению, предоставлению, доступу), обезличиванию, блокированию, удалению, уничтожению персональных данных, осуществляемых с использованием средств автоматизации и без использования таких средств.
Вопросы, не урегулированные настоящей Политикой, регулируются законодательством Российской Федерации и внутренними (локальными) документами Оператора.
Если в результате изменения законодательства, нормативных правовых актов Российской Федерации или Устава Оператора отдельные положения настоящей Политики вступают в противоречие с ними, то эти положения действуют только в части, не противоречащей законодательству Российской Федерации и положениям Устава Оператора, до момента внесения изменений в настоящую Политику.
В этом случае, до внесения соответствующих изменений в настоящую Политику, сотрудники Компании обязаны руководствоваться законодательными и нормативно-правовыми актами, устанавливающими соответствующие изменения.
Настоящая Политика может быть пересмотрена (изменена, актуализирована) в случае изменения законодательства Российской Федерации или стандартов в области защиты персональных данных и по усмотрению Оператора. Новая редакция Политики также размещается на сайте Оператора.
Ответственность сотрудников Оператора за невыполнение требований, регулирующих обработку и защиту персональных данных определяется в соответствии с законодательством Российской Федерации.