Политика конфиденциальности ООО «ГРЭНТ» в отношении обработки персональных данных

УТВЕРЖДАЮ
Генеральный директор ООО «ГРЭНТ» Филин В.В.
Дата утверждения: 27.04.2023

Термины и определения

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных).

Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Обезличивание персональных данных – действия, в результате которых невозможно определить без использования дополнительной информации принадлежность персональных данных конкретному субъекту персональных данных.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Оператор персональных данных (Оператор) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Персональные данные (ПД) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Сайт – совокупность программ для электронных вычислительных машин и иной информации, содержащейся в информационной системе, доступ к которой обеспечивается посредством информационно-телекоммуникационной сети интернет и расположенной по адресу: https://perm.grent.ru/

Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Уничтожение персональных данных – действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

1. ОБЩИЕ ПОЛОЖЕНИЯ

Настоящий документ определяет политику ООО «ГРЭНТ», ОГРН 1087154033625, ИНН/КПП 7106507160/710701001 (далее – Оператор) в отношении обработки персональных данных и раскрывает сведения о реализованных мерах по обеспечению безопасности персональных данных у Оператора с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

Настоящий документ «Политика ООО «ГРЭНТ» в отношении обработки персональных данных» (далее – Политика) разработан в соответствии с Конституцией Российской Федерации, Федеральным законом № 160–ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных», Трудовым кодексом Российской Федерации № 197–ФЗ, Федеральным законом № 152–ФЗ «О персональных данных» (далее – ФЗ–152), иными федеральными законами и подзаконными актами Российской Федерации, определяющими случаи и особенности обработки персональных данных и обеспечения безопасности и конфиденциальности такой информации.

Оператор включен в Реестр операторов, осуществляющих обработку персональных данных (далее – «Реестр»). Указанный Реестр опубликован на сайте Роскомнадзора в сети «Интернет» по адресу: https://pd.rkn.gov.ru/operators-registry/operators-list/

Положения настоящей Политики являются обязательными для исполнения всеми работниками Оператора, осуществляющими обработку персональных данных.

Положения настоящей Политики являются основой для организации работы по обработке персональных данных у Оператора, в том числе для разработки внутренних нормативных документов, регламентирующих обработку и защиту персональных данных у Оператора.

В случае если отдельные положения настоящей Политики войдут в противоречие с действующим законодательством о персональных данных, применяются положения действующего законодательства.

Запросы субъектов персональных данных в отношении обработки их персональных данных Оператором принимаются по адресу: Россия, 300041, г. Тула, ул. Советская, д. 67, офис 403а.

Также субъекты персональных данных могут направить свой запрос, подписанный электронной подписью, на адрес электронной почты: info@grent.ru

Срок рассмотрения обращений не превышает 30 (тридцати) дней со дня обращения.

Настоящая Политика является документом, к которому обеспечивается неограниченный доступ. Для обеспечения неограниченного доступа Политика, в частности, опубликована на официальном сайте Оператора по следующему адресу: https://perm.grent.ru/.

2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Принципы обработки персональных данных

Обработка персональных данных у Оператора осуществляется на основе следующих принципов:

• законности и справедливой основы;
• ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
• недопущения обработки персональных данных, несовместимой с целями сбора персональных данных;
• недопущения объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработки только тех персональных данных, которые отвечают целям их обработки;
• соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки;
• недопущения обработки персональных данных, избыточных по отношению к заявленным целям их обработки;
• обеспечения точности, достаточности и актуальности персональных данных по отношению к целям обработки персональных данных;
• уничтожения либо обезличивания персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, при невозможности устранения Оператором допущенных нарушений, если иное не предусмотрено федеральным законом.

2.2. Условия обработки персональных данных

Оператор производит обработку персональных данных при наличии хотя бы одного из следующих условий:

• обработка осуществляется с согласия субъекта персональных данных;
• обработка необходима для выполнения международного договора или закона РФ;
• необходима для осуществления правосудия или исполнения судебных актов;
• необходима для исполнения договора с субъектом персональных данных или заключения такого договора;
• необходима для достижения законных интересов Оператора или третьих лиц при условии, что не нарушаются права субъекта;
• осуществляется в соответствии с федеральным законом, предусматривающим обязательное раскрытие или публикацию.

2.3. Конфиденциальность персональных данных

Оператор и иные лица, получившие доступ к персональным данным, не раскрывают их третьим лицам без согласия субъекта, если иное не предусмотрено законом.

2.4. Общедоступные источники персональных данных

У Оператора могут создаваться справочники, адресные книги и иные общедоступные источники, включающие с согласия субъекта: ФИО, дату и место рождения, должность, телефоны, email и прочие сведения.

По требованию субъекта, Роскомнадзора или по решению суда такие данные могут быть исключены.

2.5. Обработка персональных данных, разрешенных субъектом для распространения

Субъект может дать отдельное согласие на распространение своих персональных данных.

В согласии могут быть указаны:

• запреты на передачу третьим лицам;
• условия обработки или запреты;
• категории данных, подлежащих ограничению или разрешению.

2.6. К персональным данным сотрудников ООО «ГРЭНТ» относятся:

• ФИО;
• дата и место рождения;
• гражданство;
• адреса регистрации и проживания;
• данные об образовании, квалификации, переподготовке, ученых степенях;
• профессия, должность;
• паспортные данные (серия, номер, дата выдачи, орган);
• контактные данные: телефон, email;
• сведения о доходах и стаже;
• трудовая книжка, сведения из электронной трудовой;
• ИНН, СНИЛС, сведения о семейном положении и детях;
• воинский учет, мобилизационное предписание;
• водительские права;
• банковские реквизиты, расчетный счет;
• состояние здоровья, судимость;
• владение иностранными языками;
• файлы cookies;
• данные веб-аналитики (агрегаторы статистики).

Если в согласии не установлены запреты и условия обработки, или категории и перечень персональных данных, на которые распространяются запреты и условия, – данные обрабатываются оператором без передачи (распространения, предоставления, доступа) и возможности осуществления иных действий с персональными данными неограниченному кругу лиц.

Субъект дает свое согласие непосредственно, либо с использованием системы Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций. Молчание или бездействие не считается согласием на обработку таких персональных данных.

Если персональные данные оказались раскрытыми неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы, Оператор, осуществляющий обработку таких данных (включая последующее распространение) обязан предоставить доказательства законности такой обработки.

Действие согласия на распространение персональных данных заканчивается с момента направления субъектом требований о прекращении такой обработки.

В отношении персональных данных, опубликованных на сайте Оператора, действуют следующие правила и ограничения:

• передача персональных данных неограниченному кругу лиц не запрещена;
• обработка персональных данных неограниченным кругом лиц не запрещена;
• полученные Оператором персональные данные могут передаваться с использованием информационно-телекоммуникационных сетей.

2.7. Поручение обработки персональных данных другому лицу

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные ФЗ–152 и настоящей Политикой.

2.8. Обработка персональных данных граждан Российской Федерации

Оператор обеспечивает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пп. 2, 3, 4, 8 ч. 1 ст. 6 ФЗ–152.

3. ПРАВА И ОБЯЗАННОСТИ

В рамках обработки персональных данных для Оператора и субъектов персональных данных определены следующие права.

Субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных, в порядке, форме и сроки, установленные законодательством о персональных данных;
• требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для заявленной цели обработки или используются в целях, не заявленных ранее при предоставлении субъектом персональных данных согласия на обработку персональных данных;
• принимать предусмотренные законом меры по защите своих прав;
• отозвать свое согласие на обработку персональных данных;
• иные права, предусмотренные законодательством о персональных данных.

Оператор имеет право:

• обрабатывать персональные данные субъекта персональных данных в соответствии с заявленной целью;
• требовать от субъекта персональных данных предоставления достоверных персональных данных, необходимых для исполнения договора, идентификации субъекта персональных данных, а также в иных случаях, предусмотренных законодательством о персональных данных;
• ограничить доступ субъекта персональных данных к его персональным данным в случае, если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством Российской Федерации;
• обрабатывать персональные данные, разрешенные субъектом персональных данных для распространения с учетом положений ст. 10.1. 152–ФЗ;
• осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
• поручить обработку персональных данных другому лицу с согласия субъекта персональных данных;
• иные права, предусмотренные законодательством о персональных данных.

4. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ КЛИЕНТА

4.1. Защита персональных данных Клиента от неправомерного их использования или утраты обеспечивается оператором за счет собственных средств в порядке, установленном законодательством РФ.

4.2. Персональные данные Клиентов хранятся в электронном виде на серверах виртуального хостинга ООО «ТАЙМВЭБ.КЛАУД» (ОГРН: 1227800052215, ИНН/КПП: 7810945525/781001001, юридический адрес: 196006, Санкт-Петербург, улица Заставская, дом 22, к.2, лит. А, помещ. 303). Сервера виртуального хостинга располагаются в дата-центрах уровня TIER III, соответствующих международным стандартам безопасности и имеющих коэффициент отказоустойчивости не менее 99,98%. Дата-центры находятся по следующим адресам:

• Россия, г. Санкт-Петербург, ул. Цветочная, д. 21, лит. А (зоны доступности SPB-1 и SPB-2);
• Россия, г. Санкт-Петербург, ул. Жукова, д. 43 (зоны доступности SPB-3 и SPB-4);
• Россия, г. Новосибирск, дп. Кудряшовский, ул. Светлая 21;
• Республика Казахстан, г. Алматы, ул. Макатаева 117А, БЦ «Лотос», 4 этаж;
• Нидерланды, Paul van Vlissingenstraat 16, 1096 BK Амстердам.

ООО "ТАЙМВЭБ.КЛАУД" обеспечивает высокий уровень безопасности и конфиденциальности данных, соответствующий требованиям Федерального закона «О защите персональных данных» №152-ФЗ.

Если у вас есть дополнительные вопросы или требуется помощь, пожалуйста, свяжитесь по адресу info@timeweb.cloud.

5. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе:

• Конституция Российской Федерации;
• Федеральный закон от 27 июля 2006 года №152-ФЗ «О персональных данных»;
• Трудовой кодекс Российской Федерации;
• Гражданский Кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора;
• локальные нормативные акты Оператора;
• согласие Субъекта персональных данных на обработку персональных данных.

6. ОБЕСПЕЧЕНИЕ ВЫПОЛНЕНИЯ ОБЯЗАННОСТЕЙ ОПЕРАТОРА И МЕР ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

Безопасность персональных данных, обрабатываемых Оператором, обеспечивается реализацией правовых, организационных и технических мер, необходимых для обеспечения требований федерального законодательства в области защиты персональных данных.

Для предотвращения несанкционированного доступа к персональным данным Оператором применяются следующие организационно-технические меры:

• назначение ответственного за организацию обработки персональных данных;
• назначение ответственных за обеспечение мер по сохранности персональных данных и исключению несанкционированный к ним доступа;
• назначение ответственного за обеспечение безопасности персональных данных в информационных системах;
• ограничение состава лиц, допущенных к обработке персональных данных;
• ознакомление субъектов с требованиями федерального законодательства и нормативных документов Оператора по обработке и защите персональных данных;
• организация учета, хранения и обращения носителей, содержащих информацию с персональными данными;
• определение угроз безопасности персональных данных при их обработке, формирование на их основе моделей угроз;
• разработка на основе модели угроз системы защиты персональных данных;
• проверка готовности и эффективности использования средств защиты информации;
• разграничение доступа пользователей к информационным ресурсам и программно–аппаратным средствам обработки информации;
• регистрация и учет действий пользователей информационных систем персональных данных;
• использование антивирусных средств и средств восстановления системы защиты персональных данных;
• применение в необходимых случаях средств межсетевого экранирования, обнаружения вторжений, анализа защищенности и средств криптографической защиты информации;
• организация пропускного режима на территорию Оператора, охраны помещений с техническими средствами обработки персональных данных.

7. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

Иные права и обязанности Оператора в связи с обработкой персональных данных определяются законодательством Российской Федерации в области персональных данных.

Работники Оператора, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут материальную, дисциплинарную, административную, гражданско–правовую или уголовную ответственность в порядке, установленном федеральными законами.