Политика о работе с персональными данными

Политика в отношении обработки персональных данных ООО «Системный софт»

1.       Общие положения

1.1. Основные понятия

1.2. Сфера действия

Настоящая политика (далее – «Политика») разработана в соответствии с требованиями Конституции Российской Федерации, Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных»), иными нормативными правовыми актами в области персональных данных и их защиты.

Цель Политики – обеспечить защиту прав и свобод физических лиц при обработке их персональных данных.

Политика определяет:

·    принципы, цели, способы и сроки обработки (хранения) персональных данных;

·    категории Субъектов и перечень персональных данных, которые обрабатывает Оператор в процессе своей деятельности;

·    меры Оператора по защите персональных данных Субъектов;

·    права и обязанности Оператора и субъектов в процессе обработки персональных данных;

·    порядок рассмотрения обращений Субъектов ПДн.

ООО «Системный софт» вправе в одностороннем порядке вносить изменения в Политику.

Любой Субъект персональных данных может ознакомиться с актуальной версией Политики по адресу: https://www.syssoft.ru/kompaniya/uridicheskie-dokumenti/politika-zashchity-personalnykh-dannykh/.

1.3. Принципы обработки персональных данных

·    обработка персональных данных на законной и справедливой основе;

·    ограничение обработки конкретными, заранее определенными и законными целями;

·    отказ от обработки данных способами, несовместимыми с целями их сбора;

·    отказ от объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

·    обработка только тех данных, которые соответствуют целям их обработки;

·    соответствия содержания и объема обрабатываемых данных заявленным целям;

·    отказа от обработки избыточных данных;

·    обеспечения точности, достаточности, а при необходимости, актуальности данных по отношению к целям обработки;

·    хранения данных в форме, позволяющей определить Субъекта, не дольше, чем того требуют цели обработки, если иной срок хранения не установлен законом или договором. По достижении целей обработки или при утрате в ней необходимости данные подлежат уничтожению, если закон не предписывает иное.

2.       Условия и порядок обработки персональных данных

2.1. Основные условия обработки ПДн

Обработка персональных данных Оператором допускается только при наличии хотя бы одного из следующих условий, предусмотренных статьей 6 Федерального закона №152-ФЗ, а именно:

·    Субъект дал согласие на обработку своих персональных данных;

·    обработка необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;

·    обработка необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;

·    обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является Субъект персональных данных, а также для заключения договора по инициативе Субъекта персональных данных или договора, по которому Субъект персональных данных будет являться выгодоприобретателем или поручителем;

·    обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов Субъекта персональных данных, если получение согласия Субъекта персональных данных невозможно;

·    обработка необходима для осуществления прав и законных интересов оператора или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы Субъекта персональных данных;

·    осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом;

·    обеспечение безопасности и стабильной работы веб-сайта Оператора и связанных с ним ИТ-систем, в том числе защита от мошенничества.

2.2. Категории Субъектов и перечень обрабатываемых ПДн

Оператор может обрабатывать персональные данные следующих категорий Субъектов:

·    клиенты и контрагенты (физические лица), в том числе потенциальные;

·    представители, сотрудники клиентов и контрагентов (юридических лиц), в том числе потренциальных;

·    иные посетители сайта и мероприятий.

Обработка персональных данных сотрудников и соискателей ООО «Системный софт» регулируется отдельным локальным нормативным актом. Для получения информации об обработке персональных данных сотрудников следует обратиться в отдел кадров Общества.

В рамках указанных категорий Оператор обрабатывает следующие персональные данные:

·    Фамилия;

·    Имя;

·    Отчество (при наличии);

·    Место работы (при наличии);

·    Должность (при наличии);

·    Номер контактного телефона;

·    Адрес электронной почты.

Оператор не обрабатывает «персональные данные особых категорий» (сведения о расовой и этнической принадлежности, религиозных или философских убеждениях, сексуальной жизни, сексуальной ориентации, политических взглядах, участии в профсоюзах, а также данные о здоровье, генетические и биометрические данные).

Обработка персональных данных с целью проведения статистических и иных исследований в обезличенном виде Оператором не осуществляется.

2.3. Порядок обработки cookie

Обработка файлов cookie и аналогичных технологий

Файлы cookie (куки) — это небольшие текстовые файлы, которые Оператор размещает на устройстве Субъекта для хранения данных. Их считывает веб-сервер в домене, где они созданы. Обычно эти данные представляют собой набор букв и цифр, который уникально идентифицирует компьютер и/или иное устройство. Субъекта, но может содержать и другую информацию. Некоторые файлы cookie размещают третьи стороны от имени Оператора.

Технически необходимые cookie используются для обеспечения работы сайта, безопасности и базовой функциональности (например, запоминания входа в систему).

Аналитические cookie используются для анализа трафика. Подробнее об обработке файлов cookie в Политике использования файлов cookies ООО «Системный софт» по этой ссылке.

2.4. Цели обработки персональных данных

Оператор обрабатывает данные, чтобы иметь возможность:

·    исполнять договоры и предоставлять необходимые права на использование программного обеспечения, товары и услуги (далее – Продукты);

·    обеспечивать работу и безопасность сервисов Оператора, адаптировать интерфейс для удобства работы с ним;

·    отвечать на обращения Субъектов и поддерживать взаимодействие;

·    проводить маркетинговые мероприятия;

·    отправлять рекламные и информационные сообщения на основе отдельного согласия Субъекта с возможностью его последующего отзыва.

2.5. Способы обработки ПДн

·    автоматизированная с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;

·    смешанная обработка персональных данных.

Обработка персональных данных для каждой цели обработки осуществляется путем:

·    получения персональных данных в письменной форме непосредственно от Субъектов персональных данных;

·    внесения персональных данных в информационные системы Оператора;

·  использования иных способов обработки персональных данных.

2.6. Сроки обработки и хранения персональных данных

Оператор прекращает обработку персональных данных в следующих случаях:

·    достижение цели обработки, если конкретный срок не указан в согласии Субъекта или ином документе, регулирующем отношения между Субъектом и Оператором;

·    истечение срока или отзыва согласия Субъектом ПДн, при отсутствии условий для обработки, указанных в п. 2.1. Политики;

·    истечение срока хранения документов в соответствии с требованиями законодательства.

2.7. Согласие на обработку персональных данных

Получение согласия

Согласие может быть получено в письменной форме, в форме электронного документа, подписанного квалифицированной электронной подписью Субъекта, либо посредством совершения Субъектом однозначных подтверждающих действий в информационной системе Оператора (например, проставление отметки в веб-интерфейсе при регистрации или настройках), направленных на выражение согласия.

Отзыв согласия Субъектом

Субъект может в любой момент отозвать свое согласие на обработку персональных данных, направив Оператору уведомление на электронный адрес quality@syssoft.ru с пометкой «Отзыв согласия на обработку персональных данных», если иной порядок не указан в самом согласии.

Оператор вправе продолжить обработку персональных данных без согласия в случаях, предусмотренных в п. 2.1. Политики.

2.8. Передача данных третьим лицам

Оператор вправе поручать обработку персональных данных контрагентам (обработчикам), которые оказывают услуги по поддержке ИТ-инфраструктуры, обработке платежей, аналитике, проведению маркетинговых кампаний и т.п.

С каждым таким обработчиком Оператор заключает договор, который обязывает его соблюдать конфиденциальность, обеспечивать безопасность данных и обрабатывать данные строго в соответствии с инструкциями Оператора и только для тех целей, для которых данные были переданы. Обработчик не вправе обрабатывать переданные данные в своих целях. При необходимости передать данные третьему лицу Оператор запрашивает у Субъекта отдельное согласие с указанием данных такого обработчика.

ООО «Системный софт» не осуществляет трансграничную передачу персональных данных (передачу на территорию иностранного государства иностранному лицу) и обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

2.9. Порядок блокирования персональных данных

Основания блокирования ПДн:

·    обращение (запрос) Субъекта;

·    требование Роскомнадзора.

Сроки блокирования: с момента получения обращения/требования до окончания проверки.

Блокировка персональных данных включает следующие этапы:

·    запрет на редактирование персональных данных;

·    запрет на распространения персональных данных любыми средствами (e-mail, сотовая связь, материальные носители);

·    запрет на использование персональных данных в массовых рассылках (sms, e-mail, почта);

·    изъятие из внутреннего документооборота Оператора и запрет использования бумажных документов, относящихся к Субъекту и содержащих его персональные данные.

Оператор может временно снять блокировку персональных данных, если это требуется для соблюдения законодательства РФ.

2.10. Порядок уничтожения персональных данных

Оператор уничтожает персональные данные в следующих случаях

Уничтожение персональных данных осуществляет комиссия, состав которой утверждается приказом генерального директора Оператора. В состав комиссии в обязательном порядке включается лицо, ответственное за организацию обработки персональных данных в Обществе.

Персональные данные на бумажных носителях уничтожаются с использованием шредера. Персональные данные на электронных носителях уничтожаются путем механического нарушения целостности носителя, не позволяющего считать или восстановить персональные данные, а также путем удаления данных с электронных носителей методами и средствами гарантированного удаления остаточной информации.

Комиссия подтверждает уничтожение персональных данных согласно Требованиям к подтверждению уничтожения персональных данных, утвержденным Приказом Роскомнадзора от 28.10.2022 N 179, а именно:

·    актом об уничтожении персональных данных - если данные обрабатываются без использования средств автоматизации;

·    актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе персональных данных - если данные обрабатываются с использованием средств автоматизации либо одновременно с использованием и без использования таких средств.

Акт может составляться на бумажном носителе или в электронной форме, подписанной электронными подписями.

После составления акта об уничтожении персональных данных и выгрузки из журнала регистрации событий в информационной системе персональных данных комиссия передает их для последующего хранения. Акты и выгрузки из журнала хранятся в течение трех лет с момента уничтожения персональных данных.

2.11.  Уведомление об утечке персональных данных

При выявлении Оператором, Роскомнадзором или иным заинтересованным лицом факта неправомерной или случайной передачи (предоставления, распространения) персональных данных (доступа к персональным данным), повлекшей нарушение прав субъектов персональных данных, Оператор:

в течение 24 часов - уведомляет Роскомнадзор о произошедшем инциденте, предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, предполагаемом вреде, нанесенном правам субъектов персональных данных, и принятых мерах по устранению последствий инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором по вопросам, связанным с инцидентом;

в течение 72 часов - уведомляет Роскомнадзор о результатах внутреннего расследования выявленного инцидента и предоставляет сведения о лицах, действия которых стали его причиной (при наличии).

2.12.  Меры Оператора по защите ПДн

·    определение угроз безопасности данных в информационных системах;

·    применение организационных и технических мер для достижения требуемого уровня защищенности;

·    оценка соответствия средств защиты информации;

·    оценка эффективности принимаемых мер по обеспечению безопасности перед запуском системы в эксплуатацию;

·    учет машинных носителей персональных данных;

·    обнаружение фактов несанкционированного доступа к данным и принятие мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;

·    восстановление данных, измененных или уничтоженных из-за несанкционированного доступа к ним;

·    установление правил доступа к данным и ведение журнала всех действий с ними;

·    контроль эффективности мер безопасности и уровня защищенности систем;

·    контроль доступа в помещения, где обрабатываются данные;

·    организация пропускного режима на территорию Оператора;

·    размещение технических средств обработки данных на охраняемой территории;

·    поддержание средств охраны и сигнализации в рабочем состоянии;

·    мониторинг действий пользователей и расследование нарушений безопасности данных.

3.       Права Субъекта и обязанности Оператора при обработке персональных данных

3.1. Права Субъекта

·    получать информацию об обработке его персональных данных;

·    требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

·    отозвать согласие на обработку персональных данных;

·    обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

3.2. Обязанности Оператора

·    получать согласия субъектов, если это необходимо для обработки персональных данных;

·    по запросу Субъекта предоставлять информацию об обработке его данных или обоснованно отказать;

·    разъяснять Субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку, если получение согласия обязательно;

·    по запросу Субъекта уточнять, блокировать или удалять неполные, устаревшие, неточные, незаконно полученные или ненужные данные, а если обработку ведет другой исполнитель — обеспечить эти действия;

·    осуществлять обработку персональных данных с использованием баз данных, находящихся на территории Российской Федерации;

·    хранить персональные данные не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором, стороной которого является Субъект;

·    уничтожать данные после завершения обработки, а если обработку ведет другой исполнитель — обеспечить эти действия;

·    обеспечивать защиту персональных данных Субъектов;

·    вести журнал обращений Субъектов, где фиксировать запросы и факты предоставления данных.

·    уведомлять Роскомнадзор и субъектов ПДн в случаях утечки данных, как это предусмотрено разделом 2.11. Политики.

4.       Порядок рассмотрения обращений (запросов)

Для реализации своих прав, а также для получения разъяснений по вопросам обработки персональных данных, Субъект может направить обращение ответственному за информационную безопасность:

Почтовый адрес: 125373, Россия, г. Москва, Походный проезд, дом 4, корпус 1, этаж 7, помещение XII, комната 19, офис 702.

Электронная почта: quality@syssoft.ru.

Обращение должно содержать:

·    ФИО Субъекта ПДн;

·    номер основного документа, удостоверяющего личность, сведения о дате выдачи указанного документа и выдавшем его органе;

·    сведения, подтверждающие участие Субъекта ПДн в отношениях с оператором (номер договора, дата его заключения, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;

·    суть обращения;

·    контактные данные для ответа;

·    подпись Субъекта персональных данных или его представителя.

Для защиты данных и предотвращения мошенничества Оператор вправе запросить дополнительную информацию для подтверждения личности, а также уточнить детали запроса.

Оператор рассмотрит обращение и направит ответ в течение 10 рабочих дней с даты получения обращения. Оператор может продлить срок, но не более, чем на 10 календарных дней обязательным уведомлением Субъекта.

Ответ предоставляется в той же форме, в которой было направлено обращение, если иное не указано в самом запросе.

Оператор ведет журнал учета обращений субъектов персональных данных, в котором фиксируются факты получения обращений и предоставления ответов на них.

5.       Ответственность

В случае неисполнения положений Политики и требований законодательства в области персональных данных Оператор несет ответственность в соответствии с законодательством Российской Федерации.

В случае поручения обработки персональных данных другому лицу (обработчику) ответственность перед Субъектом персональных данных за действия указанного обработчика несет Оператор. Обработчик несет ответственность перед Оператором.