Personal Data Processing Policy

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящий документ определяет Политику Индивидуального предпринимателя Гришиной Анны Евгеньевны (ОГРНИП: 314774630400872, ИНН: 773205910923 (далее – ИП Гришина А.Е., Оператор) в отношении обработки персональных данных (далее «Политика»).

1.2. Настоящая Политика разработана в соответствии с действующим законодательством Российской Федерации о персональных данных и является локальным актом Оператора.

1.3. Действие настоящей Политики распространяется на все процессы по сбору, записи, систематизации, накоплению, хранению, уточнению, извлечению, использованию, передачи (распространению, предоставлению, доступу), обезличиванию, блокированию, удалению, уничтожению персональных данных, осуществляемых с использованием средств автоматизации и без использования таких средств.

1.4. Политика определяет:

- цели обработки персональных данных;

- категории и перечень обрабатываемых персональных данных;

- категории субъектов, персональные данные которых обрабатываются;

- способы, сроки обработки и хранения;

- порядок уничтожения персональных данных при достижении целей обработки или при наступлении иных законных оснований;

- меры по выполнению обязанностей оператора в обеспечении безопасности персональных данных при их обработке.

1.5. В целях применения настоящей Политики применяются следующие основные понятия:

1.5.1. информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

1.5.2. контрагент – уполномоченные представители юридических лиц; физические лица; индивидуальные предприниматели, заключившие с Оператором договоры гражданско-правового характера;

1.5.3. обработка персональных данных – сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение и передача персональных данных;

1.5.4. Оператор – Индивидуальный предприниматель Гришина Анна Евгеньевна (ОГРНИП: 314774630400872, ИНН: 773205910923, адрес: Москва, улица Островитянова, дом 9 к4, квартира 163);

1.5.5. персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

1.5.6. смешанная обработка персональных данных – обработка персональных данных, осуществляющаяся с использованием средств автоматизации и без использования таких средств;

1.5.7. субъект персональных данных – контрагенты, обработка персональных данных которых осуществляется Оператором и регламентируется настоящей Политикой.

2. ОБЩИЕ УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Оператор обрабатывает персональные данных контрагентов.

2.2. Цели, перечень и категории персональных данных, обрабатываемых по каждой цели, правовые основания, способы обработки, сроки обработки и хранения, а также порядок уничтожения персональных данных установлены в Приложении № 1 к настоящей Политике.

2.3. Документами, содержащими персональные данные, являются:

- договоры;

- доверенности;

- справки о постановке на учет в качестве налогоплательщика налога на профессиональный доход;

- справки о постановке на учет в качестве индивидуального предпринимателя;

- иные документы, создаваемые или получаемые Оператором в процессе ведения хозяйственной деятельности, или обрабатываемые согласно действующему законодательству РФ.

2.4. Оператор осуществляет обработку персональных данных следующими способами:

- смешанная обработка персональных данных.

2.5. При сборе персональных данных Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), обезличивание, блокирование, удаление, уничтожение, извлечение и передачу персональных данных с использованием баз данных, находящихся на территории Российской Федерации.

3. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе, но не ограничиваясь:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.

3.2. Правовым основанием обработки персональных данных также являются:

• соблюдение законодательства Российской Федерации;
• заключение и исполнения договора.

3.3. Субъектами персональных данных, обрабатываемых Оператором, являются:

• Контрагенты.

4. ПОРЯДОК УТОЧНЕНИЯ, БЛОКИРОВАНИЯ И УНИЧТОЖЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Порядок уничтожения персональных данных:

4.1.1. Уничтожение персональных данных производится в случаях:

- выявления неправомерной обработки персональных данных, в том числе по обращению субъекта или уполномоченного органа, если обеспечить правомерность обработки персональных данных невозможно – в течение 10 рабочих дней с даты выявления неправомерной обработки персональных данных;

- получения требования субъекта, если его персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки – в течение 7 дней со дня представления субъектом данных;

- отзыва согласия на обработку персональных данных, если сохранение персональных данных более не требуется для целей обработки персональных данных – в течение 30 дней с даты поступления указанного отзыва;

- достижения цели обработки персональных данных или утраты необходимости в достижении этих целей – в течение 30 дней с даты достижения цели обработки персональных данных.

4.1.2. Отбор материальных носителей (документы, жесткие диски, флеш-накопители и т.п.) и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению, осуществляет Оператор.

4.1.3. Оператор составляет перечень документов, иных материальных носителей и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению, проверяет обоснованность необходимости уничтожения персональных данных и выносит соответствующее решение.

4.1.4. Информация на бумажных носителях (документы, содержащие персональные данные, а также черновики и редакции документов, и испорченные бланки документов) подлежит уничтожению путем измельчения техническими средствами, исключающими возможность дальнейшего использования.

4.1.5. Информация на электронных носителях подлежит уничтожению путем механического нарушения целостности носителя, не позволяющего произвести считывание или восстановление персональных данных, или удаления с электронных носителей методами и средствами гарантированного удаления остаточной информации. Подлежащие уничтожению файлы с персональными данными, расположенные на жестком диске компьютера, удаляются средствами операционной системы компьютера с последующим «очищением корзины», либо применяется программное удаление («затирание») содержимого диска путем его форматирования с последующей записью новой информации на данный носитель.

4.1.6. После уничтожения данных формируется Акт об уничтожении данных. Факт уничтожения персональных данных фиксируется в Журнале регистрации уничтожения персональных данных. В случае, если обработка персональных данных осуществлялась с использованием средств автоматизации, к Акту прикладывается Выгрузка из журнала регистрации событий в информационной системе (лог-файл).

4.1.7. Выгрузка из журнала регистрации событий в информационной системе, содержащей персональные данные, должна содержать:

- фамилию, имя, отчества субъектов персональных данных, чьи персональные данные были уничтожены;

- перечень категорий, уничтоженных персональных данных;

- наименование информационной системы, из которой были уничтожены персональные данные;

- причину уничтожения;

- дату уничтожения.

4.1.8. Акты об уничтожении персональных данных и выгрузки из журнала регистрации событий хранятся 3 (три) года с даты уничтожения персональных данных.

4.2. Порядок уточнения персональных данных:

4.2.1. Уточнение персональных данных производится в случаях:

- получения требования субъекта, если его персональные данные являются неполными, устаревшими, неточными;

- выявления Оператором фактов содержания неполных, устаревших, неточных персональных данных субъекта;

- получения требования от уполномоченного органа по защите прав субъектов персональных данных.

4.2.2. Оператор вносит уточнения в персональные данные субъекта (путем обновления или изменения) и уведомляет об этом субъекта. Срок внесения уточнения составляет – 7 дней со дня представления требования субъектом или выявления факта недостоверности данных.

4.3. Порядок блокирования персональных данных:

4.3.1. Блокирование персональных данных производится в случаях:

- выявления неправомерной обработки персональных данных, в том числе по обращению субъекта или уполномоченного органа.

4.3.2. Оператор при получении обращения осуществляет следующие действия:

- проводит проверку фактов, указанных в обращении;

- устанавливает запрет на редактирование персональных данных;

- осуществляет изъятие материальных носителей, содержащих персональные данные.

4.3.3. Блокировка начинается с момента получения обращения и действует на период проверки.

4.3.4. По окончании проверки Оператор уведомляет об этом лицо, направившее обращение.

5. ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА И СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Оператор обязан:

- осуществлять обработку персональных данных субъектов исключительно в целях, предусмотренных законом и Приложением № 1 к Политике;

- при определении объема и содержания обрабатываемых персональных данных руководствоваться Конституцией Российской Федерации, Федеральным законом № 152-ФЗ, Федеральным законом № 149-ФЗ и иными нормативными правовыми актами;

- обеспечить защиту персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий;

- обеспечивать ознакомление субъектов с документами, устанавливающими порядок обработки персональных данных, а также об их правах и обязанностях;

5.2. Субъект вправе:

- получать доступ к персональным данным, за исключением случаев, когда доступ ограничивается в соответствии с требованиями законодательства РФ;

- получать достоверную информацию об обработке персональных данных, в том числе подтверждение факта обработки, о целях и способах обработки, сроках обработки и пр.;

- требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

- отозвать согласие на обработку персональных данных;

- обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействие Оператора при обработке его персональных данных.

6. МЕРЫ ПО ВЫПОЛНЕНИЮ ОБЯЗАННОСТЕЙ ОПЕРАТОРА В ОБЕСПЕЧЕНИИ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ

6.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в том числе:

• определяет угрозы безопасности персональных данных при их обработке;
• принимает локальные нормативные акты и иные документы, регулирующие отношения в сфере обработки и защиты персональных данных;
• хранит персональные данные в условиях, при которых обеспечивается их сохранность и исключается неправомерный доступ к ним;
• производит оценку вреда, который может быть причинен субъекту в случае нарушения законодательства о персональных данных;
• осуществляет обнаружение фактов несанкционированного доступа к персональным данным и принимает меры по их устранению;
• осуществляет внутренний контроль и аудит соответствия обработки персональных данных законодательству РФ.

7. РАССМОТРЕНИЕ ЗАПРОСОВ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Доступ субъекта персональных данных к своим персональным данным предоставляется при обращении либо при получении запроса этого субъекта персональных данных или его законного представителя.

7.2. Информация о наличии персональных данных о субъекте персональных данных, а также возможность ознакомления с ними предоставляется сразу либо в течение 10 (десяти) рабочих дней с момента обращения или с момента получения письменного запроса субъекта персональных данных или его представителя.

7.3. Запрос субъекта персональных данных или его представителя должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного либо уполномоченного представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (например, номер и дата заключенного договора) или иные сведения, подтверждающие факт обработки персональных данных Оператором, подпись субъекта персональных данных или его законного либо уполномоченного представителя.

7.4. Запрос может быть направлен в электронной форме и подписан электронной подписью в соответствии с законодательством Российской Федерации.

7.4.1. Электронный адрес для направления запроса Оператору:______________________.

7.4.2. Юридический адрес для направления запроса Оператору: ___________________.

8. ПОРЯДОК ДЕЙСТВИЙ ПРИ НЕПРАВОМЕРНОЙ, СЛУЧАЙНОЙ ПЕРЕДАЧИ (ПРЕДОСТАВЛЕНИИ, РАСПРОСТРАНЕНИИ, ДОСТУПЕ) ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1. В случае установления факта неправомерной или случайной передачи (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов, Оператор обязан с момента выявления такого инцидента уведомить уполномоченный орган по защите прав субъектов персональных данных:

1) в течение 24 часов о произошедшем инциденте, о предполагаемых причинах, предполагаемом нанесенном вреде, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;

2) в течение 72 часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

8.2. При выявлении нарушений в сфере защиты персональных данных и иной конфиденциальной информации, Оператор вносит информацию о таких нарушениях в Журнал регистрации выявленных нарушений в сфере защиты ПДн и иной конфиденциальной информации.

9. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

9.1. Политика вступает в силу с момента её утверждения приказом и действует до введения новой.

9.2. Все Приложения являются неотъемлемыми частями настоящей Политики и обязательны к соблюдению Оператором.

9.3. В случае изменения законодательства Российской Федерации или принятия локального нормативного акта Оператора, содержащего нормы, отличные от данной Политики, Политика утрачивает силу лишь в части противоречащих норм до принятия изменений или утверждения новой редакции Политики. Изменения или новая редакция Политики в таком случае должны быть утверждены в максимально короткие срок.

9.5. Политика действует в отношении всех субъектов персональных данных, чьи персональные данные обрабатывает Оператор. Оператор вправе принимать отдельные локальные акты, регулирующие обработку персональных данных отдельных категорий субъектов.

9.6. Все вопросы, не урегулированные в данной Политике, регулируются в соответствии с действующим законодательством Российской Федерации.