Индивидуальный предприниматель Емельянова Галина Михайловна Далее - ИП Емельянова Г. М.) является оператором, который организует и осуществляет обработку персональных данных, а также определяет цели обработки персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Настоящее Положение об обработке и хранению персональных данных клиентов ИП ЕМЕЛЬЯНОВА Г. М. и их контрагентов, иных лиц, имеющих отношение к клиентам, а также пользователей сайта ИП ЕМЕЛЬЯНОВОЙ Г. М. (далее – Положение) в отношении обработки и защиты персональных данных, является внутренним документом ИП ЕМЕЛЬЯНОВОЙ Г. М.
Поскольку ИП ЕМЕЛЬЯНОВА Г. М. осуществляет обработку персональных данных с использованием сети «Интернет», неограниченный доступ к настоящему Положению обеспечивается посредством опубликования (размещения) его на сайте ИП ЕМЕЛЬЯНОВА Г. М.: hotel-aleksandria.com.
Положение определяет правила и порядок обработки и хранения персональных данных (ПД) клиентов — лиц, заключивших договоры возмездного оказания услуг с ИП ЕМЕЛЬЯНОВОЙ Г. М., их контрагентов – лиц, являющихся второй стороной сделки клиента, иных лиц, имеющих отношение к клиентам, имеющих отношение к клиенту ИП ЕМЕЛЬЯНОВОЙ Г. М. и пользователей корпоративного сайта ИП ЕМЕЛЬЯНОВОЙ Г. М.: hotel-aleksandria.com, разместивших свои персональные данные на сайте.
Положение определяет обработку ПД в информационных системах (ИС) обработки персональных данных и в неавтоматизированном виде.
Настоящее Положение разработано в соответствии с:
- Конституцией Российской Федерации;
- Гражданским кодексом Российской Федерации;
- Трудовым кодексом Российской Федерации;
- Федеральным законом от 27 июля 2006 года №152-ФЗ «О персональных данных»;
- Федеральным законом от 27 июля 2006 года №149-ФЗ «Об информации, информационных технологиях и защите информации»;
- Постановлением Правительства Российской Федерации от 1 ноября 2012 года №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
- Постановлением Правительства Российской Федерации от 15 сентября 2008 года №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
- Приказом ФСТЭК России от 18 февраля 2013 года №21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»
1. Основные понятия и определения
1.1. Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
1.2. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
1.3. Защищаемая информация – информация, определённая перечнем защищаемой информации, утвержденным руководителем ИП ЕМЕЛЬЯНОВОЙ Г. М.
1.4. Информационная система персональных данных (ИСПД) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
1.5. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
1.6. Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно, или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
1.7. Персональные данные (ПД) – любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
1.8. Субъект – физическое лицо, которое прямо или косвенно определено или определяемо с помощью ПД.
1.9. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.
1.10. Роскомнадзор – Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), которая является федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки ПД требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы. Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных.
1.11. Система защиты персональных данных – совокупность программных, аппаратных и технических средств защиты информации, используемых для обеспечения информационной безопасности информационных систем.
1.12. Сотрудник, ответственный за организацию обработки персональных данных – сотрудник ИП ЕМЕЛЬЯНОВОЙ Г. М. назначенный ответственным за организацию обработки и обеспечение защиты ПД у ИП ЕМЕЛЬЯНОВОЙ Г. М.
1.13. Угрозы безопасности персональных данных – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение ПД, а также иные неправомерные действия при их обработке в информационной системе персональных данных.
1.14. Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители ПД.
1.15. Уровень защищённости – под уровнем защищённости персональных данных понимается комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности ПД при их обработке в информационных системах персональных данных.
1.16. Клиент – физическое лицо (в том числе: представитель физического лица, индивидуальный предприниматель, представитель индивидуального предпринимателя, руководитель или иной уполномоченный представитель юридического лица), находящееся в договорных отношениях с ИП ЕМЕЛЬЯНОВОЙ Г. М. и предоставившее свои ПД для обработки в добровольном порядке.
1.17. Контрагент клиента — физическое лицо, не являющееся клиентом ИП ЕМЕЛЬЯНОВОЙ Г. М., однако являющееся стороной (продавцом, покупателем, представителем) в договоре с клиентом, передающее свои ПД ИП ЕМЕЛЬЯНОВОЙ Г. М. на основании согласия на обработку ПД.
2. Цели обработки персональных данных
2.1. Основание и цели обработки ПД на предприятии устанавливаются в соответствии с типом субъекта:
2.1.1. Клиент – на основании согласия субъекта на обработку ПД и для достижения следующих целей:
2.1.1.1. обеспечение соблюдения законов и иных нормативно-правовых актов;
2.1.1.2. исполнение договорных отношений между ИП ЕМЕЛЬЯНОВОЙ Г. М. и субъектом ПД.
2.1.2. Контрагент клиента – на основании согласия субъекта на обработку ПД или ином законном основании и для достижения следующих целей:
2.1.2.1. обеспечение соблюдения законов и иных нормативно-правовых актов;
2.1.2.2. исполнение договорных отношений между ИП ЕМЕЛЬЯНОВОЙ Г. М. и клиентом.
2.1.3. Иные лица, имеющие отношение к клиенту – туристические агенты, представители клиента и другие — на основании согласия субъекта на обработку ПД или на ином законном основании и для достижения следующих целей:
2.1.3.1. обеспечение соблюдения законов и иных нормативно-правовых актов;
2.1.3.2. исполнение договорных отношений между ИП ЕМЕЛЬЯНОВОЙ Г. М. и клиентом.
2.1.4. Пользователи корпоративного сайта ИП ЕМЕЛЬЯНОВОЙ Г. М.:
2.1.4.1. для информационного обеспечения ИП ЕМЕЛЬЯНОВА Г. М., клиентов ИП ЕМЕЛЬЯНОВОЙ Г. М. и других пользователей сайта ИП ЕМЕЛЬЯНОВОЙ Г. М. персональными данными сделанными общедоступными самим субъектом персональных данных посредством размещения их им самим на сайте.
2.2. Персональные данные субъекта могут обрабатываться только для достижения целей установленных в пункте 2.1 для конкретного типа субъектов ПД.
2.3. Субъект предоставляет ПД в объёме, необходимом для достижения целей.
2.4. Субъект даёт согласие Предприятию на обработку своих ПД:
2.4.1. Клиент – при заключении договора возмездного оказания услуг. Хранение производится на бумажном носителе вместе с договором возмездного оказания услуг.
2.4.2. Контрагент клиента – при установлении договорных отношений с клиентом, либо в другой законной форме. Согласие хранится на бумажном носителе вместе с договором возмездного оказания услуг с клиентом.
2.4.3. Иные лица, имеющие отношение к клиенту – при обращении к ИП ЕМЕЛЬЯНОВОЙ Г. М. Согласие хранится на бумажном носителе вместе с договором возмездного оказания услуг с клиентом.
2.4.4. Пользователи корпоративного сайта – добровольное размещение непосредственно субъектом своих ПД на корпоративном сайте ИП ЕМЕЛЬЯНОВОЙ Г. М. подтверждает согласие субъекта на обработку его персональных данных ИП ЕМЕЛЬЯНОВОЙ Г. М. и не требует его письменного согласия на обработку.
2.5. Согласие субъекта должно содержать следующие сведения:
2.5.3. фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
2.5.4. наименование и адрес оператора, получающего согласие субъекта персональных данных;
2.5.5. цель обработки персональных данных;
2.5.6. перечень персональных данных, на обработку которых даётся согласие субъекта персональных данных;
2.5.7. перечень действий с персональными данными, на совершение которых даётся согласие, общее описание используемых оператором способов обработки ПД;
2.5.8. срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
2.5.9. подпись субъекта персональных данных.
3. Условия обработки персональных данных
3.1. У ИП ЕМЕЛЬЯНОВОЙ Г. М. осуществляется автоматизированная и неавтоматизированная обработка ПД субъектов.
3.2. Обработка персональных данных клиента, его контрагента и иных лиц, имеющих отношение к клиенту, прекращается в течение 30 дней с момента достижения целей обработки. В дальнейшем ПД хранятся на бумажных носителях и в информационной системе ИП ЕМЕЛЬЯНОВОЙ Г. М. в архивных папках. Срок хранения ПД, в том числе Согласий на обработку установлен: для клиентов, контрагентов клиентов и иных лиц, имеющих отношение к Клиентам: 5 лет с момента заключения договора возмездного оказания услуг с ИП ЕМЕЛЬЯНОВА Г. М. (для клиентов) и 5 лет с момента обращения к ИП ЕМЕЛЬЯНОВОЙ Г. М. (для контрагентов клиентов, иных лиц, имеющих отношение к клиентам). Пользователи корпоративного сайта ИП ЕМЕЛЬЯНОВА Г. М., передавшие свои ПД для размещения в общедоступной информационной системе сами, в любой момент могут удалить эти данные.
3.3. Любые действия с ПД субъекта без письменного его согласия или любого другого основания, установленного Федеральным законом №152-ФЗ «О персональных данных», а также пунктом 2.1 настоящего Положения, запрещены.
3.4. Сбор специальных категорий ПД субъектов, в том числе информации об их расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни ИП ЕМЕЛЬЯНОВОЙ Г. М. не производится.
3.5. Сотрудники ИП ЕМЕЛЬЯНОВОЙ Г. М., допущенные к обработке ПД, проходят инструктаж и соблюдают нормы законодательства в области защиты ПД и локальных нормативно-правовых актов ИП ЕМЕЛЬЯНОВОЙ Г. М.. Сотрудники, не прошедшие инструктаж, к обработке ПД не допускаются.
3.6. В случае выявления недостоверных ПД или неправомерных действий с ними при обращении или по запросу субъекта, ИП ЕМЕЛЬЯНОВА Г. М. обязана осуществить блокирование ПД в соответствии с действующим законодательством.
3.7. В случае подтверждения факта неточности персональных данных ИП ЕМЕЛЬЯНОВА Г. М. на основании сведений, представленных субъектом, его представителем, либо уполномоченным органом по защите прав субъектов ПД, или иных необходимых документов, обязано уточнить ПД в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.
3.8. Уничтожение ПД производится под контролем должностного лица, ответственного за организацию обработки ПД. Об уничтожении составляется акт.
3.9. В случае отзыва субъектом согласия на обработку его ПД, ИП ЕМЕЛЬЯНОВА Г. М. обязана прекратить их обработку в случае, если сохранение ПД более не требуется для целей обработки ПД и не противоречит законодательству или прекратить их обработку в части. ИП ЕМЕЛЬЯНОВА Г. М. обязана уничтожить ПД или часть персональных данных в срок, не превышающий тридцати дней с даты поступления указанного отзыва.
4.Ответственный за организацию обработки ПД
4.1. ИП ЕМЕЛЬЯНОВА Г. М. назначает сотрудника, ответственного за организацию обработки ПД.
4.2. Сотрудник, ответственный за организацию обработки ПД обязан:
4.2.1.осуществлять внутренний контроль за соблюдением ИП ЕМЕЛЬЯНОВОЙ Г. М. и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
4.2.2.доводить до сведения работников ИП ЕМЕЛЬЯНОВОЙ Г. М. положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, внутренних требований к защите персональных данных;
4.2.3. проводить инструктаж по вопросам ПД;
4.2.4. координировать работы по защите ПД.
4.2.5. организовывать приём и обработку обращений и запросов субъектов или их представителей и (или) осуществлять контроль за приёмом и обработкой таких обращений и запросов;
4.2.6. вести журнал учёта запросов и ответов на запросы по вопросам ПД и инцидентов, связанных с ПД субъектов
5. Права субъекта
5.1. Клиент (Субъект) имеет право:
5.1.1. на получение информации, касающейся обработки его ПД, в том числе содержащей:
— подтверждение факта обработки персональных данных;
— правовые основания и цели обработки ПД;
— цели и применяемые способы обработки ПД;
— наименование и адрес оператора, сведения о лицах, которые имеют доступ к ПД и условия передачи ПД;
— срок обработки ПД, в том числе срок их хранения;
— иные сведения, предусмотренные Федеральным законом № 152-ФЗ «О персональных данных» или другими федеральными законами.
5.1.2. на отзыв данного ранее согласия на обработку ПД, в соответствии с Федеральным законом №152-ФЗ «О персональных данных».
5.2. Сведения должны быть предоставлены субъекту в доступной форме, и в них не должны содержаться ПД, относящиеся к другим субъектам.
5.3. Если субъект ПД считает, что ИП ЕМЕЛЬЯНОВА Г. М. осуществляет обработку его ПД с нарушением требований действующего законодательства или иным образом нарушает его права и свободы, субъект ПД вправе обжаловать действия или бездействие оператора в Роскомнадзоре или в судебном порядке.
6.Порядок запроса сведений субъектом ПД
6.1. Сведения, запрашиваемые субъектом, предоставляются ему или его представителю при получении запроса, оформленного в соответствии с Федеральным законом №152-ФЗ «О персональных данных». Запрос должен содержать обязательные поля:
6.1.1. фамилию, имя, отчество заявителя;
6.1.2. реквизиты основного документа, удостоверяющего личность;
6.1.3. сведения, подтверждающие факт отношений субъекта и ИП ЕМЕЛЬЯНОВОЙ Г. М. (номер договора, дату заключения договора, срок работы, договор или копию договора), либо сведения, иным способом подтверждающие факт обработки ПД ИП ЕМЕЛЬЯНОВОЙ Г. М.;
6.1.4. личную подпись субъекта либо его представителя и дату составления запроса. Полномочия представителя должны быть оформлены в соответствии с действующим законодательством Российской Федерации.
6.2. Оформленный запрос предоставляется сотруднику, ответственному за организацию обработки ПД.
6.3. Сотрудник, ответственный за организацию обработки ПД, проверяет представленный запрос и готовит запрашиваемую субъектом информацию в виде ответного письма за подписью руководителя ИП ЕМЕЛЬЯНОВОЙ Г. М. в срок не более 30 дней, в другом случае, в течение указанного срока, готовит мотивированный законодательством отказ.
6.4. Субъект вправе обратиться повторно к ИП ЕМЕЛЬЯНОВОЙ Г. М. или направить повторный запрос в целях получения запрошенных сведений, и ознакомления с такими ПД не ранее чем через 30 дней после первоначального запроса или по факту получения ответа на первоначальное обращение, в том числе, если запрошенные сведения, а также обрабатываемые ПД были предоставлены для ознакомления субъекту не в полном объёме. Повторный запрос должен содержать обоснование направления повторного запроса.
6.5. ИП ЕМЕЛЬЯНОВА Г. М. вправе отказать субъекту в выполнении повторного запроса, в случае несоответствия перечисленным выше условиям.
6.6. Право субъекта на доступ к его ПД, обрабатываемым ИП ЕМЕЛЬЯНОВОЙ аИСГ. М., может быть ограничено в соответствии с федеральными законами.
7.Обеспечение безопасности ПД
7.1. Безопасность ПД достигается путем исключения несанкционированного, в том числе случайного, доступа к ПД, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение ПД, а также иных несанкционированных действий, которые могут повлечь за собой изменение, блокирование, удаление, распространение и другие действия с ПД.
7.2. Безопасность ПД при их обработке в ИС обеспечивается с помощью системы защиты ПД, включающей организационные меры и средства защиты информации, средства предотвращения несанкционированного доступа, технические средства защиты, а также используемые в информационной системе информационные технологии.
7.3. Обмен ПД при их обработке в информационных системах осуществляется по каналам связи, защита которых обеспечивается путем реализации соответствующих организационных мер и путем применения технических средств.
7.4. Размещение информационных систем, режим доступа в помещения, охрана и организационные меры обеспечивают сохранность носителей ПД и средств защиты информации, а также исключают возможность неконтролируемого проникновения в помещение посторонних лиц.
7.5. При обработке ПД в ИС должно быть обеспечено:
7.5.1. проведение мероприятий, направленных на предотвращение несанкционированного доступа к ПД и (или) передачи их лицам, не имеющим права доступа к такой информации;
7.5.2. своевременное обнаружение фактов несанкционированного доступа к ПД;
7.5.3. недопущение воздействия на технические средства автоматизированной обработки ПД, в результате которого может быть нарушено их функционирование;
7.5.4. возможность восстановления ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
7.5.5. контроль за обеспечением уровня защищенности ПД.
7.6. Мероприятия по обеспечению безопасности ПД при их обработке в ИС включают в себя:
7.6.1. определение угроз безопасности ПД при их обработке, формирование на их основе модели угроз;
7.6.2. разработку на основе модели угроз системы защиты ПД, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты персональных данных, предусмотренных для соответствующего уровня защищённости ИС;
7.6.3. проверку готовности средств защиты информации к использованию;
7.6.4. установку и ввод в эксплуатацию средств защиты информации в соответствии с эксплуатационной и технической документацией;
7.6.5. обучение лиц, использующих средства защиты информации, применяемые в информационных системах, правилам работы с ними;
7.6.6. учёт применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей ПД;
7.6.7. учёт лиц, допущенных к работе с ПД в ИС;
7.6.8. расследование и выявление действий сотрудников, приводящих к нарушению конфиденциальности ПД или другим нарушениям, приводящим к снижению уровня защищённости ПД, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений.
7.7. Перечень сотрудников ИП ЕМЕЛЬЯНОВОЙ Г. М., допускаемых в силу исполнения своих служебных обязанностей к ПД, устанавливается руководителем ИП ЕМЕЛЬЯНОВОЙ Г. М..
7.8. Сотрудники, допущенные к обработке ПД, в соответствии с п. 7.7 несут ответственность за нарушения правил обработки ПД, установленную действующим законодательством РФ и локальными нормативными актами оператора.
8.Особенности неавтоматизированной обработки ПД
8.1. Неавтоматизированная обработка ПД клиентов ИП ЕМЕЛЬЯНОВОЙ Г. М. заключается в работе с бумажными носителями информации, содержащими ПД субъектов.
8.2. К бумажным носителям ПД относятся:
8.2.1. Договоры возмездного оказания услуг, приложения к ним, Предварительные договоры, Соглашения (договоры) об авансовом платеже с покупателем, Соглашения о задатке, в случае если они содержат ПД и позволяют идентифицировать субъекта;
8.2.2. ксерокопии документов, удостоверяющих личность субъекта;
8.2.3. другие бумажные носители, содержащие ПД субъектов (паспортные данные (вид документа, серия и номер документа, орган, выдавший документ, дата выдачи документа); доверенность; правоустанавливающие документы на недвижимое имущество; свидетельство о праве собственности на недвижимое имущество; технические документы на недвижимое имущество; свидетельство о браке; свидетельство о расторжении брака; свидетельство о рождении несовершеннолетних детей; распоряжение органов опеки и попечительства на совершение сделки с недвижимым имуществом, сертификат на материнский (семейный) капитал, справка о перемене имени, а также другие документы и их ксерокопии, в том числе номер контактного телефона, ксерокопии технических и правоустанавливающих документов на объекты недвижимости, документов, подтверждающие государственную регистрацию права на объект недвижимости, анкеты клиентов и др.).
8.3. У ИП ЕМЕЛЬЯНОВОЙ Г. М. установлены следующие требования к хранению бумажных носителей ПД:
8.3.1 срок хранения для бумажных носителей ПД, устанавливается пунктом 8.3.2 настоящего Положения;
8.3.2. бумажные носители ПД хранятся в специально отведенных местах, определяемых руководителем ИП ЕМЕЛЬЯНОВОЙ Г. М., за сохранность документов несет ответственность сотрудник, ответственный за организацию обработки персональных данных;
8.3.3. запрещается хранение бумажных носителей ПД в местах, доступных для ознакомления посторонними лицами;
8.4. У ИП ЕМЕЛЬЯНОВОЙ Г. М. установлены следующие требования к уничтожению бумажных носителей ПД:
8.4.1. уничтожение бумажных носителей ПД может проводиться при помощи технических средств (уничтожителей бумаги), путём разрезания вручную или путем сжигания. При этом должна быть обеспечена невозможность восстановления ПД из остатков носителя;
8.4.2. уничтожение бумажных носителей должно проходить в присутствии ответственного за организацию обработки ПД и должно оформляться актом.
8.5. Не допускается фиксация на одном бумажном носителе ПД, цели обработки которых заведомо не совместимы. В случае обработки различных категорий ПД, осуществляемой без использования средств автоматизации, для каждой категории персональных данных должен использоваться отдельный материальный носитель.
8.6. При хранении бумажных носителей ПД должны соблюдаться условия, обеспечивающие сохранность ПД и исключающие несанкционированный к ним доступ.
9.Заключительные положения
9.1. ИП ЕМЕЛЬЯНОВА Г. М. оставляет за собой право вносить изменения в настоящее Положение. Изменения вносятся путем издания новой редакции настоящего Положения. Новая редакция Положения вступает в силу со дня её утверждения. Предыдущая редакция теряет силу с момента утверждения новой редакции.
9.2. Иные локальные нормативные акты ИП ЕМЕЛЬЯНОВОЙ Г. М. должны издаваться в соответствии с настоящим Положением и законодательством в области персональных данных.
9.3. Вопросы, не урегулированные настоящим Положением, разрешаются в соответствии с законодательством Российской Федерации. В отношении защиты субъектов персональных данных граждан иных стран (не Российской Федерации) ИП ЕМЕЛЬЯНОВА Г. М. могут учитываться положения законодательства страны, гражданином которой является субъект персональных данных.
