Политика конфиденциальности

Положение об обработке и защите персональных данных в базах персональных данных, владельцем которых является продавец

Содержание

Общие понятия и сфера применения
Перечень баз персональных данных
Цель обработки персональных данных
Порядок обработки персональных данных: получение согласия, уведомление о правах и действия с персональными данными субъекта персональных данных
Местонахождение базы персональных данных
Условия раскрытия информации о персональных данных третьим лицам
Защита персональных данных: способы защиты, ответственное лицо, работники, непосредственно осуществляющие обработку и/или имеющие доступ к персональным данным в связи с выполнением своих служебных обязанностей, срок хранения персональных данных
Права субъекта персональных данных
Порядок работы с запросами субъекта персональных данных
Государственная регистрация базы персональных данных

1. Общие понятия и сфера применения

1.1. Определение терминов: база персональных данных — именованная совокупность упорядоченных персональных данных в электронной форме и/или в форме картотек персональных данных; ответственное лицо — определённое лицо, которое организует работу, связанную с защитой персональных данных при их обработке, в соответствии с законом; владелец базы персональных данных — физическое или юридическое лицо, которому законом либо с согласия субъекта персональных данных предоставлено право на обработку этих данных, которое утверждает цель обработки персональных данных в данной базе данных, устанавливает состав этих данных и процедуры их обработки, если иное не определено законом; Государственный реестр баз персональных данных — единая государственная информационная система сбора, накопления и обработки сведений о зарегистрированных базах персональных данных; общедоступные источники персональных данных — справочники, адресные книги, реестры, списки, каталоги и другие систематизированные сборники открытой информации, содержащие персональные данные, размещённые и опубликованные с ведома субъекта персональных данных. Не считаются общедоступными источниками персональных данных социальные сети и интернет-ресурсы, в которых субъект персональных данных оставляет свои персональные данные, кроме случаев, когда субъектом персональных данных прямо указано, что персональные данные размещены с целью их свободного распространения и использования. согласие субъекта персональных данных — любое документированное добровольное волеизъявление физического лица относительно предоставления разрешения на обработку его персональных данных в соответствии со сформулированной целью их обработки; обезличивание персональных данных — удаление сведений, позволяющих идентифицировать лицо; обработка персональных данных — любое действие или совокупность действий, осуществлённых полностью или частично в информационной (автоматизированной) системе и/или в картотеках персональных данных, связанных со сбором, регистрацией, накоплением, хранением, адаптацией, изменением, обновлением, использованием и распространением, обезличиванием и уничтожением сведений о физическом лице; персональные данные — сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано; распорядитель базы персональных данных — физическое или юридическое лицо, которому владельцем базы персональных данных либо законом предоставлено право обрабатывать эти данные. субъект персональных данных — физическое лицо, в отношении которого в соответствии с законом осуществляется обработка его персональных данных; третье лицо — любое лицо, кроме субъекта персональных данных, владельца или распорядителя базы персональных данных и уполномоченного государственного органа по вопросам защиты персональных данных, которому осуществляется передача персональных данных в соответствии с законом. Особые категории данных — персональные данные о расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в политических партиях и профессиональных союзах, а также данные, касающиеся здоровья или половой жизни. 1.2. Настоящее Положение обязательно для применения ответственным лицом и сотрудниками продавца, которые непосредственно осуществляют обработку и/или имеют доступ к персональным данным в связи с выполнением своих служебных обязанностей.

2. Перечень баз персональных данных

2.1. Продавец является владельцем базы персональных данных контрагентов.

3. Цель обработки персональных данных

3.1. Персональные данные обрабатываются с целью обеспечения гражданско-правовых отношений, оформления и выполнения заказов, предоставления и получения товаров и услуг, а также проведения соответствующих расчётов и ведения учёта в соответствии с законодательством Украины.

4. Порядок обработки персональных данных

4.1. Согласие субъекта персональных данных является добровольным волеизъявлением физического лица на обработку его персональных данных в соответствии с определённой целью такой обработки.

4.2. Согласие на обработку персональных данных может предоставляться в письменной или электронной форме, в том числе:

путём подписания документа на бумажном носителе, позволяющего идентифицировать лицо;
посредством электронного документа, содержащего сведения, необходимые для идентификации лица и документа;
путём подтверждения соответствующего согласия на электронной странице сайта или в электронном файле, обрабатываемом информационной системой.

4.3. Согласие на обработку персональных данных предоставляется при оформлении гражданско-правовых отношений в соответствии с действующим законодательством Украины.

4.4. При предоставлении персональных данных субъект уведомляется о цели их сбора и обработки, своих правах, а также о лицах, которым такие данные могут передаваться в случаях, предусмотренных законодательством или необходимых для выполнения соответствующих правоотношений.

4.5. Продавец не осуществляет обработку специальных категорий персональных данных, в частности сведений о расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в политических партиях или профессиональных союзах, а также данных о состоянии здоровья или половой жизни, кроме случаев, прямо предусмотренных законодательством Украины.

5. Местонахождение базы персональных данных

5.1. Базы персональных данных, указанные в настоящем Положении, находятся по месту осуществления деятельности Продавца и/или размещаются в используемых им информационных системах.

6. Условия раскрытия персональных данных третьим лицам

6.1. Доступ третьих лиц к персональным данным осуществляется на основании согласия субъекта персональных данных либо в случаях, предусмотренных законодательством Украины.

6.2. Персональные данные не передаются третьему лицу, если такое лицо не может обеспечить соблюдение требований законодательства Украины в сфере защиты персональных данных.

6.3. Лицо, которое имеет законные основания для получения доступа к персональным данным, вправе направить соответствующий запрос владельцу персональных данных.

6.4. В запросе должны содержаться сведения, позволяющие идентифицировать заявителя и лицо, в отношении которого запрашиваются данные, а также информация о запрашиваемых персональных данных и основаниях для такого обращения.

Для физического лица в запросе могут указываться:

фамилия, имя и отчество;
место проживания или пребывания;
сведения документа, удостоверяющего личность;
данные, позволяющие идентифицировать лицо, сведения о котором запрашиваются;
перечень запрашиваемых персональных данных;
цель и правовые основания запроса.

Для юридического лица дополнительно указываются его наименование, местонахождение, данные уполномоченного представителя и подтверждение соответствующих полномочий.

6.5. Решение о возможности удовлетворения запроса принимается в срок, предусмотренный законодательством Украины. Заявителю сообщается о предоставлении данных либо об основаниях, по которым соответствующая информация не может быть предоставлена.

6.6. Если предоставить необходимые сведения в установленный срок невозможно, срок рассмотрения может быть продлён в порядке, предусмотренном законодательством Украины.

6.7. О продлении срока рассмотрения запроса заявитель уведомляется с указанием причины и срока, в течение которого запрос будет рассмотрен.

6.8. Уведомление о продлении срока может содержать сведения об ответственном лице, дате уведомления, причине продления и новом сроке рассмотрения.

6.9. В предоставлении доступа к персональным данным может быть отказано в случаях, когда такой доступ ограничен или запрещён законодательством.

6.10. В случае отказа заявителю сообщаются причина отказа и иные сведения, предусмотренные законодательством.

6.11. Решение об отказе или отсрочке предоставления доступа к персональным данным может быть обжаловано в установленном законом порядке.

7. Защита персональных данных

7.1. Продавец принимает организационные и технические меры, направленные на защиту персональных данных от случайной утраты, уничтожения, незаконного доступа, изменения, копирования, распространения и других неправомерных действий.

7.2. Работа по защите персональных данных организуется ответственным лицом, определённым Продавцом. Его полномочия и обязанности устанавливаются внутренними документами.

7.3. Ответственное лицо, в частности:

контролирует соблюдение требований законодательства Украины о защите персональных данных;
организует порядок доступа работников к персональным данным;
обеспечивает соблюдение внутренних правил обработки и защиты данных;
контролирует соблюдение установленных процедур;
сообщает о выявленных нарушениях;
обеспечивает хранение документов, подтверждающих наличие необходимых согласий на обработку персональных данных.

7.4. Для выполнения своих обязанностей ответственное лицо вправе получать документы и сведения, необходимые для организации защиты персональных данных, принимать участие в обсуждении соответствующих процессов и предлагать меры по совершенствованию системы защиты.

7.5. Работники, имеющие доступ к персональным данным, обязаны соблюдать законодательство Украины и внутренние требования Продавца в сфере обработки и защиты персональных данных.

7.6. Лица, получившие доступ к персональным данным в связи с выполнением профессиональных или трудовых обязанностей, обязаны не допускать их незаконного разглашения. Такая обязанность сохраняется и после прекращения соответствующей деятельности, если иное не предусмотрено законом.

7.7. Лица, нарушившие требования законодательства в сфере защиты персональных данных, несут ответственность в соответствии с законодательством Украины.

7.8. Персональные данные хранятся не дольше, чем это необходимо для достижения целей их обработки, с учётом требований законодательства и условий предоставленного субъектом согласия.

8. Права субъекта персональных данных

8.1. Субъект персональных данных имеет право:

получать информацию о владельце и местонахождении базы персональных данных, содержащей его данные;
получать сведения об условиях доступа к своим персональным данным и о третьих лицах, которым они могут передаваться;
получать доступ к собственным персональным данным;
получать информацию о том, обрабатываются и хранятся ли его персональные данные;
предъявлять обоснованные возражения против обработки своих персональных данных в случаях, предусмотренных законодательством;
требовать изменения или удаления недостоверных либо незаконно обрабатываемых персональных данных;
требовать защиты своих данных от незаконной обработки, утраты, уничтожения, повреждения или неправомерного распространения;
обращаться в государственные органы и другие уполномоченные учреждения по вопросам защиты персональных данных;
использовать предусмотренные законодательством способы правовой защиты в случае нарушения своих прав.

9. Порядок работы с запросами субъекта персональных данных

9.1. Субъект персональных данных вправе получать информацию о собственных персональных данных в порядке и пределах, предусмотренных законодательством Украины.

9.2. Доступ субъекта персональных данных к информации о себе предоставляется бесплатно, если иное не предусмотрено законом.

9.3. Для получения доступа субъект направляет запрос владельцу персональных данных.

В запросе указываются:

фамилия, имя и отчество;
место проживания или пребывания;
сведения документа, удостоверяющего личность;
другая информация, позволяющая идентифицировать заявителя;
информация о базе персональных данных либо её владельце или распорядителе;
перечень персональных данных, к которым запрашивается доступ.

9.4. Запрос рассматривается в сроки, предусмотренные законодательством Украины. По результатам рассмотрения субъекту сообщается о возможности предоставления информации либо об основаниях для отказа.

9.5. Персональные данные предоставляются субъекту в срок и порядке, предусмотренных действующим законодательством Украины.

10. Государственная регистрация базы персональных данных

10.1. Вопросы государственной регистрации и ведения баз персональных данных регулируются действующим законодательством Украины, в том числе Законом Украины «О защите персональных данных».