ПОЛИТИКА

оператора в отношении обработки и защиты персональных данных

в информационных системах филиала Екатеринбургский АО «Московское ПрОП»

1. Общие положения

1.1. Настоящая Политика в отношении обработки и защиты персональных данных (далее – Политика) является официальным документом, в котором регламентированы процедуры обработки персональных данных в филиале Екатеринбургский АО «Московское ПрОП» (далее – Оператор), а также приведены сведения о реализуемых мерах защиты персональных данных.

1.2. Политика разработана в соответствии с законодательством Российской Федерации в области персональных данных, в том числе Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных». Политика подлежит обновлению в случае необходимости или по требованию законодательства Российской Федерации.

1.3. Действие Политики распространяется на все процессы обработки ПДн Оператора.

1.4. Настоящая Политика является общедоступным документом, декларирующим концептуальные основы деятельности Оператора при обработке ПДн. Оператор публикует Политику на своем официальном сайте в сети интернет, по адресу: https://spop.ru, а также предоставляет неограниченный доступ к ней любому лицу.

1.5. Настоящая Политика вступает в силу с момента ее утверждения Генеральным директором предприятия и действует бессрочно, до замены ее новой Политикой.

1.6. Оператор имеет право вносить изменения в настоящую Политику
в одностороннем порядке в случае изменения нормативных правовых актов Российской Федерации, а также по своему усмотрению.

1.7. В настоящей Политике используются следующие понятия и определения:

Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

Безопасность персональных данных – состояние защищенности информации (данных), при котором обеспечиваются ее (их) конфиденциальность, доступность и целостность.

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Неавтоматизированная обработка персональных данных - обработка персональных данных без использования средств автоматизации, а также обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Оператор персональных данных (оператор) – филиал Екатеринбургский АО «Московское ПрОП».

Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).

Пользователь сайта – физическое лицо, посещающее сайт через Интернет для собственных целей, являющееся одновременно субъектом обработки персональных данных.

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Сайт – совокупность графических и информационных материалов, обеспечивающих их доступность в сети Интернет по сетевому адресу https://spop.ru , предоставляющих информацию о деятельности филиала Екатеринбургский АО «Московское ПрОП», а также реализующий возможность пользователям направить в филиал Екатеринбургский АО «Московское ПрОП» информацию по средствам формы обратной связи.

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Cookies – это файлы, которые хранятся на устройстве пользователя сайта и используются для записи определенных действий на сайте, путем хранения данных, которые могут быть обновлены и восстановлены. Эти файлы содержат данные, которые не наносят ущерба оборудованию. Они используются для записи предпочтений физического лица, таких как выбранный язык и данные доступа, а также для персонализации доступа. Cookies могут также использоваться для хранения информации о том, как пользователь сайта использует сайт.

1.8. Основные права и обязанности Оператора и субъектов персональных данных

1.8.1. Оператор имеет право:

- самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о персональных данных или другими федеральными законами;

- поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку ПДн по поручению Оператора, обязано соблюдать принципы и правила обработки ПДн, предусмотренные Законом о персональных данных, соблюдать конфиденциальность ПДн, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом о персональных данных;

- в случае отзыва субъектом ПДн согласия на обработку ПДн Оператор вправе продолжить обработку ПДн без согласия субъекта ПДн при наличии оснований, указанных в Законе о персональных данных.

1.8.2. Оператор обязан:

- организовывать обработку ПДн в соответствии с требованиями Закона о персональных данных;

- отвечать на обращения и запросы субъектов ПДн и их законных представителей в соответствии с требованиями Закона о персональных данных;

- при сборе ПДн предоставить субъекту ПДн по его просьбе информацию, касающейся обработки его ПДн, предусмотренную частью 7 статьи 14 Закона о персональных данных;

- обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 Закона о персональных данных при сборе ПДн, в том числе посредством информационно-телекоммуникационной сети «Интернет»;

- при обработке ПДн принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;

1.8.3. Субъекты ПДн имеют право на:

- получать информацию, касающуюся обработки его ПДн, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются субъекту ПДн Оператором в доступной форме, и в них не должны содержаться ПДн, относящиеся к другим субъектам ПДн, за исключением случаев, когда имеются законные основания для раскрытия таких ПДн. Перечень информации и порядок ее получения установлен Законом о персональных данных;

- требовать от оператора уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также при отзыве согласия на обработку ПДн.

1.8.4. Субъекты персональных данных обязаны:

- предоставлять Оператору только достоверные данные о себе;

- предоставлять документы, содержащие ПДн в объеме, необходимом для цели обработки;

- сообщать Оператору об уточнении (обновлении, изменении) своих ПДн.

1.8.5. Лица, передавшие Оператору недостоверные сведения о себе, либо сведения о другом субъекте ПДн без согласия последнего, несут ответственность в соответствии с законодательством РФ.

2. Цели и правовые основания обработки персональных данных

2.1. Обработка ПДн осуществляется Оператором на законной и справедливой основе в соответствии с заранее определенными и заявленными целями, а также возложенными на Оператора функциями, полномочиями и обязанностями в соответствии с законодательством Российской Федерации.

2.2. Не допускается обработка ПДн, несовместимая с целями сбора ПДн.

2.3. Обработка ПДн Оператором допускается при наличии согласия субъекта ПДн на обработку его ПДн. Согласие может быть выражено в форме совершения действий, принятия условий договора-оферты, проставления соответствующих отметок, заполнения полей в формах, бланках или оформлено в письменной форме в соответствии с законодательством
Российской Федерации.

2.4. Обработка Оператором ПДн осуществляется для осуществления своей деятельности в соответствии с уставом, но не ограничиваясь, для достижения следующих целей:

2.4.1. Выполнения социальной задачи-обеспечение инвалидов протезами, ортопедической обовью и средствами реабилитации.

2.4.2. Бухгалтерского учёта и требований трудового законодательства РФ.

3. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных

3.1. Для достижения целей обработки ПДн, указанных в пункте 2.4.1 настоящей Политики, Оператором обрабатываются ПДн следующей категории субъектов ПДн:

- лица, желающие получить услуги Оператора и предоставившие Оператору необходимые для этого документы или обратившись в АО «Московское ПрОП» письменно или лично с предложением, заявлением, жалобой (далее – Заявители).

3.2. Оператором обрабатываются следующие категории ПДн субъектов, указанных в пункте 3.1: фамилия, имя, отчество, год рождения, месяц рождения, дата рождения, место рождения, пол, адрес электронной почты, адрес места жительства, адрес регистрации, номер телефона, СНИЛС, ИНН, гражданство, данные документа, удостоверяющего личность, данные документа, содержащиеся в свидетельстве о рождении, реквизиты банковской карты, номер расчетного счета; иные персональные данные, предоставляемые Заявителями.

3.3. Для достижения цели обработки ПДн, указанной в пункте 2.4.2 настоящей Политики, Оператором обрабатываются ПДн следующей категории субъектов ПДн:

- работники, соискатели, родственники работников, уволенные работники, контрагенты, представители контрагентов, клиенты, посетители сайта, выгодоприобретатели по договорам, студенты, законные представители.

3.4. Оператором обрабатываются следующие категории ПДн субъектов, указанных в пункте 3.3: фамилия, имя, отчество, год рождения, месяц рождения, дата рождения, место рождения, семейное положение, социальное положение, пол, адрес электронной почты, адрес места жительства, адрес регистрации, номер телефона, СНИЛС, ИНН, гражданство, данные документа, удостоверяющего личность, данные водительского удостоверения, данные документа, содержащиеся в свидетельстве о рождении, реквизиты банковской карты, номер расчетного счета, номер лицевого счета, профессия, должность, сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации),отношение к воинской обязанности, сведения о воинском учете, сведения об образовании, сведения о состоянии здоровья, национальная принадлежность, сведения о судимости, фото-видео изображение лица, иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства.

3.5. Обработка биометрических ПДн и специальных категорий ПДн, касающихся расовой принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни не осуществляется.

3.6. Оператор не осуществляет трансграничную передачу ПДн субъекта ПДн.

4. Порядок и условия обработки персональных данных

4.1. Обработка ПДн осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации.

4.2. Обработка ПДн для каждой цели обработки, указанной в разделе 3 настоящей Политики, осуществляется с помощью средств автоматизации и без применения таких средств и включает в себя следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение ПДн.

4.3. Условием прекращения обработки ПДн может являться достижение целей обработки ПДн, истечение срока обработки ПДн, отзыв согласия субъекта на обработку его ПДн, а также выявление неправомерной обработки ПДн.

4.4. Хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПДн.

5. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов персональных данных на доступ к персональным данным

5.1. Подтверждение факта обработки ПДн Оператором, правовые основания и цели обработки ПДн, а также иные сведения, указанные в части 7 статьи 14 Федерального закона от 27 июля 2006 г. №152-ФЗ «О персональных данных», предоставляются Оператором субъекту ПДн или его представителю при обращении либо при получении запроса субъекта ПДн или его представителя. В предоставляемые сведения не включаются ПДн, относящиеся к другим субъектам ПДн, за исключением случаев, когда имеются законные основания для раскрытия таких ПДн.

5.2. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации. Если в обращении (запросе) субъекта ПДн не отражены в соответствии с требованиями части 3 статьи 14 Федерального закона от 27 июля 2006 г. №152-ФЗ «О персональных данных» все необходимые сведения или субъект ПДн не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.

5.3. Право субъекта ПДн на доступ к его ПДн может быть ограничено в соответствии с частью 8 статьи 14 Федерального закона от 27 июля 2006 г. №152-ФЗ «О персональных данных», в том числе, если доступ субъекта персональных данных к его ПДн нарушает права и законные интересы третьих лиц.

5.4. Субъект ПДн вправе требовать от Оператора уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав. Срок ответа на обращение субъекта ПДн не может превышать 10 рабочих дней.

5.5. При достижении целей обработки ПДн, а также в случае отзыва субъектом ПДн согласия на их обработку ПДн подлежат уничтожению, если:

- иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПДн;

- Оператор не вправе осуществлять обработку без согласия субъекта ПДн на основаниях, предусмотренных Федеральным законом от 27 июля 2006 г. №152-ФЗ «О персональных данных» или иными федеральными законами;
- иное не предусмотрено другим соглашением между Оператором и субъектом ПДн.

5.6. Отзыв согласия на обработку ПДн может быть направлен в адрес Оператора субъектом ПДн или его представителем одним из следующих способов:

- посредством почтовой связи в письменной форме на бумажном носителе за собственноручной подписью 620027 ул. Луначарского, д.42 г. Екатеринбург;

- на адрес электронной почты Оператора ekaterinburg@mprop.ru  в форме электронного документа, подписанного электронной подписью в соответствии с законодательством Российской Федерации;

- иным способом, указанным в согласии на обработку ПДн, данном субъектом ПДн Оператору в письменной форме.

6. Передача персональных данных третьим лицам

6.1. Оператор не раскрывает и не предоставляет третьим лицам персональные данные без письменного согласия субъекта персональных данных, если иное не установлено Федеральным законом №152-ФЗ «О персональных данных».

6.2. Передача персональных данных третьим лицам допускается в следующих случаях:

- в целях предупреждения угрозы жизни и здоровью субъекта;

- когда согласие субъекта на обработку (в том числе передачу) его персональных данных третьим лицам получено от него в письменном виде при заключении договора с Оператором;

- когда третьи лица оказывают услуги Оператору на основании заключенных договоров, а передача персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем, или поручителем,
по которому является субъект персональных данных;

- в иных случаях, установленных действующим законодательством Российской Федерации.

6.3. Третье лицо, осуществляющее обработку персональных данных по поручению Оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных.

6.4. Оператор несет ответственность перед субъектом персональных данных за действия третьего лица, осуществляющего обработку персональных данных по поручению Оператора. В свою очередь, указанное третье лицо несет ответственность перед Оператором.

7. Меры обеспечения безопасности персональных данных

7.1. Оператор предпринимает необходимые организационные и технические меры для обеспечения безопасности персональных данных от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий.

7.2. Для обеспечения защиты персональных данных, обрабатываемых в информационных системах персональных данных Оператора, проводятся следующие мероприятия:

7.2.1. Назначение ответственных лиц за организацию обработки и обеспечение защиты персональных данных;

7.2.2. Ограничение состава работников Оператора, имеющих доступ к персональным данным;

7.2.3. Определение уровня защищенности персональных данных при обработке в информационных системах персональных данных;

7.2.4. Определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных.

7.2.5. Применение предусмотренных соответствующими нормативными правовыми актами организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных Оператора соответствующего уровня защищенности.

7.2.6. Установление правил разграничения доступа к персональным данным, обрабатываемым в информационных системах персональных данных и обеспечение регистрации и учета всех действий, совершаемых с персональными данными;

7.2.7. Ограничение доступа в помещения, где размещены основные технические средства и системы информационных систем персональных данных и осуществляется неавтоматизированная обработка персональных данных;

7.2.8. Ведение учета машинных носителей персональных данных;

7.2.9. Организация резервирования и восстановления работоспособности информационных систем персональных данных и персональных данных модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

7.2.10. Установление требований к сложности паролей для доступа к информационным системам персональных данных;

7.2.11. Применение средств защиты информации, в том числе прошедших в установленном порядке процедур оценки соответствия по требованиям безопасности информации;

7.2.12. Организация своевременного обновления программного обеспечения, используемого в информационных системах персональных данных и средств защиты информации;

7.2.13. Проведение регулярной оценки эффективности принимаемых мер по обеспечению безопасности персональных данных;

7.2.14. Обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по установлению причин и устранению возможных последствий;

7.2.15. Контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровней защищенности информационных систем персональных данных.

8. Обработка персональных данных на сайте

8.1. Для корректной работы Сайта Оператора https://spop.ru/ как и большинство Сайтов в сети Интернет, использует файлы Cookie, которые собираются в отношении посетителя Сайта.

8.2. Файлы Cookie представляют собой текстовые файлы, которые Сайт просит разместить на компьютере или на других устройствах с поддержкой выхода в интернет. Если ваш браузер настроен на прием файлов Cookie, то он добавляет определенный текст в некий файл.

8.3. Цели сбора файлов Cookie:

- возможность посетителя использовать Сайт;

- сбор статистики использования Сайта;

- аналитика посещений Сайта.

8.4. Если посетитель Сайта не желает, чтобы Правообладатель собирал его данные с помощью файлов Cookie посетитель вправе отключить их сбор в настройках своего браузера.