Политика обработки персональных данных

1. Общие положения

1.1. Настоящее Положение о персональных данных (далее — Положение) определяет порядок сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (распространения, предоставления, доступа), удаления, уничтожения персональных данных субъектов персональных данных и гарантии конфиденциальности сведений о физических лицах: клиентах и (или) представителях компаний-клиентов, контрагентах и (или) представителях компаний-контрагентов и пользователях сайта ООО «Станкопром», которые предоставили ООО «Станкопром» (далее — Общество) свои персональные данные (далее - субъекты), а также устанавливает ответственность должностных лиц, имеющих доступ к персональным данным субъектов, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.

1.2. Положение разработано в соответствии с Конституцией Российской Федерации, Гражданским кодексом Российской Федерации, Федеральным законом от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных», постановлением Правительства Российской Федерации от 15.09.2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средства автоматизации», Указом Президента Российской Федерации от 06.03.1997 г. № 188 «Об утверждении Перечень сведений конфиденциального характера», Федеральным законом от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»; Уставом ООО «Станкопром».

1.3. Регулирование обработки персональных данных имеет целью защитить персональные данные клиентов, контрагентов и пользователей сайта ООО «Станкопром» от несанкционированного доступа и разглашения. Персональные данные вышеперечисленных лиц являются конфиденциальной, строго охраняемой информацией.

1.4. Сведения о персональных данных относятся к числу конфиденциальных (составляющих охраняемую законом тайну Общества). Режим конфиденциальности в отношении персональных данных снимется в случаях, предусмотренных федеральными законами.

2. Основные понятия

2.1. Для целей настоящего Положения используются следующие основные понятия:

• персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (п. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ в редакции от 25.07.2011 № 261-ФЗ);
• персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном ФЗ №152-ФЗ «О защите персональных данных» (п. 1.1 введен Федеральным [законом](#dst100010) от 30.12.2020 N 519-ФЗ);
• обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ в редакции от 25.07.2011 № 261-ФЗ);
• автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники (п. 4 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ в редакции от 25.07.2011 № 261-ФЗ);
• распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц (п. 5 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ в редакции от 25.07.2011 № 261-ФЗ);
• предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц (п. 6 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ в редакции от 25.07.2011 № 261-ФЗ);
• блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных) (п. 7 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ в редакции от 25.07.2011 № 261-ФЗ);
• уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных (п. 8 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ в редакции от 25.07.2011 № 261-ФЗ);
• обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных (п. 9 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ в редакции от 25.07.2011 № 261-ФЗ);
• информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств (п. 10 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ в редакции от 25.07.2011 № 261-ФЗ);
• трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу (п. 11 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ в редакции от 25.07.2011 № 261-ФЗ).

3. Состав персональных данных

3.1. В состав персональных данных клиентов, контрагентов и пользователей сайта ООО «Станкопром» Общества входят:

• Ф.И.О.
• адрес;
• адрес электронной почты;
• номера телефонов;
• обезличенные данные о посетителях сайта (в том числе, IP-адрес, файлы «cookie», информация о браузере контрагента (или иной программе) и иная подобная информация, которая автоматически передается с помощью сервисов интернет-статистики (Яндекс Метрика и Гугл Аналитика и других);
• платежная информация (реквизиты банковских карт Пользователя, банка);
• иная информация, указываемая субъектом в корреспонденции с Обществом.

Текст настоящего Положения в отношении обработки персональных данных размещается Обществом на веб-сайте http://purelogic.ru

3.4. Источниками, которые содержат персональные данные субъектов персональных данных, являются:

• договоры гражданско-правового характера (в том числе: счета, счета-договоры);
• информация с официального сайта purelogic.ru или e-mail с доменом @purelogic.ru.

4. Обработка, хранение и доступ к персональным данным клиентов, контрагентов и пользователей сайта ООО «Станкопром»

4.1. В целях обеспечения прав и свобод клиентов, контрагентов и пользователей сайта ООО «Станкопром» Общество и его представители при обработке персональных данных субъекта обязаны соблюдать следующие общие требования:

4.1.1. Обработка персональных данных может осуществляться исключительно для целей, связанных с взаимодействием субъекта персональных данных с Обществом: выбор товаров и (или) услуг, реализуемых или приобретаемых Обществом; заключение договора; оплата товара и (или) услуг; доставка товара; получение товара и (или) услуг; обмен письмами и документами; подписка на рассылки Общества.

4.1.2. Персональные данные ООО «Станкопром» получает непосредственно от клиентов, контрагентов или пользователей сайта. Общество вправе получать персональные данные от третьих лиц только при наличии письменного согласия субъекта персональных данных или в иных случаях, прямо предусмотренных в законодательстве.

4.1.3. Общество должно сообщить субъекту персональных данных о целях и способах получения персональных данных, а также о последствиях отказа дать согласие на их получение.

4.1.4. Общество не вправе требовать от субъекта персональных данных представления персональных данных, которые будут избыточны для целей обработки, которые преследует Общество.

4.1.5. Субъект персональных данных представляет Обществу достоверные сведения о себе.

4.1.6. Чтобы обрабатывать персональные данные субъектов персональных данных, Общество получает от каждого субъекта согласие на обработку его персональных данных с использованием информационной системы путем размещения согласия на сайте purelogic.ru в виде чекбокса с галочкой согласия. Субъект ставит галочку «согласен» в чекбоксе формы для сбора данных напротив ссылки на согласие на сайте purelogic.ru. Отправленная заявка с проставленной галочкой сохраняется на сайте. Общество размещает уведомление о сборе данных и куки (cookies) на своем сайте.

4.1.7. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных в любой момент. Для этого необходимо направить в Общество письменное уведомление об отзыве согласия.

4.1.8. Согласие не требуется в случаях:

• персональные данные являются общедоступными;
• предоставления по требованию полномочных государственных органов — в случаях, предусмотренных действующим законодательством.

4.2. Согласие на обработку персональных данных клиентов, контрагентов и пользователей сайта ООО «Станкопром» должно содержать:

• ФИО субъекта;
• контактные данные;
• наименование и адрес оператора;
• цель обработки;
• перечень данных, на обработку которых субъект дает согласие;
• перечень данных, на обработку которых субъект устанавливает запреты и (или) ограничения;
• срок выдачи согласия;
• данные интернет-сайта, на котором будут обрабатываться персональные данные.

4.3. Все меры конфиденциальности при сборе, обработке и хранении персональных данных субъекта распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.

4.4. Не допускается отвечать на вопросы, связанные с передачей персональной информации, по телефону или факсу.

4.5. Персональные данные субъектов персональных данных хранятся в бумажном виде в архиве и в электронном виде в локальной компьютерной сети на хостинге (в облачном хранилище) сайта purelogic.ru. Доступ к электронным базам данных, содержащим персональные данные субъектов персональных данных, обеспечивается двухступенчатой системой паролей: на уровне локальной компьютерной сети и на уровне баз данных.

4.6. Хранение персональных данных должно происходить в порядке, исключающем их утрату или их неправомерное использование.

4.7. Право доступа к персональным данным клиентов, контрагентов и пользователей сайта ООО «Станкопром» имеют:

• директор Общества;
• управляющий директор;
• руководитель финансового департамента;
• сотрудники бухгалтерии для выполнения ими своих служебных обязанностей;
• сотрудники дирекции информационных технологий;
• сотрудники отдела автоматизации;
• сотрудники планово-экономического отдела;
• сотрудники дирекции продаж;
• сотрудники дирекции технического контроля и сервиса;
• другие сотрудники организации при выполнении ими своих служебных обязанностей.

4.8. Перечень лиц, имеющих доступ к персональным данным клиентов, контрагентов и пользователей сайта ООО «Станкопром», определяется приказом директора Общества.

5. Использование персональных данных

5.1. Персональные данные используются для целей, связанных с взаимодействием субъекта персональных данных с Обществом: выбор товаров и (или) услуг, реализуемых или приобретаемых Обществом; заключение договора; оплата товара и (или) услуг; доставка товара; получение товара и (или) услуг; обмен письмами и документами; подписка на рассылки Общества.

5.2. Персональные данные, представленные субъектом персональных данных, обрабатываются автоматизированным и без использования средств автоматизации способами. Персональные данные хранятся столько, сколько нужно для достижения целей их обработки.

5.3. После истечения срока нормативного хранения документов, которые содержат персональные данные субъектов персональных данных, документы подлежат уничтожению. Документы с истекшими сроками хранения подлежат уничтожению в шредере. Персональные данные в электронном виде стираются с информационных носителей, либо физически уничтожаются сами носители, на которых хранится информация.

6. Передача и распространение персональных данных

6.1. При передаче Обществом персональных данных субъект персональных данных должен дать на это отдельное согласие в письменной или электронной форме.

6.2. Общество вправе передать информацию, которая относится к персональным данным, без согласия субъекта персональных данных, если такие сведения нужно передать по запросу государственных органов, в порядке, установленном законодательством.

6.3. Общество не вправе распространять персональные данные третьим лицам без согласия субъекта персональных данных на передачу таких данных.

6.4. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.

6.5. В случае если из предоставленного субъектом персональных данных согласия на распространение персональных данных не следует, что он согласился с распространением персональных данных, такие персональные данные обрабатываются Обществом без права распространения.

6.6. Согласие на распространение персональных данных может быть предоставлено Обществу непосредственно в бумажной форме или с использованием информационной системы путем размещения согласия на сайте purelogic.ru в виде чекбокса с галочкой согласия. Субъект ставит галочку «согласен» в чекбоксе формы для сбора данных напротив ссылки на согласие на сайте purelogic.ru. Отправленная заявка с проставленной галочкой сохраняется на сайте. При необходимости ее можно выгрузить и использовать в качестве доказательства того, что субъект дал свое согласие.

6.7. Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по его требованию. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта, а также перечень персональных данных, обработка которых подлежит прекращению.

6.8. Действие согласия субъекта персональных данных на распространение персональных данных прекращается с момента поступления Обществу требования, указанного в пункте 6.7 настоящего Положения.

7. Защита персональных данных

7.1. Защита персональных данных представляет собой жестко регламентированный и динамически технологический процесс, предупреждающий нарушение доступности, целостности, достоверности и конфиденциальности персональных данных и, в конечном счете, обеспечивающий достаточно надежную безопасность информации в процессе управленческой и производственной деятельности Общества.

7.2. Защита персональных данных субъекта от неправомерного их использования или утраты должна быть обеспечена Обществом за счет его средств в порядке, установленном федеральным законом.

7.3. Внутренняя защита.

7.3.1. Для обеспечения внутренней защиты персональных данных необходимо соблюдать ряд мер:

• ограничение и регламентация состава работников, функциональные обязанности которых требуют доступа к персональным данным клиентов, контрагентов и пользователей сайта ООО «Станкопром»;
• обоснованное распределение документов и информации между работниками;
• знание работником требований нормативно-методических документов по защите информации и сохранении тайны;
• наличие необходимых условий в помещении для работы с документами и базами данных;
• определение и регламентация состава работников, имеющих право доступа (входа) в помещение, в котором находится вычислительная техника;
• организация порядка уничтожения информации;
• своевременное выявление нарушения требований разрешительной системы доступа работниками подразделения;
• не допускается выдача документов, содержащих сведения о персональных данных клиентов, контрагентов и пользователей сайта ООО «Станкопром».

7.3.2. Документы, содержащие персональные данные, хранятся в запирающихся кабинетах, обеспечивающих защиту от несанкционированного доступа, в помещениях, доступ к которым ограничен для определенного круга лиц.

7.3.3. Защита персональных данных клиентов, контрагентов и пользователей сайта ООО «Станкопром» на электронных носителях.

7.3.3.1. Все папки, содержащие персональные данные субъектов, должны иметь ограниченный доступ (только для сотрудников, имеющих допуск).

7.3.3.2. Электронно-вычислительные машины, средствами которых осуществляется работа с персональными данными, должны иметь парольную систему доступа.

7.4. Внешняя защита.

7.4.1. Для защиты конфиденциальной информации создаются целенаправленные неблагоприятные условия и труднопреодолимые препятствия для лица, пытающегося совершить несанкционированный доступ и овладение информацией.

7.4.2. Посторонние лица не должны знать распределение функций, рабочие процессы, технологию составления, оформления, ведения и хранения документов, дел и рабочих материалов в структурных подразделениях, уполномоченных на обработку персональных данных.

7.4.3. Для обеспечения внешней защиты персональных данных необходимо разрабатывать и соблюдать организационные меры и использовать технические средства и системы в соответствии законодательством Российской Федерации.

7.5. Все лица, связанные с получением, обработкой и защитой персональных данных, обязаны не разглашать персональные данные клиентов, контрагентов и пользователей сайта ООО «Станкопром».

8. Расследования инцидентов по фактам утечки персональных данных

8.1. Инцидент — это несанкционированная утечка любых персональных данных (неправомерная или случайная передача).

В течение 24 часов Оператор уведомляет Роскомнадзор о произошедшем инциденте, его предполагаемых причинах и последствиях. В течение 72 часов Оператор проводит расследование инцидента в соответствии с внутренним регламентом расследования и сообщает контролирующему органу о его результатах.

8.2. Источником информации об инциденте информационной безопасности может служить следующее:

• автоматические уведомления системы защиты информации (СЗИ), возникающие при выявлении фактов нарушения установленной политики безопасности предприятия;
• данные, полученные на основании анализа журналов регистрации событий операционной системы и СЗИ;
• сообщения работников, контрагентов Общества в виде письменных заявлений, служебных записок, писем, телефонных звонков, сообщений по электронной почте и т.д.

8.3. При получении информации об инциденте необходимо убедиться в достоверности полученной информации (например, путем совершения «обратного» звонка по указанным в сообщении телефонам, проверки данных указанных в подписи сообщения или названных при звонке).

Работник, получивший информацию об инциденте, должен сообщить об этом начальнику подразделения. Начальник подразделения передает информацию руководителю Общества.

Все инциденты информационной безопасности должны регистрироваться в электронной и бумажном журналах регистрации инцидентов.

8.4. Для разбора инцидентов информационной безопасности создается комиссия. Для этого работодатель издаёт приказ о проведении проверки, в котором определяет сроки проверки (не более 3-х суток), лицо, которому поручено её проведение, срок представления материалов проверки и заключения по её результатам.

Комиссия обязана установить имела ли место утечка персональных данных и обстоятельства ей сопутствующие, установить лица, виновные в нарушении предписанных мероприятий по защите информации, установить причины и условия, способствовавшие нарушению.

По окончании разбора инцидента информационной безопасности комиссией оформляется отчет.

В отчете должно быть описано следующее:

• первичное обнаружение;
• предпринятые действия с указанием времени;
• состав инцидента;
• возможные последствия инцидента;
• причина возникновения инцидента;
• предложения по недопущению подобных инцидентов в будущем.

Отчет предоставляется руководителю Общества для утверждения, после чего отчет передается в Роскомнадзор.

9. Ответственность за разглашение конфиденциальной информации, связанной с персональными данными

9.1. Руководитель, разрешающий доступ сотрудника к конфиденциальному документу, несет персональную ответственность за данное разрешение.

9.2. Каждый сотрудник организации, получающий для работы конфиденциальный документ, несет единоличную ответственность за сохранность носителя и конфиденциальность информации.

9.3. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных работника, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.

10. Заключительные положения

10.1. Порядок ввода в действие и изменения Положения:

10.1.1. Положение вступает в силу с момента утверждения его директором Общества и действует бессрочно, до замены его новым положением.

10.1.2. Все изменения в Положение вносятся соответствующим приказом.

10.1.3. Все работники Общества должны быть ознакомлены с настоящим Положением под подпись.