Утверждаю
Генеральный директор Муравьёв Никита Владимирович 23.08.2023
Положение об обработке и хранении персональных данных клиентов Общества с ограниченной ответственностью «Юридический центр «Фаворит» (далее – ООО «Юридический центр «Фаворит»), их контрагентов, иных лиц, имеющих отношение к клиентам, а также пользователей сайта
ООО «Юридический центр «Фаворит» является оператором, который организует и осуществляет обработку персональных данных, а также определяет цели обработки персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Настоящее Положение об обработке и хранении персональных данных клиентов ООО «Юридический центр «Фаворит» и их контрагентов, иных лиц, имеющих отношение к клиентам, а также пользователей сайта ООО «Юридический центр «Фаворит» (далее – Положение) в отношении обработки и защиты персональных данных, является внутренним документом ООО «Юридический центр «Фаворит».
Поскольку ООО «Юридический центр «Фаворит» осуществляет обработку персональных данных с использованием сети «Интернет», неограниченный доступ к настоящему Положению обеспечивается посредством опубликования (размещения) его на сайте ООО «Юридический центр «Фаворит»: https://favorit-consult.ru/
Положение определяет правила и порядок обработки и хранения персональных данных (ПД) клиентов — лиц, заключивших договоры возмездного оказания услуг с ООО «Юридический центр «Фаворит», их контрагентов – лиц, являющихся второй стороной сделки клиента, иных лиц, имеющих отношение к клиентам – созаемщиков, поручителей клиентов и других лиц, имеющих отношение к клиенту ООО «Юридиче-ский центр «Фаворит» и пользователей корпоративного сайта ООО «Юридический центр «Фаворит»: https://favorit-consult.ru/, разместивших свои персональные данные на сайте.
Положение определяет обработку ПД в информационных системах (ИС) обработки персональных данных и в неавтоматизированном виде.
Настоящее Положение разработано в соответствии с:
• Конституцией Российской Федерации;
• Гражданским кодексом Российской Федерации;
• Трудовым кодексом Российской Федерации;
• Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных»;
• Федеральным законом от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и защите информации»;
• Постановлением Правительства Российской Федерации от 1 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Постановлением Правительства Российской Федерации от 15 сентября 2008 года № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Приказом ФСТЭК России от 18 февраля 2013 года № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
1. Основные понятия и определения
1.1. Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
1.2. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
1.3. Защищаемая информация – информация, определённая перечнем защищаемой информации, утвержденным руководителем ООО «Юридический центр «Фаворит».
1.4. Информационная система персональных данных (ИСПД) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
1.5. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
1.6. Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно, или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
1.7. Персональные данные (ПД) – любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
1.8. Субъект – физическое лицо, которое прямо или косвенно определено или определяемо с помощью ПД.
1.9. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.
1.10. Роскомнадзор – Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), которая является федеральным органом исполнительной власти, осуществляющим функции по контролю и надзору в сфере средств массовой информации, в том числе электронных, и массовых коммуникаций, информационных технологий и связи, функции по контролю и надзору за соответствием обработки ПД требованиям законодательства Российской Федерации в области персональных данных, а также функции по организации деятельности радиочастотной службы. Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций является уполномоченным федеральным органом исполнительной власти по защите прав субъектов персональных данных.
1.11. Система защиты персональных данных – совокупность программных, аппаратных и технических средств защиты информации, используемых для обеспечения информационной безопасности информационных систем.
1.12. Сотрудник, ответственный за организацию обработки персональных данных – сотрудник ООО «Юридический центр «Фаворит» назначенный ответственным за организацию обработки и обеспечение защиты ПД в ООО «Юридический центр «Фаворит».
1.13. Угрозы безопасности персональных данных – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение ПД, а также иные неправомерные действия при их обработке в информационной системе персональных данных.
1.14. Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители ПД.
1.15. Уровень защищённости – под уровнем защищённости персональных данных понимается комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности ПД при их обработке в информационных системах персональных данных.
1.16. Клиент – физическое лицо (в том числе: представитель физического лица, индивидуальный предприниматель, представитель индивидуального предпринимателя, руководитель или иной уполномоченный представитель юридического лица), находящееся в договорных отношениях с ООО «Юридический центр «Фаворит» и предоставившее свои ПД для обработки в добровольном порядке.
1.17. Контрагент клиента — физическое лицо, не являющееся клиентом ООО «Юри-дический центр «Фаворит», однако являющееся стороной (продавцом, покупателем, представителем) в договоре с клиентом, передающее свои ПД ООО «Юридический центр «Фаворит» на основании согласия на обработку ПД.
2. Цели обработки персональных данных
2.1. Основание и цели обработки ПД на предприятии устанавливаются в соответствии с типом субъекта:
2.1.1. Клиент – на основании согласия субъекта на обработку ПД и для достижения следующих целей:
2.1.1.1. обеспечение соблюдения законов и иных нормативно-правовых актов;
2.1.1.2. исполнение договорных отношений между ООО «Юридический центр «Фаворит» и субъектом ПД.
2.1.2. Контрагент клиента – на основании согласия субъекта на обработку ПД или ином законном основании и для достижения следующих целей:
2.1.2.1. обеспечение соблюдения законов и иных нормативно-правовых актов;
2.1.2.2. исполнение договорных отношений между ООО «Юридический центр «Фаворит» и клиентом.
2.1.3. Иные лица, имеющие отношение к клиенту – созаемщики, поручители клиента и другие, — на основании согласия субъекта на обработку ПД или на ином законном основании и для достижения следующих целей:
2.1.3.1. обеспечение соблюдения законов и иных нормативно-правовых актов;
2.1.3.2. исполнение договорных отношений между «Юридический центр «Фаворит» и клиентом.
2.1.4. Пользователи корпоративного сайта ООО «Юридический центр «Фаворит»:
2.1.4.1. для информационного обеспечения ООО «Юридический центр «Фаворит», клиентов ООО «Юридический центр «Фаворит» и других пользователей сайта ООО «Юридический центр «Фаворит» персональными данными, сделанными общедоступными самим субъектом персональных данных посредством размещения ПД им самим на сайте.
2.2. Персональные данные субъекта могут обрабатываться только для достижения целей, установленных в пункте 2.1 для конкретного типа субъектов ПД.
2.3. Субъект предоставляет ПД в объёме, необходимом для достижения целей.
2.4. Субъект даёт согласие Предприятию на обработку своих ПД:
2.4.1. Клиент предоставляет ПД ООО «Юридический центр «Фаворит» при заключении договора возмездного оказания услуг. Хранение производится на бумажном носителе вместе с договором возмездного оказания услуг.
2.4.2. Контрагент клиента предоставляет ПД при установлении договорных отношений с клиентом, либо в другой законной форме. Согласие хранится на бумажном носителе вместе с договором возмездного оказания услуг с клиентом.
2.4.3. Иные лица, имеющие отношение к клиенту – при обращении в ООО «Юриди-ческий центр «Фаворит». Согласие хранится на бумажном носителе вместе с договором возмездного оказания услуг с клиентом.
2.4.4. Пользователи корпоративного сайта – добровольное размещение непосредственно субъектом своих ПД на корпоративном сайте ООО «Юридический центр «Фаворит» подтверждает согласие субъекта на обработку его персональных данных ООО «Юридический центр «Фаворит» и не требует его письменного согласия на обработку.
2.5. Согласие субъекта должно содержать следующие сведения:
2.5.3. фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
2.5.4. наименование и адрес оператора, получающего согласие субъекта персональных данных;
2.5.5. цель обработки персональных данных;
2.5.6. перечень персональных данных, на обработку которых даётся согласие субъекта персональных данных;
2.5.7. перечень действий с персональными данными, на совершение которых даётся согласие, общее описание используемых оператором способов обработки ПД;
2.5.8. срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом;
2.5.9. подпись субъекта персональных данных.
3. Условия обработки персональных данных
3.1. В ООО «Юридический центр «Фаворит» осуществляется автоматизирован-ная и неавтоматизированная обработка ПД субъектов.
3.2. Обработка персональных данных клиента, его контрагента и иных лиц, име-ющих отношение к клиенту, прекращается в течение 30 дней с момента достижения целей обработки. В дальнейшем ПД хранятся на бумажных носителях и в информа-ционной системе ООО «Юридический центр «Фаворит» в архивных папках. Срок хранения ПД, в том числе Согласий на обработку установлен: для клиентов, контр-агентов клиентов и иных лиц, имеющих отношение к Клиентам: 6 лет с момента за-ключения договора возмездного оказания услуг с ООО «Юридический центр «Фаво-рит» (для клиентов) и 6 лет с момента обращения в ООО «Юридический центр «Фа-ворит» (для контрагентов клиентов, иных лиц, имеющих отношение к клиентам). Пользователи корпоративного сайта ООО «Юридический центр «Фаворит», пере-давшие свои ПД для размещения в общедоступной информационной системе сами, в любой момент могут удалить эти данные.
3.3. Любые действия с ПД субъекта без письменного его согласия или любого другого основания, установленного Федеральным законом №152-ФЗ «О персональ-ных данных», а также пунктом 2.1 настоящего Положения, запрещены.
3.4. Сбор специальных категорий ПД субъектов, в том числе информации об их расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни ООО «Юридический центр «Фаворит» не производится.
3.5. Сотрудники ООО «Юридический центр «Фаворит», допущенные к обработке ПД, проходят инструктаж и соблюдают нормы законодательства в области защиты ПД и локальных нормативно-правовых актов ООО «Юридический центр «Фаворит». Сотрудники, не прошедшие инструктаж, к обработке ПД не допускаются.
3.6. В случае выявления недостоверных ПД или неправомерных действий с ними при обращении или по запросу субъекта, ООО «Юридический центр «Фаворит» обязано осуществить блокирование ПД в соответствии с действующим законодательством.
3.7. В случае подтверждения факта неточности персональных данных ООО «Юридический центр «Фаворит» на основании сведений, представленных субъектом, его представителем, либо уполномоченным органом по защите прав субъектов ПД, или иных необходимых документов, обязано уточнить ПД в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.
3.8. Уничтожение ПД производится под контролем должностного лица, ответ-ственного за организацию обработки ПД. Об уничтожении составляется акт.
3.9. В случае отзыва субъектом согласия на обработку его ПД, ООО «Юридиче-ский центр «Фаворит» обязано прекратить их обработку в случае, если сохранение ПД более не требуется для целей обработки ПД и не противоречит законодательству или прекратить их обработку в части. ООО «Юридический центр «Фаворит» обязано уничтожить ПД или часть персональных данных в срок, не превышающий тридцати дней с даты поступления указанного отзыва.
4.Ответственный за организацию обработки ПД
4.1. ООО «Юридический центр «Фаворит» назначает сотрудника, ответственного за организацию обработки ПД.
4.2. Сотрудник, ответственный за организацию обработки ПД обязан:
4.2.1.осуществлять внутренний контроль за соблюдением ООО «Юридический центр «Фаворит» и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
4.2.2.доводить до сведения работников ООО «Юридический центр «Фаворит» поло-жения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, внутренних требований к защи-те персональных данных;
4.2.3. проводить инструктаж по вопросам ПД;
4.2.4. координировать работы по защите ПД.
4.2.5. организовывать приём и обработку обращений и запросов субъектов или их представителей и (или) осуществлять контроль за приёмом и обработкой таких обращений и запросов;
4.2.6. вести журнал учёта запросов и ответов на запросы по вопросам ПД и инцидентов, связанных с ПД субъектов
5. Права субъекта
5.1. Субъект ПД имеет право:
5.1.1. на получение информации, касающейся обработки его ПД, в том числе содержащей:
• подтверждение факта обработки персональных данных;
• правовые основания и цели обработки ПД;
• цели и применяемые способы обработки ПД;
• наименование и адрес оператора, сведения о лицах, которые имеют доступ к ПД и условия передачи ПД;
• срок обработки ПД, в том числе срок их хранения;
• иные сведения, предусмотренные Федеральным законом № 152-ФЗ «О персональных данных» или другими федеральными законами.
5.1.2. на отзыв данного ранее согласия на обработку ПД, в соответствии с Федеральным законом № 152-ФЗ «О персональных данных».
5.2. Сведения должны быть предоставлены субъекту в доступной форме, и в них не должны содержаться ПД, относящиеся к другим субъектам.
5.3. Если субъект ПД считает, что ООО «Юридический центр «Фаворит» осуществляет обработку его ПД с нарушением требований действующего законодательства или иным образом нарушает его права и свободы, субъект ПД вправе обжаловать действия или бездействие оператора в Роскомнадзоре или в судебном порядке.
6. Порядок запроса сведений субъектом ПД
6.1. Сведения, запрашиваемые субъектом, предоставляются ему или его представителю при получении запроса, оформленного в соответствии с Федеральным законом № 152-ФЗ «О персональных данных».
Запрос должен содержать обязательные поля:
6.1.1. фамилию, имя, отчество заявителя;
6.1.2. реквизиты основного документа, удостоверяющего личность;
6.1.3. сведения, подтверждающие факт отношений субъекта и ООО «Юридический центр «Фаворит» (номер договора, дату заключения договора, срок работы, договор или копию договора), либо сведения, иным способом подтверждающие факт обработки ПД ООО «Юридический центр «Фаворит»;
6.1.4. личную подпись субъекта либо его представителя и дату составления запроса. Полномочия представителя должны быть оформлены в соответствии с действующим законодательством Российской Федерации.
6.2. Оформленный запрос предоставляется сотруднику, ответственному за организацию обработки ПД.
6.3. Сотрудник, ответственный за организацию обработки ПД, проверяет представ-ленный запрос и готовит запрашиваемую субъектом информацию в виде ответного письма за подписью руководителя ООО «Юридический центр «Фаворит» в срок не более 30 дней, в другом случае, в течение указанного срока, готовит мотивирован-ный законодательством отказ.
6.4. Субъект вправе обратиться повторно в ООО «Юридический центр «Фаворит» или направить повторный запрос в целях получения запрошенных сведений, и ознакомления с такими ПД не ранее чем через 30 дней после первоначального запроса или по факту получения ответа на первоначальное обращение, в том числе, если запрошенные сведения, а также обрабатываемые ПД были предоставлены для ознакомления субъекту не в полном объёме. Повторный запрос должен содержать обоснование направления повторного запроса.
6.5. ООО «Юридический центр «Фаворит» вправе отказать субъекту в выполнении повторного запроса, в случае несоответствия перечисленным выше условиям.
6.6. Право субъекта на доступ к его ПД, обрабатываемым ООО «Юридический центр «Фаворит», может быть ограничено в соответствии с федеральными законами.
7. Обеспечение безопасности ПД
7.1. Безопасность ПД достигается путем исключения несанкционированного, в том числе случайного, доступа к ПД, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение ПД, а также иных несанкционированных действий, которые могут повлечь за собой изменение, блокирование, удаление, распространение и другие действия с ПД.
7.2. Безопасность ПД при их обработке в ИС обеспечивается с помощью системы защиты ПД, включающей организационные меры и средства защиты информации, средства предотвращения несанкционированного доступа, технические средства защиты, а также используемые в информационной системе информационные технологии.
7.3. Обмен ПД при их обработке в информационных системах осуществляется по каналам связи, защита которых обеспечивается путем реализации соответствующих организационных мер и путем применения технических средств.
7.4. Размещение информационных систем, режим доступа в помещения, охрана и организационные меры обеспечивают сохранность носителей ПД и средств защиты информации, а также исключают возможность неконтролируемого проникновения в помещение посторонних лиц.
7.5. При обработке ПД в ИС должно быть обеспечено:
7.5.1. проведение мероприятий, направленных на предотвращение несанкционированного доступа к ПД и (или) передачи их лицам, не имеющим права доступа к такой информации;
7.5.2. своевременное обнаружение фактов несанкционированного доступа к ПД; 7.5.3. недопущение воздействия на технические средства автоматизированной обработки ПД, в результате которого может быть нарушено их функционирование; 7.5.4. возможность восстановления ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
7.5.5. контроль за обеспечением уровня защищенности ПД.
7.6. Мероприятия по обеспечению безопасности ПД при их обработке в ИС включают в себя:
7.6.1. определение угроз безопасности ПД при их обработке, формирование на их основе модели угроз;
7.6.2. разработку на основе модели угроз системы защиты ПД, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты персональных данных, предусмотренных для соответствующего уровня защищённости ИС;
7.6.3. проверку готовности средств защиты информации к использованию;
7.6.4. установку и ввод в эксплуатацию средств защиты информации в соответствии с эксплуатационной и технической документацией;
7.6.5. обучение лиц, использующих средства защиты информации, применяемые в информационных системах, правилам работы с ними;
7.6.6. учёт применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей ПД;
7.6.7. учёт лиц, допущенных к работе с ПД в ИС;
7.6.8. расследование и выявление действий сотрудников, приводящих к нарушению конфиденциальности ПД или другим нарушениям, приводящим к снижению уровня защищённости ПД, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений.
7.7. Перечень сотрудников ООО «Юридический центр «Фаворит», допускаемых в силу исполнения своих служебных обязанностей к ПД, устанавливается руководителем ООО «Юридический центр «Фаворит».
7.8. Сотрудники, допущенные к обработке ПД, в соответствии с п. 7.7 несут ответственность за нарушения правил обработки ПД, установленную действующим законодательством РФ и локальными нормативными актами оператора.
8. Особенности неавтоматизированной обработки ПД
8.1. Неавтоматизированная обработка ПД сотрудников ООО «Юридический центр «Фаворит» заключается в работе с бумажными носителями информации, содержащими ПД субъектов.
8.2. К бумажным носителям ПД относятся:
8.2.1. Договоры возмездного оказания услуг, приложения к ним, Предварительные договоры, Соглашения (договоры) об авансовом платеже с покупателем, Соглашения о задатке, в случае если они содержат ПД и позволяют идентифицировать субъекта;
8.2.2. ксерокопии документов, удостоверяющих личность субъекта;
8.2.3. другие бумажные носители, содержащие ПД субъектов (паспортные данные (вид документа, серия и номер документа, орган, выдавший документ, дата выдачи документа); доверенность; правоустанавливающие документы на недвижимое имущество; свидетельство о праве собственности на недвижимое имущество; технические документы на недвижимое имущество; свидетельство о браке; свидетельство о расторжении брака; свидетельство о рождении несовершеннолетних детей; распоряжение органов опеки и попечительства на совершение сделки с недвижимым имуществом, сертификат на материнский (семейный) капитал, справка о перемене имени, а также другие документы и их ксерокопии, в том числе номер контактного телефона, ксерокопии технических и правоустанавливающих документов на объекты недвижимости, документов, подтверждающие государственную регистрацию права на объект недвижимости, анкеты клиентов и др.).
8.3. В ООО «Юридический центр «Фаворит» установлены следующие требования к хранению бумажных носителей ПД: 8.3.1 срок хранения для бумажных носителей ПД, устанавливается пунктом 3.2. настоящего Положения;
8.3.2. бумажные носители ПД хранятся в специально отведенных местах, определяемых руководителем ООО «Юридический центр «Фаворит», за сохранность документов несет ответственность сотрудник, ответственный за организацию обработки персональных данных;
8.3.3. запрещается хранение бумажных носителей ПД в местах, доступных для озна-комления посторонними лицами;
8.4. В ООО «Юридический центр «Фаворит» установлены следующие требования к уничтожению бумажных носителей ПД:
8.4.1. уничтожение бумажных носителей ПД может проводиться при помощи технических средств (уничтожителей бумаги) или путём разрезания вручную. При этом должна быть обеспечена невозможность восстановления ПД из остатков носителя;
8.4.2. уничтожение бумажных носителей должно проходить в присутствии ответственного за организацию обработки ПД и должно оформляться актом.
8.5. Не допускается фиксация на одном бумажном носителе ПД, цели обработки которых заведомо не совместимы. В случае обработки различных категорий ПД, осуществляемой без использования средств автоматизации, для каждой категории персональных данных должен использоваться отдельный материальный носитель. 8.6. Уточнение ПД при осуществлении их неавтоматизированной обработки во ФГУП «ЭТБ» производится путём обновления или изменения данных на бумажном носителе ПД, либо путём изготовления нового бумажного носителя ПД с уточнёнными ПД. Прежний носитель при этом уничтожается.
8.7. При хранении бумажных носителей ПД должны соблюдаться условия, обеспечивающие сохранность ПД и исключающие несанкционированный к ним доступ.
9. Заключительные положения
9.1. ООО «Юридический центр «Фаворит» оставляет за собой право вносить изменения в настоящее Положение. Изменения вносятся путем издания новой редакции настоящего Положения. Новая редакция Положения вступает в силу со дня её утверждения. Предыдущая редакция теряет силу с момента утверждения новой редакции.
9.2. Иные локальные нормативные акты ООО «Юридический центр «Фаворит» должны издаваться в соответствии с настоящим Положением и законодательством в области персональных данных. 9.3. Вопросы, не урегулированные настоящим Положением, разрешаются в соответствии с законодательством Российской Федерации. В отношении защиты субъектов персональных данных граждан иных стран (не Российской Федерации) ООО «Юридический центр «Фаворит» могут учитываться положения законодательства страны, гражданином которой является субъект персональных данных.