1 ОБЩИЕ ПОЛОЖЕНИЯ

Владелец документа: облачный квартал (ООО).
Документ, подлежащий отмене: ок-П-3-2025 «Политика в отношении обработки и защиты персональных данных облачного квартала (ООО)» (версия 1.0).

1.1.Область применения
1.1.1.Настоящая политика определяет порядок обработки и защиты ПДн работников облачного квартала (ООО) (далее – компания, оператор) и иных субъектов. К целям политики относятся:
-защита прав и свобод человека и гражданина;
-защита неприкосновенности частной жизни, личной и семейной тайны;
-установление ответственности должностных лиц за невыполнение требований норм, регулирующих обработку и защиту ПДн, в компании.
1.1.2. Политика действует в отношении всех ПДн, которые обрабатывает компания, и раскрывает основные категории ПДн, способы и сроки их обработки и хранения, порядок их уничтожения, права и обязанности компании при обработке ПДн, права субъектов ПДн.
1.1.3.Политика является общедоступным документом, декларирующим концептуальные основы деятельности компании по обработке ПДн. Компания обеспечивает беспрепятственный доступ к политике путем ее опубликования на официальном сайте компании, а также на страницах (формах) сайтов компании в сети «Интернет», с использованием которых осуществляется сбор ПДн. Субъекты ПДн самостоятельно ознакомляются с настоящей политикой.
1.1.4.Настоящая политика вступает в действие с даты утверждения и действует до ее отмены.
1.1.5.Действие настоящей политики распространяется на всех работников компании, а также иных лиц, получивших доступ к информационным ресурсам компании, содержащим ПДн, в соответствии с их должностными обязанностями и заключенными договорами.
1.2. Ответственность
1.2.1. Ответственность за разработку и введение политики несет владелец документа.
1.2.2. Ответственность за регистрацию и обеспечение доступа к положению в информационно-справочной системе несет сотрудник компании, на которого возложены данные обязанности.
1.2.3. Ответственность за соблюдение требований, регулирующих порядок обработки ПДн, несут должностные лица компании в пределах своих полномочий, определенных локальными нормативными актами компании.
1.2.4.Общий контроль за соблюдением требований, регулирующих порядок обработки и защиты персональных данных, осуществляет уполномоченное лицо, ответственное за организацию обработки ПДн в компании.
1.2.5. Должностные лица компании, допущенные к обработке ПДн, несут персональную ответственность за соблюдение требований законодательства РФ и локальных нормативных актов компании по работе с ПДн лиц, к обработке которых допущено данное должностное лицо.
1.2.6.За нарушение требований применимого законодательства виновные лица могут быть привлечены к ответственности в соответствии с законодательством РФ.

2 НОРМАТИВНЫЕ ССЫЛКИ


3 ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Выгодоприобретатель по договору – физическое лицо, назначенное выгодоприобретателем по соответствующему договору, например, по договору страхования действующего или уволенного работника компании, или физическое лицо (член семьи, иной родственник, иждивенец, наследник), получающее компенсации, пособия, материальную помощь и иные выплаты в связи со смертью работника компании.
Должностное лицо – работник компании, уполномоченный осуществлять обработку персональных данных субъектов персональных данных и несущий все установленные законодательством виды ответственности за нарушение порядка обработки и сохранности персональных данных.
Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Контрагент – физическое лицо, индивидуальный предприниматель и самозанятый, являющиеся потенциальными, действующими или бывшими клиентами, поставщиками, подрядчиками, агентами, партнерами и др.
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Общедоступные источники персональных данных – источники персональных данных (в том числе справочники, адресные книги), к которым не ограничен доступ третьих лиц и работников компании. В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, год и место рождения, адрес, номер рабочего и/или личного телефона, сведения о профессии и иные персональные данные, сообщаемые субъектом персональных данных.
Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими юридическими и физическими лицами организующий и/или осуществляющий обработку персональных данных, а также определяющий цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Посетитель сайта – физическое лицо – пользователь сайтов в сети «Интернет» и мобильных приложений, функционирующих в интересах компании.
Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Представитель контрагента – юридических лиц (клиентов, поставщиков, подрядчиков, агентов, партнеров) – физическое лицо, связанное с потенциальным, действующим или бывшим клиентом, поставщиком, подрядчиком, агентом, партнером.
Представитель работника – физическое лицо, представляющее интересы действующего и/или уволенного работника компании в непредвиденных обстоятельствах или физическое лицо, уполномоченное или ранее имевшее полномочия на представление интересов действующего и/или уволенного работника компании (совершение представителем действий от имени и в интересах действующего и/или уволенного работника компании).
Работник – физическое лицо, заключившее трудовой договор с компании (работодателем, оператором).
Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Результат интеллектуальной деятельности – охраняемые результаты интеллектуальной деятельности и средства индивидуализации, которым предоставляется правовая охрана в соответствии с нормами Гражданского кодекса РФ.
Родственник работника – супруг (супруга), один из родителей (мать, отец), ребенок и другие члены семьи действующего и/или уволенного работника компании.
Сайт в сети «Интернет» – совокупность программ для электронных вычислительных машин и иной информации, содержащейся в информационной системе, доступ к которой обеспечивается посредством сети «Интернет» по доменным именам и (или) по сетевым адресам, позволяющим идентифицировать сайты в сети «Интернет».
Соискатель (кандидат) – физическое лицо, претендующее на замещение вакантной должности в компании (указанное лицо также может получать, принимать/отклонять предложение компании о замещении вакантной должности).
Студент – физическое лицо, проходящее (ранее проходившее) в компании профессиональное обучение в форме стажировки или практики (производственной, учебной, преддипломной или ознакомительной).
Субъект персональных данных – физическое лицо, чьи персональные данные обрабатывает оператор.
Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Уволенный работник – физическое лицо, ранее состоявшее в трудовых отношениях с компанией.
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных и/или уничтожаются материальные носители персональных данных.
Физическое лицо, обращающееся в компанию – физическое лицо, обратившееся в компанию для получения сервисного и/или информационно-справочного обслуживания.
Физическое лицо, чьи персональные данные размещаются на ресурсах компании – физическое лицо, чьи персональные данные на законных основаниях могут быть размещены на страницах сайтов в сети «Интернет» и/или мобильных приложениях, функционирующих в интересах компании.
Cookie – небольшие фрагменты данных со служебной информацией о посещении сайта, которые сервер создает (устанавливает), а устройство посетителя сайта отправляет.
В случае, если действующее законодательство РФ будет содержать иное определение терминов для регулирования порядка обработки и защиты персональных данных, установленных настоящей политикой и иными нормативными актами компании, применяется определение, установленное законодательством РФ.

4 ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ

ИСПДн – информационная система персональных данных;
Компания – облачный квартал (ООО);
НСД – несанкционированный доступ;
ПДн – персональные данные;
РИД – результаты интеллектуальной деятельности;
Роскомнадзор – Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций – уполномоченный орган по защите прав субъектов персональных данных;
РФ – Российская Федерация.

5 ПРИНЦИПЫ ОБРАБОТКИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1.В компании обработка ПДн осуществляется на основе следующих принципов:
— обработка ПДн осуществляется на законной и справедливой основе, исключительно в конкретных, заранее определённых и законных целях. Обработка, не совместимая с ними, не допускается;
— не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в несовместимых между собой целях;
— обрабатываются только ПДн, необходимые для заявленных целей. Избыточность не допускается;
— обеспечивается точность, достаточность и при необходимости актуальность ПДн по отношению к целям обработки, принимаются необходимые меры по удалению или уточнению неполных или неточных ПДн;
— хранение ПДн осуществляется в форме, позволяющей определить субъекта, и не дольше, чем требуют цели обработки ПДн. Иной срок хранения ПДн может быть установлен федеральным законом, согласием на обработку ПДн, договором, стороной, выгодоприобретателем или поручителем по которому является субъект ПДн;
— ПДн уничтожаются при отзыве согласия, достижении целей обработки или утрате необходимости в их достижении, если иное не предусмотрено законодательством РФ.

6 ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1.Правовым основанием обработки ПДн для компании являются:
-Конституция Российской Федерации;
-Гражданский кодекс Российской Федерации;
-Трудовой кодекс Российской Федерации;
-Налоговый кодекс Российской Федерации;
-Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
-Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
-Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
-Федеральный закон от 24.07.1998 № 125-ФЗ «Об обязательном социальном страховании от несчастных случаев на производстве и профессиональных заболеваний»;
-Федеральный закон от 29.12.2006 № 255-ФЗ «Об обязательном социальном страховании на случай временной нетрудоспособности и в связи с материнством»;
-Федеральный закон от 18.07.2006 № 109-ФЗ «О миграционном учете иностранных граждан и лиц без гражданства в Российской Федерации»;
-Федеральный закон от 02.10.2007 № 229-ФЗ «Об исполнительном производстве»;
-Федеральный закон от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации»;
-Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»;
-Федеральный закон от 07.07.2003 № 126-ФЗ «О связи»;
-Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»;
-Федеральный закон от 26.02.1997 № 31-ФЗ «О мобилизационной подготовке и мобилизации в Российской Федерации»;
-Положение о воинском учете, утвержденное постановлением Правительства РФ от 27.11.2006 № 719;
-согласие субъекта ПДн на обработку его ПДн;
-устав компании;
-договоры;
-иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью компании и организацией процесса обработки и защиты ПДн.

7 ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1.Объём обрабатываемых ПДн соответствует целям обработки ПДн.
7.2.Компания может обрабатывать ПДн следующих категорий субъектов:
-          работники компании;
-          родственники работников компании;
-          представители работников компании;
-          уволенные работники компании;
-          соискатели;
-          студенты;
-          контрагенты;
-          представители контрагентов;
-          физические лица, обращающиеся в компанию;
-          физические лица, чьи персональные данные размещаются на ресурсах компании;
-          выгодоприобретатели по договорам;
-          посетители сайта.
7.3.  Обработка ПДн компанией осуществляется в следующих целях:
-          ведение кадрового учета;
-          обеспечение соблюдения трудового законодательства РФ;
-          обеспечения соблюдения требований законодательства РФ в части воинского учета;
-          передача информации в Социальный фонд России;
-          страхование;
-          исполнение социальных программ;
-          повышение квалификации, обучение, участие в конкурсах и выставках, получение удостоверений, свидетельств, документов о прохождении обучения и развитие работника;
-          продвижение товаров, работ, услуг на рынке;
-          подготовка, заключение, исполнение и прекращение договоров с контрагентами;
-          оформление электронной подписи;
-          осуществление бронирования билетов, проживания, трансферов;
-          подбор персонала (соискателей) на вакантные должности оператора;
-          обеспечение прохождения ознакомительной, производственной или преддипломной практики;
-          ведение бухгалтерского учета;
-          формирование аналитической отчетности;
-          обеспечение соблюдения налогового законодательства РФ;
-          исполнение судебного акта;
-          обеспечение соблюдения законодательства РФ об исполнительном производстве;
-          участие лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
-          оформление доверенностей;
-          размещение информации на корпоративных порталах, сайтах и справочниках компании;
-          оформление и распоряжение правами на РИД, включая подготовку, подачу заявки на выдачу патента на РИД и получение патента на РИД;
-          осуществление сервисного и/или информационно-справочного обслуживания.
7.4.  Компания обрабатывает ПДн как с использованием средств автоматизации, так и без них, а также смешанным способом.
7.5.  Состав обрабатываемых ПДн, категории субъектов ПДн, цели, способы, сроки обработки и хранения, а также порядок уничтожения ПДн приведены в приложении 1.

8 УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1.  Компания может быть как оператором ПДн, так и лицом, осуществляющим обработку ПДн по поручению других операторов ПДн на основе соответствующих договоров.
8.2.  Компания вправе при предоставлении избыточных ПДн отказать в их приеме и уничтожить в установленном ЛНА порядке. Для исключения сбора избыточных ПДн в компании могут использоваться типовые формы.
8.3.  Компания не осуществляет трансграничную передачу ПДн.
8.4.  В компании могут создаваться общедоступные источники ПДн.
8.5.  Компания не несет ответственность и не принимает на себя риски неблагоприятных последствий перед субъектом в случае предоставления им недостоверных ПДн.
8.6.  Распространение ПДн допускается на основании согласия на обработку ПДн, разрешенных для распространения субъектом ПДн, и в случаях, установленных требованиями законодательства РФ.
8.7.  ПДн на бумажных носителях хранятся в компании в течение сроков, установленных законодательством об архивном деле в РФ. В этом случае субъект ПДн не может запретить обработку ПДн или отозвать согласие на обработку ПДн.
8.8.  Срок хранения ПДн, обрабатываемых в ИСПДн, соответствует сроку хранения ПДн на бумажных носителях.
8.9.  При выявлении неточных ПДн компания блокирует ПДн на период проверки, если это не нарушает права субъекта или третьих лиц. В случае подтверждения неточности ПДн компания уточняет их в течение 7 рабочих дней и снимает блокирование.
8.10. В случае обращения субъекта ПДн с требованием прекратить обработку его ПДн компания прекращает обработку его ПДн в течение 10 рабочих дней (кроме случаев, предусмотренных законом).
8.11.Условия и сроки уничтожения ПДн в компании:
-          достижение цели обработки ПДн или утрата необходимости ее достигать – в течение 30 дней;
-          подтверждение неполноты, недостоверности, незаконности получения ПДн или отсутствия необходимости их обработки в рамках заявленной цели – в течение 7 рабочих дней;
-          истек срок действия согласия или отозвано согласие на обработку ПДн (если обработка ПДн допускается только с согласия) – в течение 30 дней.
8.12. При выявлении неправомерной обработки ПДн компания прекращает такую обработку в срок не более 3 рабочих дней. Если обеспечить правомерность невозможно, ПДн уничтожаются в срок не более 10 рабочих дней с даты выявления неправомерности обработки ПДн.
8.13. ПДн подлежат уничтожению, если закон не допускает обработку ПДн без согласия субъекта ПДн, а договором или соглашением с субъектом иное не предусмотрено.
8.14. Уничтожение ПДн осуществляет ответственный за организацию обработки ПДн и/или комиссия по вопросам обработки и защиты ПДн.
8.15.Порядок уничтожения ПДн установлен локальным нормативным актом компании.

9 МЕРЫ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

9.1.  Компания принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении ПДн, включая:
-          назначение ответственных за организацию обработки ПДн и за обеспечение их безопасности;
-          издание локальных нормативных актов по обработке и защите ПДн, ознакомление с ними работников, а также их обучение;
-          определение мест хранения ПДн, перечня лиц, имеющих к ним доступ, раздельное хранение ПДн для разных целей обработки ПДн, а также условий, исключающие НСД;
-          обеспечение физической безопасности помещений и средств обработки ПДн;
-          установление правил и ограничение доступа к ПДн;
-          мониторинг и регистрация действий с ПДн;
-          определение угроз безопасности ПДн и уровней защищенности ИСПДн, применение средств защиты информации;
-          учет машинных носителей ПДн;
-          обнаружение фактов НСД и принятие мер по их недопущению, применение процедур восстановления ПДн после инцидентов;
-          оценка эффективности принятых мер защиты и регулярный внутренний контроль/аудит;
-          оценка вреда, который может быть причинен субъектам ПДн, и соотнесение его с принимаемыми мерами.

10 ЗАПРОСЫ НА ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ

10.1.Запрос должен содержать:
-          номер документа, удостоверяющего личность, дату его выдачи и сведения о выдавшем его органе;
-          документы, подтверждающие полномочия представителя субъекта ПДн;
-          сведения, подтверждающие взаимоотношения субъекта ПДн с компанией;
-          подпись субъекта ПДн или его представителя.
10.2.Запросы могут быть направлены в форме электронного документа и подписаны электронной подписью в соответствии с законодательством РФ.
10.3. Запрос проходит оценку на законность, обоснованность и определенность. Если в запросе отсутствуют необходимые сведения, то компания вправе предоставить мотивированный отказ. В ином случае ответ на запрос должен содержать только запрашиваемый перечень сведений и документов.
10.4. На запрос субъекта ПДн или его представителя о факте обработки его ПДн, правовом основании, цели обработки и иных сведениях компания обязана ответить в течение 10 рабочих дней. Ответ направляется по форме, в которой поступил запрос, если иное не указано в запросе.
10.5. В случае предоставления ПДн по запросу третьего лица компания обязана уведомить субъекта о передаче его ПДн такому лицу (кроме случаев, когда ПДн передаются в соответствии с требованиями законодательства РФ или при наличии согласия субъекта ПДн).
10.6. Право на доступ к запрашиваемой информации может быть ограничено, если оно нарушает права и законные интересы иных лиц. В ответе не должны раскрываться ПДн других субъектов, кроме случаев, прямо установленных законом.

11 ОБРАБОТКА ЭЛЕКТРОННЫХ ПОЛЬЗОВАТЕЛЬСКИХ ДАННЫХ, ВКЛЮЧАЯ COOKIE

11.1.Компания в целях обработки ПДн, установленных политикой, может автоматически собирать электронные пользовательские данные, включая «cookie», на своих сайтах. Обработка таких данных также необходима для обеспечения корректной и безопасной работы сайтов.
11.2. Достоверность собранных электронных пользовательских данных, включая «cookie», в компании не проверяется, информация обрабатывается в том виде, в каком она поступила.
11.3. Основанием обработки (в том числе передачи) электронных пользовательских данных, включая «cookie», является согласие на обработку ПДн, предоставляемое посетителями сайтов путем совершения конклюдентных действий:
-          нажатие кнопки, например, «Я принимаю»;
-          закрытие уведомления о сборе и обработке таких данных;
-          продолжение использования сайтов.
11.4. В случае несогласия с порядком использования электронных пользовательских данных, включая «cookie», посетители сайтов могут ограничить их использование в настройках браузера (при этом не гарантирована корректная работа всех функций сайта), покинуть или не использовать сайты компании.
11.5. Информация о посещении сайтов, о действиях посетителей на сайтах может фиксироваться и передаваться в специализированные аналитические сервисы в целях, предусмотренных политикой. К таким сервисам могут относится: «Яндекс.Метрика», «Yandex SmartCaptcha», инструменты статистики Tilda и другие. Данные, собираемые такими сервисами, могут также получать и обрабатывать третьи лица, например, ООО «Яндекс» (политика конфиденциальности: https://yandex.ru/legal/confidential/), ООО «Тильда Паблишинг» (политика конфиденциальности: https://tilda.ru/ru/privacy/).

12 ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

12.1.Субъект ПДн имеет право:
-          получать информацию об обработке своих ПДн (кроме случаев, установленных законом);
-          требовать уточнения, блокирования или уничтожения ПДн;
-          отказаться от предоставления ПДн или отозвать согласие на их обработку, если предоставление ПДн является его правом, а не обязанностью в соответствии с законодательством РФ;
-          обжаловать неправомерные действия или бездействие компании при обработке ПДн;
-          на защиту своих прав и законных интересов, в том числе на возмещение убытков и/или компенсацию морального вреда;
-          обращаться по вопросам обработки и защиты ПДн по адресу: info@tokpark.ru;
-          иные права, предусмотренные законодательством РФ.

13 ПРАВА И ОБЯЗАННОСТИ КОМПАНИИ

13.1.Компания имеет право:
-          привлекать третье лицо к обработке ПДн и/или поручать ему обработку ПДн на основании договора с установленными в нем принципами и правилами обработки ПДн (цели, условия, действия с ПДн, сроки их обработки; роли, обязанности, права и ответственность сторон).
-          получать ПДн от лица, не являющегося субъектом ПДн, при условии предоставления этим лицом подтверждения наличия оснований, установленных законодательством РФ;
-          продолжать обработку ПДн без согласия субъекта ПДн при наличии иных законных оснований;
-          самостоятельно определять перечень мер защиты ПДн, необходимый для выполнения требований законодательства РФ;
-          предоставлять ПДн государственным, муниципальным, судебным, контролирующим, надзорным и иным органам и лицам, право на получение ПДн которых установлено действующим законодательством РФ;
-          иные права, предусмотренные законодательством РФ.
13.2. Компания обязана:
-          организовывать обработку ПДн в соответствии с требованиями законодательства РФ;
-          не сообщать ПДн субъекта в коммерческих целях без его согласия;
-          сообщать в Роскомнадзор по его запросу необходимую информацию в течение 10 рабочих дней с даты получения такого запроса;
-          информировать Роскомнадзор о выявленном факте неправомерной или случайной передачи ПДн (предоставления, распространения, доступа), повлекшей нарушение прав субъектов ПДн, и результатах проведенного внутреннего расследования;
-          не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством РФ;
-          иные обязанности, предусмотренные законодательством РФ.

14 ВНЕСЕНИЕ ИЗМЕНЕНИЙ

Инициатором разработки изменения может быть любое заинтересованное подразделение компании. Разработку изменений к политике осуществляет владелец документа.

15 ПРИЛОЖЕНИЯ

Приложение 1. Цели, перечень субъектов персональных данных, чьи персональные данные обрабатываются в компании, и сроки обработки персональных данных субъектов персональных данных.