Положение об обработке и защите персональных данных клиентов и контрагентов

1.1. Настоящее Положение определяет порядок обработки персональных данных и меры по обеспечению их безопасности в __________ (далее — Оператор, ИНН __________, ОГРН __________).

1.2. Положение разработано в соответствии с:

1.3. Конституцией Российской Федерации;

1.4. Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;

1.5. Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

1.6. Трудовым кодексом Российской Федерации (гл. 14);

1.7. Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

1.8. Постановлением Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;

1.9. Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;

1.10. Приказом Роскомнадзора от 27.10.2022 № 178 «Об утверждении требований к оценке вреда, который может быть причинён субъектам персональных данных».

1.11. Положение обязательно к применению всеми работниками Оператора, осуществляющими обработку персональных данных.

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с персональными данными.

2.3. Оператор — __________.

2.4. ИСПДн — информационная система персональных данных Оператора.

2.5. Ответственный — работник Оператора, назначенный приказом ответственным за организацию обработки ПД (ст. 22.1 ФЗ-152).

3.1. Оператор обрабатывает персональные данные на следующих правовых основаниях (ст. 6 ФЗ-152):

3.2. Согласие субъекта персональных данных;

3.3. Исполнение договора, стороной которого является субъект;

3.4. Исполнение возложенных на Оператора обязанностей (Налоговый кодекс РФ, Трудовой кодекс РФ, Федеральный закон № 402-ФЗ «О бухгалтерском учёте»).

4.1. Оператор обрабатывает следующие категории ПД:

4.2. ФИО, дата и место рождения;

4.3. Адрес электронной почты;

4.4. Номер контактного телефона;

4.5. IP-адрес;

4.6. Данные cookie-файлов;

4.7. Специальные категории ПД (раса, национальность, политические, религиозные убеждения, состояние здоровья, интимная жизнь) и биометрические ПД — Оператором не обрабатываются, за исключением случаев, прямо предусмотренных законодательством.

5.1. Субъектами ПД, данные которых обрабатывает Оператор, являются:

5.2. Клиенты (покупатели, заказчики);

5.3. Посетители сайта Оператора (__________);

6.1. Сбор ПД осуществляется непосредственно у субъекта (либо из его законного представителя).

6.2. Получение ПД от третьих лиц допускается только с письменного согласия субъекта, за исключением случаев, предусмотренных ФЗ-152.

6.3. Обработка ПД ведётся автоматизированным способом (в ИСПДн Оператора).

6.4. При обработке ПД обеспечивается их точность, достаточность и актуальность для заявленных целей обработки.

7.1. ПД хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки.

7.2. Сроки хранения:

8.1. ПД подлежат уничтожению в срок не более 30 дней с момента: достижения целей обработки; отзыва согласия субъектом; истечения срока хранения; выявления неправомерной обработки.

8.2. Уничтожение оформляется Актом об уничтожении ПД, подписываемым не менее чем двумя членами комиссии.

9.1. Субъект имеет право (гл. 3 ФЗ-152):

9.2. Получать информацию об обработке своих ПД;

9.3. Требовать уточнения, блокирования или уничтожения ПД;

9.4. Отозвать согласие на обработку;

9.5. Обжаловать действия Оператора в Роскомнадзор и (или) в суд.

9.6. Запросы субъектов обрабатываются Ответственным (__________) в срок не более 10 рабочих дней.

10.1. Оператор обязан (ст. 18.1 ФЗ-152):

10.2. Назначить ответственного за организацию обработки ПД;

10.3. Принимать правовые, организационные и технические меры защиты ПД;

10.4. Издавать локальные акты по вопросам обработки ПД;

10.5. Проводить внутренний контроль соответствия обработки ПД требованиям ФЗ-152;

10.6. Оценивать вред, который может быть причинён субъектам ПД (Приказ Роскомнадзора № 178);

10.7. Уведомлять Роскомнадзор об обработке ПД (ст. 22 ФЗ-152) и об инцидентах в течение 24 часов (ст. 21 ФЗ-152).

11.1. Организационные меры:

11.2. Утверждение Политики обработки ПД и Положения об обработке ПД;

11.3. Назначение ответственного за обработку ПД (__________);

11.4. Ознакомление работников с ФЗ-152 и локальными актами под роспись;

11.5. Разграничение доступа к ПД по принципу служебной необходимости;

11.6. Технические меры (в соответствии с Приказом ФСТЭК № 21):

11.7. Идентификация и аутентификация пользователей ИСПДн;

11.8. Разграничение и контроль доступа к ПД;

11.9. Шифрование каналов передачи данных (SSL/TLS);

12.1. Работники Оператора, виновные в нарушении настоящего Положения, несут ответственность в соответствии с Трудовым кодексом РФ (дисциплинарная), Гражданским кодексом РФ (материальная) и КоАП РФ (ст. 13.11 — от 60 000 до 18 000 000 ₽ для юридических лиц) и Уголовным кодексом РФ (ст. 137).

12.2. Оператор несёт ответственность перед субъектами ПД в соответствии с гражданским законодательством РФ.

13.1. Настоящее Положение вводится в действие с момента его утверждения приказом руководителя Оператора.

13.2. Изменения и дополнения в Положение вносятся приказом руководителя Оператора.

13.3. Контроль за соблюдением настоящего Положения возлагается на Ответственного за организацию обработки ПД.

13.4. Генеральный директор                                          _________________   / ________________ /