Политика в области обработки персональных данных

1. Цель политики

1.1. Цель настоящей политики в области обработки персональных данных: обеспечение защиты прав и свобод человека при обработке его персональных данных, в том числе защита прав на неприкосновенность частной жизни, личную и семейную тайну, в ООО «ЕВРАЗ Стил Бокс», ИНН 9724060755, юридический адрес/адрес место- нахождения: 121353, г. Москва, вн.тер. г. Муниципальный округ Можайский, ул. Беловежская, д.4 (далее именуемое – «Общество»).

1.2. Действие Политики распространяется на все процессы Общества, в рамках которых осуществляется обработка персональных данных как с использование средств автоматизации, так и без использования таких средств.

2. Основные понятия в области персональных данных

2.1. Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
2.2. Оператор - юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
2.3. Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
2.4. Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
2.5. Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
2.6. Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
2.7. Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
2.8. Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
2.9. Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
2.10. Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
2.11. Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
2.12. Защита персональных данных - принятие необходимых правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.
2.13. Субъект персональных данных (субъект) – физическое лицо, к которому относятся соответствующие персональные данные.
2.14. Согласие на обработку персональных данных – выраженное субъектом персональных данных конкретное, предметное, информированное, сознательное и однозначное согласие на обработку персональных данных в любой позволяющей подтвердить факт его получения форме, а в случаях, предусмотренных федеральными законами – в письменной форме или в электронной форме, подписанное электронной подписью. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных не следует, что он согласился с распространением персональных данных, такие персональные данные обрабатываются без права распространения. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
2.15. Биометрические персональные данные - сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются Обществом для установления личности субъекта персональных данных. могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных. Предоставление биометрических персональных данных не может быть обязательным.

З. Основные права и обязанности Общества и субъекта (-ов) персональных данных

3.1. Основные права и обязанности оператора (Общества) определены Федеральным законом «О персональных данных» от 27.07.2006 № 152 – ФЗ, в частности:

• предоставлять субъекту персональных данных по его письменному запросу информацию, касающуюся его персональных данных, либо на законных основаниях предоставить отказ;
• распространять (делать доступными для других работников/субъектов) персональные данные на законных основаниях (например, для данных корпоративных систем);
• осуществлять обработку персональных данных, разрешенных субъектом персональных данных для распространения;
• по требованию субъекта уточнять обрабатываемые персональные данные, блокировать или удалять, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки. Либо обеспечить блокирование, удаление, в случае если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества;
• по требованию субъекта персональных данных или уполномоченных органов предоставлять доказательство получения согласия субъекта персональных данных на обработку его персональных данных/наличие иных законных оснований для обработки персональных данных;
• уведомлять субъекта персональных данных об обработке персональных данных в том случае, если персональные данные были получены не от субъекта персональных данных (исключение – наличие уведомления субъекта);
• в случае достижения цели обработки персональных данных, незамедлительно прекратить обработку персональных данных и уничтожить либо обезличить соответствующие персональные данные в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено федеральными законами.
• обеспечить уничтожение, обезличивание в случае, если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества. Уведомить об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган;
• в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных, прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между Обществом и субъектом персональных данных;
• обеспечить прекращение обработки персональных данных и их уничтожение, в случае если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества. Об уничтожении персональных данных Компания обязана уведомить субъекта персональных данных;
• обеспечить прекращение обработки персональных данных, в случае если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора;
• в любое время по требованию субъекта персональных данных прекратить передачу (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения;
• при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

3.2. Основные права и обязанности субъекта персональных данных определены Федеральным законом «О персональных данных» от 27.07.2006 № 152 – ФЗ, в частности:

• Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе;
• Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом;
• Субъект персональных данных вправе требовать от Общества (посредством направления письменного запроса) уточнения своих персональных данных, их блокирования или уничтожения в случаях, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
• Субъект персональных данных имеет право на получение по письменному запросу информации, касающейся обработки его персональных данных (если такое право не ограничено в соответствии с федеральными законами), в том числе содержащей:
• подтверждение факта обработки персональных данных Обществом;
• правовые основания и цели обработки персональных данных;
• цели и применяемые Обществом способы обработки персональных данных;
• наименование и место нахождения Общества, сведения о лицах (за исключением работников Общества), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Обществом или на основании Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных»;
• обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных»;
• сроки обработки персональных данных, в том числе сроки их хранения;
• порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных»;
• информацию о ранее осуществленной или о предполагаемой трансграничной передаче данных;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Общества, если обработка поручена или будет поручена такому лицу;
• иные сведения, предусмотренные Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных» или другими федеральными законами.
• Обращение к Обществу по вопросам обработки персональных данных и в случае, если субъект считает, что его права нарушены и оператор не предпринял необходимых мер обращение за защитой в порядке, определенном Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных» или другими федеральными законами;
• Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

4. Цели обработки персональных данных

4.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

4.2. Цели обработки персональных данных, перечень субъектов и категории обрабатываемых персональных данных утверждены в Приложении №1 к настоящей Политике.

5. Принципы обработки персональных данных

5.1. Обработка персональных данных в Обществе осуществляется с соблюдением следующих принципов:

• обработка персональных данных осуществляется на законной и справедливой основе;
• обработке подлежат только персональные данные, которые отвечают целям их обработки;
• обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;
• обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
• не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• содержание и объем обрабатываемых персональных данных соответствует заявленным целям обработки;
• при обработке персональных данных обеспечиваются точность персональных данных, их достаточность и актуальность по отношению к целям обработки персональных данных;
• хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем того требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
• обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законодательством.

6. Правовые основания обработки персональных данных

6.1 Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Общество осуществляет обработку персональных данных, в том числе:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
• Федеральный закон от 08.02.1998 №14-ФЗ «Об обществах с ограниченной ответственностью»;
• Федеральный закон от 15.12.2001 №167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
• Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» (далее - ФЗ «О персональных данных», Закон о персональных данных).
• Федеральный закон от 29.12.2006 № 255-ФЗ «Об обязательном социальном страховании на случай временной нетрудоспособности и в связи с материнством»;
• Федеральный закон от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»;
• Федеральный закон от 06.12.2011 №402-ФЗ «О бухгалтерском учете»;
• Постановление Правительства Российской Федерации от 1 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Постановление Правительства Российской Федерации от 15 сентября 2008 года № 687 «Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Приказ ФСТЭК России от 18 февраля 2013 года № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• Приказ Роскомнадзора от 5 сентября 2013 года №996 «Об утверждении требований и методов по обезличиванию персональных данных»;
• иные нормативные правовые акты, регулирующие отношения в сфере персональных данных.

6.2 Правовым основанием обработки персональных данных также являются:

• устав Общества;
• согласие субъектов персональных данных на обработку их персональных данных;
• договор, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также заключение договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных является выгодоприобретателем или поручителем;
• иные правовые основания, указанные в ст. 6 ФЗ «О персональных данных».

7. Объем и категории обрабатываемых персональных данных

7.1 Состав персональных данных, обрабатываемых в Обществе, определяется в соответствии с законодательством Российской Федерации и предусмотрен/определен Приложением №1 к настоящей Политике с учётом заявленных целей обработки персональных данных.
7.2. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, интимной жизни, религиозных и философских убеждений в Обществе не осуществляется.
7.3. В целях информационного обеспечения Общество может создавать общедоступные источники (в том числе справочники и адресные книги), в которые могут включаться персональные данные, сообщаемые субъектом персональных данных с его письменного согласия, если иное не предусмотрено законодательством Российской Федерации.
7.4. В Обществе могут обрабатываться биометрические персональные данные субъектов персональных данных только при наличии письменного согласия субъектов, если иное не предусмотрено законодательством Российской Федерации.

8. Категории субъектов персональных данных

8.1. Общество осуществляет обработку персональных данных следующих субъектов:

• работники Общества, члены семьи и родственники работников, уволенные работники, законные представители;
• кандидаты для приема на работу, члены семьи работника /кандидата на работу;
• третьи лица, в том числе: являющиеся стороной по договору, подписантом и исполнителем, контрагенты Общества и их работники, представители контрагентов; третьи лица, являющиеся получателями социальных льгот и гарантий в соответствии с локальными нормативными актами Общества.
• пользователи интернет-сайта Общества.

9. Порядок и условия обработки персональных данных

9.1. Общество осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.
9.2. Обработка персональных данных в Обществе осуществляется следующими способами:

• неавтоматизированная обработка персональных данных;
• автоматизированная обработка персональных данных с передачей информации по информационно-телекоммуникационным сетям или без таковой;
• смешанная обработка персональных данных.

9.3. Обработка персональных данных в Обществе осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством Российской Федерации в области персональных данных.
9.4. Общество не раскрывает третьим лицам и не распространяет персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законодательством.
9.5. Общество вправе с согласия субъекта персональных данных поручить обработку его персональных данных другому лицу на основании заключаемого с этим лицом договора.
9.6. Меры, необходимые и достаточные для обеспечения выполнения Обществом обязанностей операторов, предусмотренных законодательством Российской Федерации в области персональных данных, включают:

• назначение лица, ответственного за организацию обработки персональных данных;
• принятие локальных нормативных актов и иных документов в области обработки и защиты персональных данных;
• определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных;
• ознакомление работников Общества, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных и локальными актами по вопросам обработки персональных данных и, при необходимости, организация обучения указанных сотрудников;
• получение согласий субъектов персональных данных на обработку их персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации;
• осуществление внутреннего контроля за принимаемыми мерами по обеспечению безопасности персональных данных;
• иные меры, предусмотренные законодательством Российской Федерации в области персональных данных.

9.7. Лицо, ответственное за организацию обработки персональных данных организует непрерывный процесс контроля соблюдения в Обществе требований федерального законодательства и локальных нормативных актов в области персональных данных.
9.8. Должностные лица Общества виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут ответственность, предусмотренную законодательством Российской Федерации.
9.9. Общество не осуществляет трансграничную передачу персональных данных.
9.9.1. В случае принятия Обществом решения об осуществлении трансграничной передачи персональных данных Общество до начала трансграничной передачи данных обязано уведомить (на бумажном носителе или в форме электронного документа) Роскомнадзор о своем намерении осуществлять трансграничную передачу персональных данных в порядке и на условиях, предусмотренных Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных», с обязательным получением до подачи такого уведомления сведений от органов власти иностранного государства, иностранных физических лиц, иностранных юридических лиц, которым планируется трансграничная передача персональных данных (такие сведения предоставляются Обществом по запросу Роскомнадзора в течение 10 рабочих дней с даты его получения).
9.9.2. После направления уведомления, указанного в п. 9.9.1, Общество вправе осуществлять трансграничную передачу персональных данных на территории указанных в таком уведомлении иностранных государств, являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных или включенных в утвержденный Роскомнадзором Перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, до принятия решения Роскомнадзором о запрете или об ограничении трансграничной передачи персональных данных.
9.9.3. После направления уведомления, указанного в п. 9.9.1, Общество до истечения сроков, установленных Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных», не вправе осуществлять трансграничную передачу персональных данных на территории указанных в уведомлении иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и не включенных в утвержденный Роскомнадзором Перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, за исключением случая, если такая трансграничная передача персональных данных необходима для защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц.
9.9.4. В случае принятия Роскомнадзором решения о запрете или об ограничении трансграничной передачи персональных данных Общество обязано обеспечить уничтожение органом власти иностранного государства, иностранным физическим лицом, иностранным юридическим лицом ранее переданных им персональных данных.

10. Актуализация, исправление персональных данных, ответы на запросы субъектов

10.1. Субъекты персональных данных имеют право доступа к своим персональным данным, а также на получение копии любой записи, содержащей его персональные данные; на уточнение, а также блокирование или уничтожение его персональных данных в установленных случаях; принятия предусмотренных законом мер по защите своих прав. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в предусмотренных законом случаях.
10.2. Все обращения субъектов персональных данных работников фиксируются в электронном журнале учёта обращений по вопросам персональных данных.
10.3. В целях обеспечения защиты персональных данных, хранящихся у Общества, субъекты имеют право:
10.3.1. на полную информацию об их персональных данных и обработке этих данных;
10.3.2. на свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные субъекта, за исключением случаев, предусмотренных федеральным законом;
10.3.3. определять своих представителей для защиты своих персональных данных;
10.3.4.требовать исключить или исправить неверные или неполные персональные данные, а также данные, обработанные с нарушением требований закона. При отказе Общества исключить или исправить персональные данные субъекта последний имеет право заявить в письменной форме Обществу о своем несогласии с соответствующим обоснованием такого несогласия;
10.3.5. требовать у Общества известить всех лиц, которым ранее сообщили неверные или неполные персональные данные Общества, обо всех произведенных в них исключениях, исправлениях или дополнениях;
10.3.6. обжаловать в суде любые неправомерные действия или бездействие Общество при обработке и защите персональных данных.
10.4. Подтверждение факта обработки персональных данных Обществом, правовые основания и цели обработки персональных данных, а также иные сведения, указанные в ч. 7 ст. 14 ФЗ «О персональных данных», предоставляются Обществом субъекту персональных данных или его представителю в течение 10 рабочих дней с момента обращения либо получения запроса субъекта персональных данных или его представителя. Данный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Обществу следует направить субъекту персональных данных мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации.
10.5. В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных. Запрос должен содержать:
10.5.1. номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
10.5.2. сведения, подтверждающие участие субъекта персональных данных в отношениях с Обществом (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Обществом;
10.5.2. сведения, подтверждающие участие субъекта персональных данных в отношениях с Обществом (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Обществом;
10.5.3. подпись субъекта персональных данных или его представителя.
10.6. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
10.7. Общество предоставляет сведения, указанные в ч. 7 ст. 14 ФЗ «О персональных данных», субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
10.8. Если в обращении (запросе) субъекта персональных данных не отражены в соответствии с требованиями ФЗ «О персональных данных» все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.
10.9. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с ч. 8 ст. 14 ФЗ «О персональных данных», в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
10.10. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу Роскомнадзора Общество осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
10.11. В случае подтверждения факта неточности персональных данных Общество на основании сведений, представленных субъектом персональных данных или его представителем либо Роскомнадзором, или иных необходимых документов уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.

11. Уничтожение персональных данных

11.1. Условия и сроки уничтожения персональных данных Обществом:
11.1.1. достижение цели обработки персональных данных либо утрата необходимости достигать эту цель - в течение 30 дней;
11.1.2. достижение максимальных сроков хранения документов, содержащих персональные данные, - в течение 30 дней;
11.1.3. предоставление субъектом персональных данных (его представителем) подтверждения того, что персональные данные получены незаконно или не являются необходимыми для заявленной цели обработки, - в течение семи рабочих дней;
11.1.4. отзыв субъектом персональных данных согласия на обработку его персональных данных, если их сохранение для цели их обработки более не требуется, - в течение 30 дней.
11.2. При достижении цели обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:
11.2.1. иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
11.2.2. Общество не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами;
11.2.3. иное не предусмотрено другим соглашением между Обществом и субъектом персональных данных..
11.3. Отбор материальных носителей (документы, жесткие диски, флеш-накопители и т.п.) и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению, осуществляют подразделения Общества, обрабатывающие персональные данные. На все отобранные к уничтожению документы составляется акт о выделении документов (исправления не допускаются).
11.4. Уничтожение персональных данных осуществляет комиссия, созданная приказом генерального директора Общества.
11.5. Комиссия проверяет наличие всех документов и носителей, включенных в акт о выделении, и после проверки его утверждает.
11.6.Персональные данные на бумажных носителях уничтожаются механическим способом - с использованием шредера/уничтожителя бумаг. Персональные данные на электронных носителях уничтожаются путем механического нарушения целостности носителя, не позволяющего считать или восстановить персональные данные, а также путем затирания и удаления данных с электронных носителей методами и средствами гарантированного удаления остаточной информации.
11.7. Комиссия подтверждает уничтожение персональных данных согласно Требованиям к подтверждению уничтожения персональных данных, утвержденным Приказом Роскомнадзора от 28.10.2022 № 179, а именно:
11.7.1. актом об уничтожении персональных данных - если данные обрабатываются без использования средств автоматизации;
11.7.2. актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе персональных данных - если данные обрабатываются с использованием средств автоматизации либо одновременно с использованием и без использования таких средств.
11.7.3. Акт может составляться на бумажном носителе или в электронной форме, подписанной электронными подписями. Формы акта и выгрузки из журнала с учетом сведений, которые должны содержаться в указанных документах, утверждаются приказом руководителя Общества.
11.7.4. Уничтожение персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе.
11.8. В случае невозможности уничтожения персональных данных в установленный срок, Общество блокирует данные и обеспечивает дальнейшее уничтожение в течение 6 месяцев.

12. Защита персональных данных

12.1. С целью защиты персональных данных в Обществе приказами руководителя назначаются /утверждаются:
12.1.1. работник, ответственный за организацию обработки персональных данных;
12.1.2. работник, ответственный за обеспечение безопасности персональных данных в информационных системах;
12.1.4. политика в отношении обработки персональных данных;
12.1.5. локальные акты по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований;
12.1.6. иные локальные нормативные акты, принятые в соответствии с требованиями законодательства в области персональных данных.
12.2. Материальные носители персональных данных хранятся в шкафах, запирающихся на ключ. Помещения Общества, в которых они размещаются, оборудуются запирающими устройствами. Доступ к шкафам, хранящим материальные носители персональных данных, ограничен.
12.3. Доступ к персональной информации, содержащейся в информационных системах Общества, осуществляется по индивидуальным паролям.
12.4. В Обществе используется сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами.
12.5. В целях обеспечения выполнения обязанностей, связанных с обработкой персональных данных, IT Дирекция проводит 1 раз в год оценку вреда, который может быть причинен субъектам персональных данных при нарушении ФЗ «О персональных данных».
12.6. Оценка вреда осуществляется в соответствии с Требованиями, утвержденными Приказом Роскомнадзора от 27.10.2022 № 178 (п. 5 ч. 1 ст. 18.1 ФЗ «О персональных данных) с оформлением соответствующего Акта оценки вреда, который должен содержать: наименование и адрес Общества, дату проведения оценки вреда, фамилию, имя, отчество (при наличии), подпись лица (лиц), проводивших оценку, степень вреда, которая может быть причинена субъекту персональных данных (п. 4 Приказа № 178).
12.7. При повышении уровня /степени вреда Общество пересматривает способы защиты информационных систем персональных данных.
12.8. Работники Общества, обрабатывающие персональные данные, периодически проходят обучение требованиям законодательства в области персональных данных.
12.9. В должностные инструкции работников Общества, обрабатывающих персональные данные, включаются, в частности, положения о необходимости сообщать о любых случаях несанкционированного доступа к персональным данным.
12.10. В Обществе проводятся внутренние расследования в следующих ситуациях:
12.10.1. при неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов персональных данных;
12.10.2. в иных случаях, предусмотренных законодательством в области персональных данных.
12.10.3. Работник, ответственный за организацию обработки персональных данных, осуществляет непрерывный внутренний контроль:
12.10.4. за соблюдением работниками, уполномоченными на обработку персональных данных, требований законодательства в области персональных данных, локальных нормативных актов;
12.10.5. соответствием указанных актов требованиям законодательства в области персональных данных;
12.10.6. Внутренний контроль проходит в виде внутренних проверок. Внутренние плановые проверки осуществляются на основании ежегодного плана, который утверждается руководителем Общества.
12.10.7. Внутренние внеплановые проверки осуществляются по решению работника, ответственного за организацию обработки персональных данных. Основанием для них служит информация о нарушении законодательства в области персональных данных, поступившая в устном или письменном виде.
12.10.8. По итогам внутренней проверки оформляется докладная записка на имя руководителя Общества. Если выявлены нарушения, в документе приводится перечень мероприятий по их устранению и соответствующие сроки.

13. Процедуры, направленные на устранение последствий нарушений

13.1. Внутреннее расследование проводится, если выявлен факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных (далее - инцидент).
13.2. В случае инцидента Общество в течение 24 часов уведомляет Роскомнадзор:
13.2.1. об инциденте;
13.2.2. его предполагаемых причинах и вреде, причиненном правам субъекта (нескольким субъектам) персональных данных;
13.2.3. принятых мерах по устранению последствий инцидента;
13.2.4. представителе Общества, который уполномочен взаимодействовать с Роскомнадзором по вопросам, связанным с инцидентом.
13.3. При направлении уведомления необходимо руководствоваться Порядком и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора от 14.11.2022 № 187.
13.4. При инциденте с критической информационной структурой в срок не позднее 24 часов с момента обнаружения оформляется сообщение в ГосСОПку (государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак).
13.5. В срок не позднее 48 часов с момента обнаружения в Обществе проводится внутренне расследование по факту происшедшего с составлением акта;
13.6. В течение 72 часов Общество обязано сделать следующее:
13.6.1. уведомить Роскомнадзор о результатах внутреннего расследования;
13.6.2. предоставить сведения о лицах, действия которых стали причиной инцидента (при наличии).
13.7.При направлении уведомления также необходимо руководствоваться Порядком и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора от 14.11.2022 №187.
113.8. Общество уведомляет субъекта персональных данных об устранении нарушений в части неправомерной обработки персональных данных. Уведомляется также Роскомнадзор, если он направил обращение субъекта персональных данных (его представителя) либо сам сделал запрос.
13.9. В случае уничтожения персональных данных, которые обрабатывались неправомерно, уведомление направляется в соответствии с Разделом 9 Положения.
13.10. В случае уничтожения персональных данных, незаконно полученных или не являющихся необходимыми для заявленной цели обработки, Общество уведомляет субъекта персональных данных (его представителя) о принятых мерах в письменном виде. Общество уведомляет по электронной почте также третьих лиц, которым были переданы такие персональные данные.

14. Контактная информация для направления обращений

Обращения субъектов персональных данных и их представителей по поводу неточности персональных данных, неправомерности их обработки, отзыва согласия и доступа субъекта персональных данных к своим данным принимаются Обществом посредством обращения на почту: info.box@evrazsteel.ru

Перечень обрабатываемых персональных данных, цели и категории субъектов

Оговорки о персональных данных для договоров

• Оговорка о персональных данных для договоров юридических лиц и ИП
• Оговорка о персональных данных для договоров физических лиц