1. Общие положения
1.1. В целях выполнения норм действующего законодательства Российской Федерации в АО «СЭК Лата Трэк» (далее – СЭК, Оператор) введено в действие настоящее Положение, используемое при обработке персональных данных, а также для обеспечения безопасности процессов ее обработки.
1.2. Настоящее Положение разработано в соответствии с:
Трудовым кодексом Российской Федерации, Кодексом Российской Федерации об административных правонарушениях, Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных», Гражданским кодексом Российской Федерации, Законом РФ от 07.02.1992 г. № 2300-1 «О защите прав потребителей», Постановлением Правительства РФ от 21.09.2020 г. № 1514 «Об утверждении Правил бытового обслуживания населения», Федеральным законом от 21.11.2011 г. № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации», Федеральным законом от 22.05.2003 г. № 54-ФЗ «О применении контрольно-кассовой техники при осуществлении расчетов в Российской Федерации», Указанием Банка России от 11.03.2014 г. № 3210-У «О порядке ведения кассовых операций юридическими лицами и упрощенном порядке ведения кассовых операций индивидуальными предпринимателями и субъектами малого предпринимательства», Гражданско-процессуальным кодексом Российской Федерации, Арбитражным процессуальным кодексом Российской Федерации, Кодексом административного судопроизводства в Российской Федерации, Федеральным законом от 02.10.2007 г. № 229-ФЗ «Об исполнительном производстве», Федеральным законом от 27.07.2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 07.07.2003 г. № 126-ФЗ «О связи», Постановлением Правительства Российской Федерации от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», Постановлением Правительства Российской Федерации от 15.09. 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», Приказом Роскомнадзора от 28.10.2022 г. № 179 «Об утверждении требований к подтверждению уничтожения персональных данных».
2. Правовые основания обработки персональных данных
2.1. Положение разработано в соответствии с действующим законодательством Российской Федерации в области обработки и защиты персональных данных.
2.2. Во исполнение Положения руководителем Оператора назначено ответственное лицо в сфере обработки и защиты персональных данных.
3. Принципы, цели, содержание и способы обработки персональных данных
3.1. Оператор в своей деятельности обеспечивает соблюдение принципов обработки персональных данных, указанных в ст. 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
3.2. Оператор осуществляет сбор и дальнейшую обработку персональных данных в следующих целях:
— поставка товаров, выполнение работ и оказание услуг, а также осуществление СЭК
— процедур закупок у контрагентов и ведение СЭК деловых переговоров с контрагентами;
— осуществление СЭК взаимных расчетов с контрагентами;
— рассмотрение и учет обращений (в том числе, запросов, предложений, комментариев, претензий, благодарностей), поступающих в СЭК от контрагентов и иных лиц;
— принятие СЭК мер должной осмотрительности при взаимодействии с действительными и потенциальными контрагентами, включающее в себя оценку соответствующих юридических, финансовых, репутационных и иных рисков;
— оформление СЭК доверенностей в рамках наделения сотрудников и иных лиц специальными полномочиями для выполнения возложенных на них трудовых функций и (или) представления интересов СЭК;
— участие СЭК в гражданском, арбитражном, уголовном, административном процессах, а также исполнение судебных актов;
— соблюдение СЭК трудового законодательства и иных актов, содержащих нормы трудового права, включая учет труда и его оплаты, принятие управленческих и кадровых решений в отношении сотрудников, контроль над трудовой дисциплиной;
— замещение вакантных должностей в СЭК соискателями, наиболее полно соответствующими требованиям СЭК;
— выполнение сотрудниками СЭК трудовой функции;
— осуществление СЭК расчета и выплаты сотрудникам причитающейся им заработной платы, компенсаций и премий, осуществление пенсионных и налоговых отчислений, а также расчет с подотчетными лицами;
— организация и (или) осуществление СЭК обучения, повышения квалификации и проверки знаний для своих сотрудников;
— осуществление СЭК оценки удовлетворенности сотрудников работой в СЭК и своим трудом;
— осуществление СЭК проверки знаний сотрудников посредством оценки их деловых и личностных качеств, а также результатов их труда;
— содействие СЭК сотрудникам в общественном признании их профессиональных достижений и личных заслуг, талантов, способностей, а также мотивирование сотрудников;
— предоставление СЭК дополнительных социальных льгот сотрудникам, членам их семей и иным родственникам в виде предоставления бесплатного питания, организации доставки к месту работы и обратно, выплаты материальной помощи и иных компенсаций в случаях, определенных локальными актами СЭК;
— выполнение СЭК принятых на себя социальных обязательств в отношении сотрудников и их родственников в виде предоставления им возможности участвовать в программах добровольного медицинского страхования, страхования жизни, страхования от несчастного случая, страхования на случай возникновения критических заболеваний, а также страхования расходов при выезде за рубеж;
— организация СЭК добровольного участия сотрудников в благотворительных мероприятиях;
— оформление СЭК командировочных документов для сотрудников, а также организация и управление деловыми поездками сотрудников (включая оказание помощи в оформлении въездных виз в иностранные государства);
— организация СЭК обучения, инструктажа, проверки знаний сотрудников и иных лиц по охране труда и технике безопасности, а также проведение специальной оценки условий труда;
— выявление СЭК нарушений состояния здоровья и медицинских противопоказаний к работе у сотрудников (включая проведение медицинских осмотров и медицинское наркологическое освидетельствование на состояние опьянения);
— осуществление СЭК расследования и учета несчастных случаев, происшедших с сотрудниками и иными лицами при исполнении ими своих трудовых функций, а также в иных случаях, предусмотренных трудовым законодательством;
— содействие СЭК сотрудникам в облегчении и повышении эффективности коммуникаций между ними;
— содействие СЭК сотрудникам в надлежащем выполнении ими возложенных на них трудовых функций посредством выдачи визитных карточек, предоставления услуг такси, обеспечение личной безопасности;
— защита жизни, здоровья сотрудников и иных лиц, посещающих объекты недвижимости (помещения, здания, территорию) СЭК, а также обеспечение сохранности материальных и иных ценностей, находящихся в ведении СЭК;
— предоставление СЭК служебных транспортных средств сотрудникам для обеспечения текущей деятельности СЭК, для учета и возмещения расходов на эксплуатацию предоставленных транспортных средств, для контроля надлежащего использования и сохранности предоставленных транспортных средств;
— выделение (подключение) средств вычислительных средств и оргтехники, находящихся в ведении СЭК, а также управление доступом к ресурсам информационных систем СЭК;
— решение проблем, возникающих в процессе работы со средствами вычислительной техники и оргтехникой, находящихся в ведении СЭК, а также при доступе к ресурсам информационных систем СЭК;
— предоставление СЭК сотрудникам служебных сервисов по использованию мобильной радиосвязи и по доступу к информационно-телекоммуникационной сети «Интернет», а также обеспечение эффективного управления и контроля затрат на предоставление данных сервисов;
— организация и осуществление независимой проверки бухгалтерской (финансовой) отчетности СЭК в целях выражения мнения о достоверности такой отчетности;
— организация и осуществление в СЭК внешнего и внутреннего контроля бизнес- процессов и качества оказываемых услуг на соответствие требованиям локальных и глобальных политик и процедур, российского и международного законодательства, а также применимых стандартов;
— осуществление СЭК правильного учета, надлежащего хранения и уничтожения по истечении сроков хранения отдельных категорий материальных носителей информации.
3.3. Оператор установил следующие условия прекращения обработки персональных данных:
— достижение целей обработки персональных данных и максимальных сроков хранения;
— утрата необходимости в достижении целей обработки персональных данных;
— предоставление субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
— невозможность обеспечения правомерности обработки персональных данных;
— отзыв субъектом персональных данных согласия на обработку персональных данных, если сохранение персональных данных более не требуется для целей обработки персональных данных;
— истечение сроков исковой давности для правоотношений, в рамках которых осуществляется либо осуществлялась обработка персональных данных.
3.4. Обработка персональных данных Оператором включает в себя: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Обработка персональных данных осуществляется путем:
— получения оригиналов необходимых документов (заявление, трудовая книжка, иные документы);
— копирования оригиналов документов;
— внесения сведений в учетные формы (на бумажных и электронных носителях);
— формирования персональных данных в ходе кадровой работы;
— внесения персональных данных в информационную систему «1С: Предприятие»;
— видеозаписи на камеры открытого видеонаблюдения (в помещениях, предназначенных для личных нужд работников, видеонаблюдение не ведется).
3.5. Оператор осуществляет обработку специальных категорий персональных данных (сведения о состоянии здоровья) только с письменного согласия субъекта персональных данных.
3.6. Оператор осуществляет обработку биометрических персональных данных (сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность) только с письменного согласия субъекта персональных данных.
3.7. Оператор может осуществлять обработку персональных данных с использованием средств автоматизации и без использования средств автоматизации.
3.8. При сборе персональных данных Оператор может обеспечивать запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, прямо предусмотренных действующим законодательством Российской Федерации о персональных данных.
3.9. В целях, указанных в п. 3.2 настоящего Положения, обрабатываются следующие категории персональных данных физических лиц работников СЭК:
— фамилия, имя, отчество (в том числе предыдущие фамилии, имена и (или) отчества, в случае их изменения);
— число, месяц, год рождения;
— место рождения;
— информация о гражданстве;
— вид, серия, номер документа, удостоверяющего личность, наименование органа, выдавшего его, дата выдачи;
— адрес места жительства (адрес регистрации, фактического проживания);
— номер контактного телефона или сведения о других способах связи;
— реквизиты страхового свидетельства государственного пенсионного страхования;
— идентификационный номер налогоплательщика;
— реквизиты страхового медицинского полиса обязательного медицинского страхования;
— реквизиты свидетельств государственной регистрации актов гражданского состояния;
— семейное положение, состав семьи и сведения о близких родственниках;
— сведения о трудовой деятельности;
— общий трудовой и страховой стаж;
— сведения об образовании, в том числе о послевузовском профессиональном образовании (наименование и год окончания образовательного учреждения, наименование и реквизиты документа об образовании, квалификация, специальность по документу об образовании);
— сведения о воинском учете и реквизиты документов воинского учета;
— медицинское заключение по установленной форме об отсутствии у работника заболеваний, препятствующих выполнению им возложенных на него трудовых функций, медицинская книжка;
— фотография;
— приказы о приеме на работу (увольнении), переводе, поощрении, награждении и другие приказы и документы, касающиеся трудовой деятельности работника;
— информация, содержащаяся в трудовом договоре, дополнительных соглашениях к нему;
— должность, табельный номер;
— информация о ежегодных оплачиваемых отпусках, учебных отпусках и отпусках без сохранения заработной платы;
— сведения о профессиональной переподготовке и (или) повышении квалификации;
— номер и дата выдачи удостоверения участника боевых действий, ликвидатора последствий на Чернобыльской АС;
— государственные награды, иные награды и знаки отличия;
— реквизиты счета банковской карты;
— данные, содержащиеся в больничных листах;
— инвалидность (дата выдачи, срок действия документа подтверждающего инвалидность, группа инвалидности);
— материалы видеосъемки работника;
— температура тела, данные о состоянии здоровья работника и лиц, проживающих вместе с ним, информация о возможных контактах с больными лицами или лицами, вернувшимися из другой страны или субъекта Российской Федерации;
— информация о сделанных профилактических прививках против новой коронавирусной инфекции (COVID-19) или о наличии медицинских противопоказаний к вакцинации, или о перенесенном заболевании, вызванном новой коронавирусной инфекцией (COVID-19);
— информация об имеющейся или имевшейся судимости, а также о том, что работник подвергается уголовному преследованию (для отдельных категорий работников, определенных действующим законодательством Российской Федерации).
3.10. В целях, указанных в п. 3.2 настоящего Положения, обрабатываются следующие категории персональных данных физических лиц соискателей на вакантные должности СЭК, акционеров СЭК:
— фамилия, имя, отчество;
— число, месяц, год рождения;
— гражданство;
— вид, серия, номер документа, удостоверяющего личность, наименование органа, выдавшего его, дата выдачи;
— сведения об образовании, в том числе о послевузовском профессиональном образовании (наименование и год окончания образовательного учреждения, специальность по документу об образовании);
— сведения о трудовой деятельности;
— адрес места жительства (адрес регистрации, фактического проживания);
— номер контактного телефона или сведения о других способах связи;
— сведения о воинском учете;
— информация о владении прикладными компьютерными программами;
— фотография;
— категория водительского удостоверения.
3.11. В целях, указанных в п. 3.2 настоящего Положения, обрабатываются следующие категории персональных данных физических лиц клиентов СЭК:
- При предоставлении услуги подъем на канатной дороге осуществляется обработка следующих персональных данных в отношении клиентов, имеющих право на оформление льготных тарифов, действующих в СЭК:
— фамилия, имя, отчество;
— год рождения. - При предоставлении услуг проката спортивного оборудования и инвентаря осуществляется обработка следующих персональных данных:
— фамилия, имя, отчество;
— число, месяц и год рождения;
— номер контактного телефона;
— для оформления залога: данные водительского удостоверения клиента, свидетельства о регистрации транспортного средства и страхового полиса ОСАГО (если клиент не является собственником транспортного средства). - При предоставлении услуг долгосрочного хранения осуществляется обработка следующих персональных данных:
— фамилия, имя, отчество;
— адрес места жительства;
— номер контактного телефона. - При предоставлении услуги первичная доврачебная медико-санитарная помощь по сестринскому делу и первичная специализированная медико-санитарная помощь по травматологии и ортопедии осуществляется обработка следующих персональных данных:
— фамилия, имя, отчество;
— возраст;
— населенный пункт и субъект Российской Федерации, где клиент фактически проживает;
— время обращения в медицинский кабинет, жалобы на состояние здоровья, предварительный диагноз, оказанная первая помощь. - При предоставлении услуг: детская комната и сопровождение и консультирование по методике катания на горных лыжах и сноуборде осуществляется обработка следующих персональных данных:
— фамилия, имя, отчество клиента – родителя/законного представителя ребенка;
— номер контактного телефона клиента – родителя/законного представителя ребенка;
— имя ребенка, год его рождения или количество полных лет ребенка (для услуги детская комната). - При предоставлении СЭК комплекса услуг на основании договора, заключаемого в письменной форме, осуществляется обработка следующих персональных данных:
— фамилия, имя, отчество;
— вид, серия, номер документа, удостоверяющего личность, наименование органа, выдавшего его, дата выдачи;
— номер контактного телефона, адрес электронной почты;
— адрес места жительства;
— реквизиты банковского счета;
— идентификационный номер налогоплательщика. - При предоставлении услуги ски-сервис осуществляется обработка следующих персональных данных:
— фамилия;
— номер контактного телефона. - При предоставлении услуги бронирования услуги сопровождения и консультирования по методике катания на горных лыжах и сноуборде осуществляется обработка следующих персональных данных:
— фамилия, имя, отчество;
— номер контактного телефона, адрес электронной почты. - При осуществлении денежных расчетов с клиентами за предоставляемые услуги осуществляется обработка следующих персональных данных:
9.1. в случае желания клиента получить кассовый чек в форме автоматической рассылки:
— номер контактного телефона или адрес электронной почты;
9.2. в случае необходимости возврата клиенту денежных средств в безналичной форме:
— фамилия, имя, отчество;
— номер контактного телефона, адрес электронной почты;
— реквизиты банковского счета;
— идентификационный номер налогоплательщика.
4. Меры по надлежащей организации обработки и обеспечению безопасности персональных данных
4.1. Оператор при обработке персональных данных принимает все необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении них. Обеспечение безопасности персональных данных достигается, в частности, следующими способами:
— назначением ответственного лица за организацию обработки персональных данных;
— осуществлением внутреннего контроля и (или) аудита соответствия обработки персональных данных Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, требованиями к защите персональных данных, локальными актами Оператора;
— ознакомлением сотрудников Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, локальными актами в отношении обработки персональных данных и (или) обучением указанных сотрудников;
— определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
— применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных;
— оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
— организацией режима безопасности помещений, в которых осуществляется обработка персональных данных и (или) размещены информационные системы персональных данных Оператора;
— определением мест хранения материальных носителей персональных данных, а также обеспечением учета и сохранности материальных носителей персональных данных;
— выявлением фактов несанкционированного доступа к персональным данным и принятием соответствующих мер;
— восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
— установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
— контролем над принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищенности информационных систем персональных данных.
5. Лицо, ответственное за организацию обработки персональных данных
5.1. Права, обязанности и юридическая ответственность лица, ответственного за организацию обработки персональных данных, установлены Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
5.2. Назначение лица, ответственного за организацию обработки персональных данных, и освобождение от указанных обязанностей осуществляется руководителем Оператора. При назначении лица, ответственного за организацию обработки персональных данных, учитываются полномочия, компетенции и личностные качества должностного лица, призванные позволить ему надлежащим образом и в полном объеме реализовывать свои права и выполнять обязанности по обеспечению безопасности персональных данных.
5.3. Лицо, ответственное за организацию обработки персональных данных:
— организует осуществление внутреннего контроля над соблюдением Оператором и его сотрудниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
— доводит до сведения сотрудников Оператора положения законодательства Российской Федерации о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
— осуществляет контроль над приемом и обработкой обращений и запросов субъектов персональных данных или их представителей.
— Контактные данные лица, ответственного за организацию обработки и обеспечение безопасности персональных данных: почтовый адрес: г. Москва, ул. Крылатская, д.1.
6. Права субъектов персональных данных
6.1. Субъект персональных данных имеет право на получение сведений об обработке его персональных данных Оператором.
6.2. Субъект персональных данных вправе требовать от Оператора уточнения этих персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не могут быть признаны необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
6.3. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе, если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
6.4. Для реализации и защиты своих прав и законных интересов субъект персональных данных имеет право обратиться к Оператору. Оператор рассматривает любые обращения и жалобы со стороны субъектов персональных данных, тщательно расследует факты нарушений и принимает все необходимые меры для их немедленного устранения, наказания виновных лиц и урегулирования спорных и конфликтных ситуаций в досудебном порядке.
6.5. Субъект персональных данных вправе обжаловать действия или бездействие Оператора путем обращения в уполномоченный орган по защите прав субъектов персональных данных.
6.6. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и/или компенсацию морального вреда в судебном порядке.
7. Доступ к Положению
7.1. Действующая редакция Положения на бумажном носителе хранится по адресу местонахождения Оператора: г. Москва, ул. Крылатская, д. 1, каб. 21.
8. Актуализация и утверждение Положения
8.1. Положение утверждается и вводится в действие руководителем Оператора.
8.2. Оператор имеет право вносить изменения в Положение.
8.2.1. Положение пересматривается по мере необходимости, но не реже одного раза в три года с момента проведения предыдущего пересмотра Положения. Положение утверждается заново, если по результатам пересмотра в него вносятся изменения.
8.2.2. Положение может пересматриваться и заново утверждаться ранее срока, указанного в п.8.2.1 – по мере внесения изменений:
— в нормативные правовые акты Российской Федерации в сфере персональных данных;
— в локальные нормативные акты Оператора, регламентирующие организацию обработки и обеспечение безопасности персональных данных;
— в договоры и соглашения, регламентирующие правоотношения Оператора с контрагентами и иными лицами;
— в порядок организации Оператором обработки и обеспечения безопасности персональных данных.
8.3. В случае, если по тем или иным причинам один или несколько пунктов настоящего Положения будут признаны недействительными или не имеющими юридической силы, данные обстоятельства не оказывают влияния на действительность или применимость остальных пунктов Положения.
8.4. Вопросы, не урегулированные настоящим Положением, регламентируются действующим законодательством Российской Федерации.
9. Ответственность
9.1. Лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут ответственность, предусмотренную законодательством Российской Федерации, локальными актами Оператора и договорами, регламентирующими правоотношения Оператора с третьими лицами.
10. Порядок уничтожения персональных данных при достижении целей обработки или при наступлении иных законных оснований
10.1. Руководителями структурных подразделений СЭК, в которых обрабатываются персональные данные, ежемесячно определяются документы, и электронные носители, содержащие персональные данные, с истекшими сроками хранения, подлежащие уничтожению.
10.2. По результатам выборки документов согласно п. 10.1 составляется Акт о выделении к уничтожению документов, опись уничтожаемых дел, проверяется их комплектность.
10.3. Уничтожение документов, содержащих персональные данные, производится в присутствии руководителей соответствующих структурных подразделений.
10.4. Уничтожение по окончании срока обработки персональных данных на электронных носителях производится путем механического нарушения целостности носителя, не позволяющего произвести считывание или восстановление персональных данных, или удалением с электронных носителей методами и средствами гарантированного удаления остаточной информации. Документами, подтверждающими уничтожение персональных данных, обработка которых проводилась с использованием средств автоматизации, является Акт об уничтожении персональных данных и выгрузка из журнала регистрации событий соответствующей информационной системы.
10.5. Акты об уничтожении персональных данных и выгрузки из журналов должны соответствовать требования, предъявляемым к ним действующими нормативными правовыми актами, и храниться в течение 3-х лет с момента уничтожения персональных данных.