Политика обработки персональных данных ООО «ДССЛ»

Общие положения

1. Настоящая политика об организации обработки персональных данных ООО «ДССЛ», ИНН 7709423841, ОГРН 1037709044460, адрес: 105082, город Москва, Бакунинская ул., д. 71, эт 6 комната 7 (далее – Политика) разработана в целях реализации требований законодательства Российской Федерации в области обработки персональных данных, а также в сфере обеспечения безопасности процессов их обработки.
2. Политика раскрывает способы и принципы обработки персональных данных (далее – ПД) ООО «ДССЛ» (далее – Оператор), его права и обязанности при обработке, права и обязанности физических лиц, чьи персональные данные обрабатываются (далее – Субъекты), а также включает перечень мер, применяемых Оператором в целях обеспечения безопасности ПД при их обработке.
3. Политика является общедоступным документом и декларирует основы деятельности Оператора при обработке ПД.
4. Оператор осуществляет целенаправленную обработку ПД в соответствии с принципами, предусмотренными ст. 5 федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных».
5. Описание релевантных целей обработки ПД, состав обрабатываемых данных, категории Субъектов, чьи ПД обрабатываются Оператором, основания такой обработки, сроки их обработки и хранения, а также способы их обработки и действия с ними изложены в Приложении № 1 к Политике.
6. Лица, виновные в нарушении норм, регулирующих обработку и защиту ПД, несут ответственность в соответствии с номами законодательства Российской Федерации, локально-нормативными актами Оператора и договорами Оператора с третьими лицами.
7. Подробную информацию, описывающую все особенности конкретных процессов обработки ПД Оператором, можно найти в локально-нормативных актах Оператора.

Особенности обработки ПД

1. Оператор вправе для достижения целей обработки ПД вправе привлекать третьих лиц. Привлечение производится путём поручения третьим лицам обработки ПД или путём получения ПД данных от третьих лиц и передачи ПД третьим лицам без поручения обработки ПД. К третьим лицами, например, могут относиться:
   
   
   1. лица, получающие ПД в предусмотренном законом случаях для осуществления и выполнения возложенных на таких лиц функций, полномочий и обязанностей;
   2. лица, в пользу которых Оператором может быть произведена уступка прав или обязанностей в отношении предусмотренных целей обработки ПД;
   3. правопреемники (инвесторы) Оператора или его аффилированные лица, если Оператор или его аффилированные лица будут вовлечены в сделки по реорганизации, слиянию, поглощению, ликвидации или отчуждению активов;
   4. иные лица, с которыми Оператор взаимодействует или может взаимодействовать для достижения предусмотренных целей обработки ПД.
   Фактический перечень привлекаемых третьих лиц определяется в рамках конкретного процесса обработки ПД, на основании сложившиеся отношений между Оператором и Субъектом и норм применимого законодательства.
2. Оператор вправе осуществлять трансграничную передачу ПД на территорию иностранных государств при наличии законного основания.
3. Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, если иное не предусмотрено законодательством Российской Федерации.
4. Оператор может создавать общедоступные источники ПД и осуществлять распространение ПД только с согласия Субъекта или на основании требований применимого законодательства.
5. Оператор информирует, что во время посещения Сайта и использования его функционала возможен пассивный сбор и обработка технической информации пользовательских устройств с использованием различных технологий и способов (например, IP-адрес пользовательского устройства, время визита, просмотренные страницы, загруженные файлы, тип и версия браузера, аутентификационные файлы cookies). Это необходимо для получения доступа к Сайту и функционирования самой сети Интернет в целом. Правила сбора и дальнейшей обработки технической информации описаны в Приложении № 2 к Политике.

Условия прекращения обработки ПД и порядок их уничтожения

1. Условия прекращения обработки ПД, установленные Оператором:
   
   
   1. достижение цели обработки или максимальных сроков хранения ПД;
   2. утрата необходимости в достижении цели обработки ПД;
   3. выявление неправомерной обработки ПД и невозможность обеспечить её правомерность;
   4. утрата законного основания для обработки ПД;
   5. ликвидация и некоторые формы реорганизации Оператора.
2. Прекращение обработки в соответствии с федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных» происходит путём блокирования, уничтожения или передачи ПД в архив в случаях, предусмотренных законодательством об архивном деле в РФ.
3. Оператор осуществляет блокирование ПД с последующим уничтожением в течение 6 месяцев (если иной срок не предусмотрен законодательством) в случае, если уничтожение ПД невозможно в установленные законодательством Российской Федерации сроки, и при этом происходит одно из следующих событий:
   
   
   1. невозможно обеспечить правомерность обработки ПД;
   2. согласие на обработку ПД было отозвано Субъектом или от него было получено требование субъекта о прекращении обработки;
   3. сохранение ПД более не требуется для целей обработки ПД.
4. Оператор производит уничтожение ПД способом, исключающим возможность их восстановления. Если ПД невозможно уничтожить без такого повреждения их материального носителя, которое будет препятствовать его дальнейшему использованию по назначению, то уничтожению подлежат и ПД, и их материальный носитель.
5. Подтверждение факта уничтожения ПД осуществляется в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов ПД.

Меры по надлежащей организации обработки ПД и обеспечению их безопасности

1. Оператор при обработке ПД принимает все необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении них.
2. Обеспечение безопасности ПД достигается, в частности, следующими мерами (с учётом их применимости в зависимости от способа и особенностей обработки ПД):
   
   
   1. назначением лица, ответственного за организацию обработки ПД;
   2. изданием документов или локальных актов:
      
      
      • определяющих политику Оператора в отношении обработки ПД,
      • устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства о ПД, устранение их последствий,
      • и иных локальных актов Оператора по вопросам обработки ПД.
      Такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов ПД, а также возлагающие на Оператора не предусмотренные законодательством о ПД полномочия и обязанности;
   3. осуществлением внутреннего контроля или аудита соответствия обработки ПД требованиям законодательства и локально-нормативных актов Оператора;
   4. осуществлением оценки вреда, который может быть причинён субъектам ПД в случае нарушения требований применимого законодательства о ПД, соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных требованиям применимого законодательства о ПД;
   5. обучением привлечённых (допущенных) к обработке ПД лиц и их ознакомлением с требованиями применимого законодательства о ПД, в том числе требованиями к защите ПД, документами, определяющими политику Оператора в отношении обработки ПД, локальными актами по вопросам обработки ПД;
   6. определением угроз безопасности ПД, которые могут возникнуть при их обработке в ИСПД;
   7. применением организационных и / или технических мер по обеспечению безопасности ПД при их обработке, в том числе в ИСПД, необходимых для обеспечения постоянной конфиденциальности, целостности, доступности и устойчивости процессов или систем, связанных с обработкой ПД;
   8. применением прошедших в установленном порядке процедуру оценки соответствия СЗИ, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности ПД и информационных технологий, используемых в ИСПД;
   9. применением для уничтожения ПД, прошедших в установленном порядке процедуру оценки соответствия СЗИ, в составе которых реализована функция уничтожения информации;
   10. оценкой эффективности принимаемых мер по обеспечению безопасности ПД до ввода в эксплуатацию ИСПД;
   11. определением мест хранения материальных (в том числе машинных) носителей ПД, обеспечением учёта и сохранности носителей ПД, исключением несанкционированного доступ к носителям ПД, а также раздельным хранением ПД (материальных носителей), обработка которых осуществляется в различных целях;
   12. воспрещением объединения баз с ИСПД или фиксации ПД на одном материальном носителе, если обработка ПД осуществляется в несовместимых между собой целях;
   13. обнаружением фактов несанкционированного доступа к ИСПД и принятием надлежащих мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на ИСПД, связанные с обработкой ПД, и по реагированию на компьютерные инциденты в них;
   14. восстановлением ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним или иного инцидента;
   15. установлением правил доступа к ПД, обрабатываемым в ИСПД, а также обеспечением регистрации и учёта всех действий, совершаемых с ПД в ИСПД;
   16. контролем за принимаемыми мерами по обеспечению безопасности ПД и уровня защищённости ИСПД;
   17. установлением и утверждением перечня лиц или должностей, привлечённых (допущенных) Оператором к автоматизированной или неавтоматизированной обработке ПД, в том числе в ИСПД, и ограничением доступа к ПД для иных лиц;
   18. информированием лиц, привлечённых (допущенных) Оператором к обработке ПД без использования средств автоматизации, о факте обработки указанными лицами ПД, обработка которых осуществляется без использования средств автоматизации, категориях обрабатываемых ПД, категориях субъектов, а также об особенностях и правилах осуществления такой обработки, предусмотренные применимым законодательством о ПД и подзаконными нормативными правовыми актами, а также локальными актами Оператора;
   19. организацией режима безопасности помещений, в которых осуществляется обработка ПД и / или размещены программно-аппаратные средства, используемые для обработки ПД, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
   20. уничтожением ПД способом, исключающим последующее восстановление и дальнейшую обработку ПД, а также подтверждением уничтожения ПД в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов ПД в РФ.
3. Сведения о средствах (способах) обеспечении безопасности ПД при их обработке:
   
   
   1. формирование модели(ей) актуальных (предполагаемых) угроз безопасности ПД при их обработке в ИСПД;
   2. разработка на основе модели(ей) угроз системы защиты ПД, обеспечивающей нейтрализацию угроз с использованием методов и способов защиты ПД, предусмотренных для соответствующих уровней защищённости ИСПД;
   3. установка и ввод в эксплуатацию СЗИ в соответствии с эксплуатационной и технической документацией;
   4. обучение лиц, использующих СЗИ, применяемые в ИСПД, правилам работы с ними;
   5. учёт применяемых СЗИ, эксплуатационной и технической документации к ним;
   6. учёт лиц, допущенных к работе с ПД, в том числе в ИСПД;
   7. контроль за соблюдением условий использования СЗИ, предусмотренных эксплуатационной и технической документацией;
   8. проведение проведения служебных проверок или внутренних расследований по фактам несоблюдения условий хранения материальных (в том числе машинных) ПД, использования СЗИ, которые могут привести к нарушению конфиденциальности ПД (инциденту с ПД) или другим нарушениям, приводящим к снижению уровня защищённости ПД.
4. Оператор в предусмотренном законодательством о ПД порядке и в соответствующие сроки уведомляет уполномоченный орган по защите прав субъектов ПД в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПД, повлёкшей нарушение прав субъектов ПД.

Права субъектов

1. Субъект имеет право на получение от Оператора сведений об обработке его ПД.
2. Субъект вправе требовать от Оператора уточнения его ПД, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, или незаконно полученными, а также принимать предусмотренные законом меры по защите своих прав.
3. Право Субъекта на доступ к его ПД может быть ограничено в соответствии с федеральными законами, в том числе, если доступ нарушает права и законные интересы третьих лиц.
4. Субъект вправе в любое время полностью или в какой-либо части отозвать ранее предоставленное Оператору согласие на обработку ПД или обратиться к Оператору с требованием о прекращении обработки ПД, за исключением случаев, когда обработка ПД предусмотрена п.п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных». Указанные в настоящем пункте права могут быть реализованы путём направления Оператору обращения.
5. Субъект вправе обжаловать действия или бездействие Оператора путём обращения в уполномоченный орган по защите прав субъектов ПД.
6. Субъект имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке.

Доступ к политике и коммуникация с Оператором

1. Действующая редакция Политики на бумажном носителе хранится в месте нахождения Оператора по адресу исполнительного органа Оператора (см. п.1.3 Политики), а электронная версия Политики опубликована на Сайте.
2. В случае возникновения у Субъекта каких-либо вопросов в отношении обработки его ПД или положений Политики, он может обратиться к Оператору любым из предусмотренных способов (личное письменное обращение к уполномоченному представителю Оператора по адресу Оператора; почтовое направление письменного обращения по адресу Оператора; направление обращения на электронный адрес registry@dssl.ru в форме электронного документа, подписанного усиленной квалифицированной электронной подписью в соответствии с законодательством РФ.

Определения

Автоматизированная обработка — обработка ПД с использованием средств автоматизации — обработка ПД по заданному алгоритму с помощью средств вычислительной техники, включая ИСПД, информационно-телекоммуникационные сети, АРМ и (или) машиночитаемые носители.

АРМ — автоматизированное рабочее место — программно-технический комплекс на базе стационарного или мобильного (портативного) персонального компьютера, предназначенный для автоматизации деятельности определённой категории пользователей или определённого вида деятельности.

Безопасность ПД — защищённость ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПД, а также от иных неправомерных действий в отношении ПД.

Биометрические ПД — сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта ПД.

Блокирование ПД — временное прекращение обработки ПД (за исключением случаев, если обработка необходима для уточнения ПД).

ИСПД — информационная система ПД — совокупность содержащихся в базах данных ПД и обеспечивающих их обработку информационных технологий и технических средств.

Компьютерный инцидент — любое реальное или предполагаемое событие, имеющее отношение к безопасности информационной или телекоммуникационной системе.

Материальный носитель — материальный объект, то есть бумажный или машинный носитель информации (в том числе ПД), используемый для закрепления и хранения на нем речевой, звуковой или изобразительной информации, в том числе в преобразованном виде.

Неавтоматизированная обработка — обработка ПД без использования средств автоматизации — осуществление по заданному алгоритму и при непосредственном участии человека поиска, доступа, использования, уточнения, распространения или уничтожения ПД, содержащихся на материальных носителях или в систематизированных собраниях ПД (в том числе картотеках, базах данных ИСПД, электронных файлах на АРМ), в отношении каждого из субъектов ПД.

Обработка ПД — любое действие или операция, а также их совокупность, совершаемые с использованием средств автоматизации или без использования таких средств с ПД, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПД.

Обработка ПД без использования средств автоматизации — обработка ПД, содержащихся в ИСПД либо извлечённых из такой системы, если такие действия с ПД осуществляются при непосредственном участии человека. Обработка ПД не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что ПД содержатся в ИСПД либо были извлечены из неё.

Общедоступные источники ПД — создаваемые в целях информационного обеспечения информационные ресурсы (в том числе справочники, адресные книги), в которые включены ПД с письменного согласия субъекта этих ПД.

Оценка возможного вреда — определение уровня вреда на основании учёта причинённых убытков и морального вреда, нарушения конфиденциальности, целостности и доступности ПД.

ПД — персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПД).

Передача ПД — действия, направленные на распространение, предоставление или доступ в отношении ПД.

Сайт — сайт в сети Интернет по адресу https://www.dssl.ru/.

Субъект — физическое лицо, к которому относятся соответствующие ПД.

СЗИ —средства защиты информации.

Распространение ПД — действия, направленные на раскрытие ПД неопределённому кругу лиц.

Трансграничная передача ПД — передача ПД на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Третьи лица — физические лица, в том числе индивидуальные предприниматели, или юридические лица, действующие как в собственных интересах, так и представляющие интересы третьих сторон, в их отношениях с Оператором в рамках или в связи с предполагаемыми, заключаемыми или заключёнными гражданско-правовыми договорами.

Уничтожение ПД — действия, в результате которых становится невозможным восстановить содержание ПД в ИСПД, на автоматизированном рабочем месте или на материальном носителе (в том числе путём уничтожения самого материального носителя).

Приложения