ПОЛИТИКА в отношении обработки персональных данных
ООО «4ФРЭШ»


1. Общие положения

1.1. Политика в отношении обработки персональных данных ООО «4ФРЭШ» (далее — «Политика») разработана в целях исполнения: Конституции Российской Федерации, Федерального закона от 27.07.2006 N149-ФЗ «Об информации,информационных технологиях и о защите информации», положений главы 14 Трудового кодекса Российской Федерации «Защита персональных данных работников», Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», постановления Правительства Российской Федерации от 15.09.2008 N 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», Постановления Правительства Российской Федерации от 01.11.2012 N1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и других нормативно-правовых актов, и нормативных-методических документов Российской Федерации, регулирующих отношения, связанные с обеспечением безопасности персональных данных при их обработке в информационных системах персональных данных.

1.2. Настоящая Политика определяет политику Общества с ограниченной ответственностью «О4ФРЭШ» (ООО «4ФРЭШ») ИНН 7728475669, ОГРН 1197746390478, адрес: 249034, Калужская область, город Обнинск, улица Гагарина дом 20А, офис 206 (далее - Оператор) в отношении обработки персональных данных и является общедоступным документом.

1.3. Требования настоящей Политики являются обязательными для исполнения всемисотрудниками Оператора, получившими доступ к персональным данным.

1.4. Решения об изменении настоящей Политики принимаются на основании:

1.4.1. Результатов проведенных аудитов, мероприятий по контролю и надзору за обеспечением безопасности персональных данных, осуществляемых уполномоченными органами;

1.4.2. Изменений нормативно-правовых актов и нормативных-методическихдокументов Российской Федерации, регулирующих отношения, связанные собеспечением безопасности персональных данных при их обработке винформационных системах персональных данных (далее - ИСПДн);

1.4.3. Изменений процессов обработки персональных данных в ИСПДн Оператора;1.4.4. Результатов анализа инцидентов информационной безопасности в ИСПДн.

1.5. Термины и определения

1.6. Персональные данные - любая информация, относящаяся к прямо или косвенноопределенному, или определяемому физическому лицу(субъекту персональныхданных);

1.7. Обработка персональных данных - любое действие (операция) или совокупностьдействий (операций), совершаемых с использованием средств автоматизации или безиспользования таких средств с персональными данными, включая сбор, запись,систематизацию, накопление, хранение, уточнение(обновление, изменение),извлечение, использование, передачу (распространение, предоставление, доступ),обезличивание, блокирование, удаление, уничтожение персональных данных;

1.8. Автоматизированная обработка персональных данных - обработка персональныхданных с помощью средств вычислительной техники;

1.9. Распространение персональных данных - действия, направленные на раскрытиеперсональных данных неопределенному кругу лиц;

1.10. Предоставление персональных данных - действия, направленные на раскрытиеперсональных данных определенному лицу или определенному кругу лиц;

1.11. Блокирование персональных данных- временное прекращение обработкиперсональных данных (за исключением случаев, если обработка необходима дляуточнения персональных данных);

1.12. Уничтожение персональных данных - действия, в результате которых становитсяневозможным восстановить содержание персональных данных в информационнойсистеме персональных данных и(или) в результате которых уничтожаютсяматериальные носители персональных данных;

1.13. Обезличивание персональных данных- действия, в результате которыхстановится невозможным без использования дополнительной информацииопределить принадлежность персональных данных конкретному субъектуперсональных данных;

1.14. Информационная система персональных данных-совокупность содержащихся в базах данных персональных данных и обеспечивающихих обработку информационных технологий и технических средств;

1.15. Трансграничная передача персональных данных- передача персональныхданных на территорию иностранного государства органу власти иностранногогосударства, иностранному физическому лицу или иностранному юридическому лицу.

2. Общие принципы и условия обработки персональных данных

2.1. Оператор осуществляет обработку персональных данных работников и лиц, неявляющихся таковыми.

2.2. Обработка осуществляется в целях исполнения функций, определеннымизаконами и иными нормативно-правовыми актами Российской Федерации, а также врамках осуществления видов деятельности, определенных во внутренних документахОператора.

2.3. При обработке персональных данных Оператор руководствуется следующимипринципами и условиями:

2.3.1. Обработка персональных данных должна осуществляться на законной исправедливой основе;

2.3.2. Обработка персональных данных осуществляется с согласия субъектаперсональных данных на обработку его персональных данных за исключениемслучаев, определенных подпунктами 2-11 части 1 статьи 6 Федерального закона от27.07.2006 N 152-ФЗ «О персональных данных»;

2.3.3. Обработка специальных категорий персональных данных осуществляется вслучаях, предусмотренных подпунктами 1-9 части 2 статьи 10 Федерального закона от27.07.2006 N 152-ФЗ «О персональных данных»;

2.3.4. Оператор вправе поручить обработку персональных данных другому лицу ссогласия субъекта персональных данных, если иное не предусмотрено федеральнымзаконом, на основании заключаемого с этим лицом договора, в том числегосударственного или муниципального контракта, либо путем принятиягосударственным или муниципальным органом соответствующего акта(далее-поручение Оператора). Лицо, осуществляющее обработку персональных данных попоручению Оператора, обязано соблюдать принципы и правила обработкиперсональных данных, предусмотренные положениями Федерального закона от27.07.2006 N 152-ФЗ «О персональных данных». В поручении Оператора должны бытьопределены перечень действий (операций) с персональными данными, которые будутсовершаться лицом, осуществляющим обработку персональных данных, и целиобработки, должна быть установлена обязанность такого лица соблюдатьконфиденциальность персональных данных и обеспечивать безопасностьперсональных данных при их обработке, а также должны быть указаны требования кзащите обрабатываемых персональных данных в соответствии со статьей19Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных»;

2.3.5. Обработка персональных данных должна ограничиваться достижениемконкретных, заранее определенных и законных целей. Не допускается обработкаперсональных данных, несовместимая с целями сбора персональных данных;

2.3.6. Не допускается объединение баз данных, содержащих персональные данные,обработка которых осуществляется в целях, несовместимых между собой;

2.3.7. Обработке подлежат только персональные данные, которые отвечают целям ихобработки;

2.3.8. Содержание и объем обрабатываемых персональных данных должнысоответствовать заявленным целям обработки. Обрабатываемые персональныеданные не должны быть избыточными по отношению к заявленным целям ихобработки;

2.3.9. При обработке персональных данных должны быть обеспечены точностьперсональных данных, их достаточность, а в необходимых случаях и актуальность поотношению к целям обработки персональных данных. Оператор должен приниматьнеобходимые меры либо обеспечивать их принятие по удалению или уточнениюнеполных, или неточных данных;

2.3.10. Хранение персональных данных должно осуществляться в форме,позволяющей определить субъекта персональных данных, не дольше, чем этоготребуют цели обработки персональных данных, если срок хранения персональныхданных не установлен федеральным законом, договором, стороной которого,выгодоприобретателем или поручителем, по которому является субъект персональныхданных. Обрабатываемые персональные данные подлежат уничтожению либообезличиванию по достижении целей обработки или в случае утраты необходимости вдостижении этих целей, если иное не предусмотрено федеральным законом;

2.4. Оператор самостоятельно определяет содержание, объем, цели обработки исроки хранения персональных данных.

2.5. Принятые Оператором документы, определяющие политику Оператора вотношении обработки персональных данных, локальные нормативные акты повопросам обработки персональных данных, а также локальные нормативные акты,устанавливающие процедуры, направленные на предотвращение и выявлениенарушений законодательства Российской Федерации, устранение последствий такихнарушений доводятся до сотрудников Оператора в части касающихся их.

3. Правовые основания обработки персональных данных

3.1. Оператор осуществляет обработку персональных данных руководствуясь:

3.1.1. Статьями 23, 24 Конституции Российской Федерации;

3.1.2. Статьями 86-90 Трудового кодекса Российской Федерации;

3.1.3. Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;

3.1.4. Настоящей Политикой в отношении обработки персональных данных;

3.1.5. Согласием на обработку персональных данных, выраженным субъектомперсональных данных;

3.1.6. Договорами гражданско-правового характера, которые заключает Оператор склиентами и контрагентами, приложениями к данным договорам;

3.1.7. Уставом организации.

4. Цели обработки персональных данных

4.1. Обработка персональных данных осуществляется в целях:

4.1.1. Заключения и выполнения договоров с клиентами и контрагентами;

4.1.2. Информирования клиентов о новых товарах, специальных акциях ипредложениях;

5. Категории обрабатываемых персональных данных по субъектам, источникиих получения, сроки обработки и хранения персональных данных

5.1. Оператор обрабатывает следующие категории персональных данных:

5.2. Персональные данные клиентов (пользователей сайта): Фамилия, имя, отчество;номер контактного телефона; адрес электронной почты; почтовый адрес (страна,регион, город, улица, номер дома, номер квартиры).

5.2.1. Дополнительно могут обрабатываться: дата рождения; фотография; геолокация(не являются обязательными и предоставляются по желанию пользователя).

5.3. Персональные работников контрагента: Фамилия; имя; отчество; адресэлектронной почты; контактный номер телефона.

5.4. Персональные данные клиентов контрагента: Фамилия; имя; отчество; адресэлектронной почты; контактный номер телефона.

5.5. Персональные данные обрабатываются и хранятся до:

5.5.1. достижения или утраты в необходимости достижения целей обработкиперсональных данных;

5.5.2. Ликвидации или реорганизации Оператора.

6. Сведения о третьих лицах, участвующих в обработке персональных данных

6.1. В целях соблюдения законодательства Российской Федерации, а также с согласиясубъектов персональных данных, для достижения целей обработки Оператор, в ходесвоей деятельности предоставляет персональные данные третьим лицам.

6.1.1. Персональные данные работников: для сдачи отчётности в контролирующиеорганы (Пенсионный Фонд Российской Федерации, Федеральная Налоговая Служба,Фонд Социального Страхования Российской Федерации), для перечисления зарплатына банковскую карту (ПАО «Сбербанк России», ООО «Хоум Кредит энд Финанс Банк»,АО «АЛЬФА-БАНК», ПАО «ВТБ24»);

6.1.2. Персональные данные клиентов: для оформления доставки заказов вкурьерские службы(ООО «Грастин», ООО«Сеть автоматизированных пунктоввыдачи» (Pickpoint), ООО «Смарт-бук» (Boxberry), АО «Армадилло Бизнес Посылка»(DPD), ФГУП «Почта России», ООО «Деловые линии», ООО «Первая экспедиционнаякомпания», ООО «Энергия»);

6.1.3. Сотрудников и лиц, ими не являющимися: при получении, в рамках установленных полномочий, мотивированных запросов органам прокуратуры, правоохранительным органам, органам безопасности, государственным инспекторам труда при осуществлении ими государственного надзора и контроля за соблюдением трудового законодательства и иных органов, уполномоченным запрашивать информацию о работниках в соответствии с компетенцией, предусмотренной законодательством Российской Федерации.

7. Права и обязанности Оператора персональных данных

7.1. Оператор обязан немедленно прекратить по требованию субъекта персональныхданных обработку его персональных данных в целях продвижения товаров, работ,услуг на рынке путем осуществления прямых контактов с потенциальнымпотребителем с помощью средств связи.

7.2. Оператор обязан разъяснить субъекту персональных данных порядок принятиярешения на основании исключительно автоматизированной обработки егоперсональных данных и возможные юридические последствия такого решения,предоставить возможность заявить возражение против такого решения, а такжеразъяснить порядок защиты субъектом персональных данных своих прав и законныхинтересов.

7.3. Оператор обязан рассмотреть возражение, против решения на основанииисключительно автоматизированной обработки персональных данных субъектаперсональных данных, в течение тридцати дней со дня его получения и уведомитьсубъекта персональных данных о результатах рассмотрения такого возражения.

7.4. При сборе персональных данных Оператор обязан предоставить субъектуперсональных данных по его просьбе информацию, предусмотренную частью 7 статьи14 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных».

7.5. Если предоставление персональных данных является обязательным всоответствии с федеральным законом, Оператор обязан разъяснить субъектуперсональных данных юридические последствия отказа предоставить егоперсональные данные.

7.6. Оператор обязан сообщить в порядке, предусмотренном статьей 14 Федеральногозакона от 27.07.2006 N 152-ФЗ «О персональных данных» субъекту персональныхданных или его представителю информацию о наличии персональных данных,относящихся к соответствующему субъекту персональных данных, а такжепредоставить возможность ознакомления с этими персональными данными приобращении субъекта персональных данных или его представителя либо в течениетридцати дней с даты получения запроса субъекта персональных данных или егопредставителя.

7.7. Оператор обязан предоставить безвозмездно субъекту персональных данных илиего представителю возможность ознакомления с персональными данными,относящимися к этому субъекту персональных данных. В срок, не превышающий семирабочих дней со дня предоставления субъектом персональных данных или егопредставителем сведений, подтверждающих, что персональные данные являютсянеполными, неточными или неактуальными, Оператор обязан внести в нихнеобходимые изменения. В срок, не превышающий семи рабочих дней со дняпредставления субъектом персональных данных или его представителем сведений,подтверждающих, что такие персональные данные являются незаконно полученнымиили не являются необходимыми для заявленной цели обработки, Оператор обязануничтожить такие персональные данные. Оператор обязан уведомить субъектаперсональных данных или его представителя о внесенных изменениях ипредпринятых мерах и принять разумные меры для уведомления третьих лиц,которым персональные данные этого субъекта были переданы.

7.8. Оператор обязан сообщить в уполномоченный орган по защите прав субъектовперсональных данных по запросу этого органа необходимую информацию в течениетридцати дней с даты получения такого запроса.

7.9. В случае выявления неправомерной обработки персональных данных приобращении субъекта персональных данных или его представителя либо по запросусубъекта персональных данных или его представителя либо уполномоченного органапо защите прав субъектов персональных данных Оператор обязан осуществитьблокирование неправомерно обрабатываемых персональных данных, относящихся кэтому субъекту персональных данных, или обеспечить их блокирование(еслиобработка персональных данных осуществляется другим лицом, действующим попоручению Оператора) с момента такого обращения или получения указанногозапроса на период проверки. В случае выявления неточных персональных данных приобращении субъекта персональных данных или его представителя либо по их запросуили по запросу уполномоченного органа по защите прав субъектов персональныхданных Оператор обязан осуществить блокирование персональных данных,относящихся к этому субъекту персональных данных, или обеспечить их блокирование(если обработка персональных данных осуществляется другим лицом, действующимпо поручению Оператора) с момента такого обращения или получения указанногозапроса на период проверки, если блокирование персональных данных не нарушаетправа и законные интересы субъекта персональных данных или третьих лиц.

7.10. Вслучае подтверждения факта неточности персональных данных Оператор наосновании сведений, представленных субъектом персональных данных или егопредставителем либо уполномоченным органом по защите прав субъектовперсональных данных, или иных необходимых документов обязан уточнитьперсональные данные либо обеспечить их уточнение (если обработка персональныхданных осуществляется другим лицом, действующим по поручению Оператора) втечение семи рабочих дней со дня представления таких сведений и снятьблокирование персональных данных.

7.11. В случае выявления неправомерной обработки персональных данных,осуществляемой Оператором или лицом, действующим по поручению Оператора,Оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечитьпрекращение неправомерной обработки персональных данных лицом, действующимпо поручению Оператора. В случае, если обеспечить правомерность обработкиперсональных данных невозможно, Оператор в срок, не превышающий десятирабочих дней с даты выявления неправомерной обработки персональных данных,обязан уничтожить такие персональные данные или обеспечить их уничтожение. Обустранении допущенных нарушений или об уничтожении персональных данныхОператор обязан уведомить субъекта персональных данных или его представителя, ав случае, если обращение субъекта персональных данных или его представителялибо запрос уполномоченного органа по защите прав субъектов персональных данныхбыли направлены уполномоченным органом по защите прав субъектов персональныхданных, также указанный орган.

7.12. В случае достижения цели обработки персональных данных Оператор обязанпрекратить обработку персональных данных или обеспечить ее прекращение (еслиобработка персональных данных осуществляется другим лицом, действующим попоручению Оператора) и уничтожить персональные данные или обеспечить ихуничтожение (если обработка персональных данных осуществляется другим лицом,действующим по поручению Оператора) в срок, не превышающий тридцати дней сдаты достижения цели обработки персональных данных, если иное не предусмотренодоговором, стороной которого, выгодоприобретателем или поручителем по которомуявляется субъект персональных данных, иным соглашением между Оператором исубъектом персональных данных либо если Оператор не вправе осуществлятьобработку персональных данных без согласия субъекта персональных данных наоснованиях, предусмотренных Федеральным законом от 27.07.2006 N 152-ФЗ «Оперсональных данных» или другими нормативно правовыми актами.

7.13. В случае отзыва субъектом персональных данных согласия на обработку егоперсональных данных Оператор обязан прекратить их обработку или обеспечитьпрекращение такой обработки (если обработка персональных данных осуществляетсядругим лицом, действующим по поручению Оператора) и в случае, если сохранениеперсональных данных более не требуется для целей обработки персональныхданных, уничтожить персональные данные или обеспечить их уничтожение (еслиобработка персональных данных осуществляется другим лицом, действующим попоручению Оператора) в срок, не превышающий тридцати дней с даты поступленияуказанного отзыва, если иное не предусмотрено договором, стороной которого,выгодоприобретателем или поручителем по которому является субъект персональныхданных, иным соглашением между Оператором и субъектом персональных данныхлибо если Оператор не вправе осуществлять обработку персональных данных безсогласия субъекта персональных данных на основаниях, предусмотренных настоящимфедеральным законом или другими федеральными законами.

7.14. В случае отсутствия возможности уничтожения персональных данных в течениесрока, указанного в п.7.11-7.13 настоящего положения, Оператор осуществляетблокирование таких персональных данных или обеспечивает их блокирование (еслиобработка персональных данных осуществляется другим лицом, действующим попоручению Оператора) и обеспечивает уничтожение персональных данных в срок неболее чем шесть месяцев, если иной срок не установлен федеральными законами.

8. Права субъектов персональных данных

8.1. Субъект персональных данных имеет право на получение сведений об обработкеего персональных данных Оператором.

8.2. Субъект персональных данных вправе требовать от Оператора, который ихобрабатывает, уточнения этих персональных данных, их блокирования илиуничтожения в случае, если они являются неполными, устаревшими, неточными,незаконно полученными или не могут быть признаны необходимыми для заявленнойцели обработки, а также принимать предусмотренные законом меры по защите своихправ.

8.3. В случае, если сведения, указанные в части 7 статьи 14 Федерального закона от27.07.2006 N152-ФЗ«О персональных данных», а также обрабатываемыеперсональные данные были предоставлены для ознакомления субъекту персональныхданных по его запросу, субъект персональных данных вправе обратиться повторно кОператору или направить ему повторный запрос в целях получения сведений,указанных в части 7 настоящей статьи, и ознакомления с такими персональнымиданными не ранее чем через тридцать дней после первоначального обращения илинаправления первоначального запроса, если более короткий срок не установленфедеральным законом, принятым в соответствии с ним нормативным правовым актомили договором, стороной которого либо выгодоприобретателем или поручителем покоторому является субъект персональных данных.

8.4. Субъект персональных данных вправе обратиться повторно к Оператору илинаправить ему повторный запрос в целях получения сведений, указанных в части 7статьи 14 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных» атакже в целях ознакомления с обрабатываемыми персональными данными доистечения срока, указанного в части 4 статьи 14 Федерального закона от 27.07.2006 N152-ФЗ«О персональных данных» в случае, если такие сведения и(или)обрабатываемые персональные данные не были предоставлены ему дляознакомления в полном объеме по результатам рассмотрения первоначальногообращения.

8.5. Право субъекта персональных данных на доступ к его персональным даннымможет быть ограничено в соответствии с частью 8 статьи 14 Федерального закона от27.07.2006 N 152-ФЗ «О персональных данных» в следующих случаях:

8.5.1. Если обработка персональных данных, включая те, что получены в результатеоперативно-розыскной, контрразведывательной и разведывательной деятельности,осуществляется в целях укрепления обороны страны, обеспечения безопасностигосударства и охраны правопорядка;

8.5.2.Если обработка персональных данных осуществляется органами,осуществившими задержание субъекта персональных данных по подозрению всовершении преступления, либо предъявившими субъекту персональных данныхобвинение по уголовному делу, либо применившими к субъекту персональных данныхмеру пресечения до предъявления обвинения, за исключением предусмотренныхуголовно - процессуальным законодательством Российской Федерации случаев, еслидопускается ознакомление подозреваемого или обвиняемого с такими персональнымиданными;

8.5.3. Если обработка персональных данных осуществляется в соответствии сзаконодательством о противодействии легализации (отмыванию) доходов, полученныхпреступным путем, и финансированию терроризма;

8.5.4. Если доступ субъекта персональных данных к его персональным даннымнарушает права и законные интересы третьих лиц;

8.5.5. Если обработка персональных данных осуществляется в случаях,предусмотренных законодательством Российской Федерации о транспортнойбезопасности, в целях обеспечения устойчивого и безопасного функционированиятранспортного комплекса, защиты интересов личности, общества и государства всфере транспортного комплекса от актов незаконного вмешательства;

8.5.6. Если субъект персональных данных считает, что Оператор осуществляетобработку его персональных данных с нарушением требований настоящегоФедерального закона или иным образом нарушает его права и свободы, субъектперсональных данных вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

8.6. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

9. Меры по обеспечению безопасности персональных данных при их обработке

9.1. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

9.2. Обеспечение безопасности достигается:

9.2.1. Определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

9.2.2. Применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

9.2.3. Применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

9.2.4. Обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;

9.2.5. Восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

9.2.6. Установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных; 9.2.7. Контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

10. Ответственность за разглашение информации, связанной с персональными данными

10.1. Лица, виновные в нарушении требований настоящего Федерального закона несут предусмотренную законодательством Российской Федерации ответственность.

10.2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных настоящим Федеральным законом, а также требований к защите персональных данных, установленных в соответствии с настоящим Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков