Политика обработки персональных данных

1. Общие положения

1.1. Настоящая «Политика обработки персональных данных в ООО «Корпорация СТС» (далее — Политика) является внутренним нормативным документом и определяет основные принципы, цели и, способы и условия обработки персональных данных в ООО «Корпорация СТС» (далее — Общество, Оператор) и является обязательной для выполнения всеми работниками Общества и определяет соответствующие права и обязанности Оператора и субъектов персональных данных.

1.2. Целью разработки настоящей Политики является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных в Обществе.

1.3. Действие настоящей Политики распространяется на все процессы Общества, связанные с обработкой персональных данных.

1.4. Обработка персональных данных в Обществе ограничивается достижением конкретных, заранее определенных и законных целей. Оператором не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

1.5. Содержание и объем обрабатываемых Оператором персональных данных соответствует заявленным целям обработки. Обрабатываемые Оператором персональные данные не являются избыточными по отношению к заявленным целям их обработки.

1.6. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Федеральным законом.

1.7. Политика разработана в целях реализации требований законодательства Российской Федерации в области обработки и обеспечения безопасности персональных данных, в том числе в соответствии с требованиями следующих Федеральных законов Российской Федерации и нормативно-правовых актов, регламентирующих обработку персональных данных:

Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ.
Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и защите информации».
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Федеральный закон «О персональных данных»).
Постановление Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

1.8. В Политике используются следующие термины и определения:

персональные данные — любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных);
персональные данные, разрешенные субъектом персональных данных для распространения — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом «О персональных данных»;
субъект персональных данных — физическое лицо, которое прямо или косвенно определено, или определяемо с помощью персональных данных;
обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение персональных данных;
автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
конфиденциальность информации — обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя;
угрозы безопасности персональных данных — совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных;

2. Цели обработки персональных данных

2.1. Целями обработки персональных данных в Обществе являются:

Ведение кадрового и бухгалтерского учета, реализации видов деятельности, определенных уставом Оператора и законодательством Российской Федерации.
Подбор персонала (соискателей) на вакантные должности Оператора.
Добровольное медицинское страхование сотрудников Общества.
Негосударственное пенсионное обеспечение сотрудников Общества.
Обеспечение прохождения ознакомительной, производственной или преддипломной практики на основании договора с учебным заведением.
Подготовка, заключение и исполнение гражданско-правовых договоров.
Осуществление корпоративного управления в группе компаний Общества.
Обучение сотрудников в специализированных организациях.
Рассмотрение обращений граждан.
Направление работников в служебные командировки.
Рассмотрение возможности трудоустройства граждан в группе компаний Общества.

3. Правовые основания обработки персональных данных

3.1. Обработка персональных данных в Обществе осуществляется для достижения целей деятельности Общества, установленных Уставом, Конституцией Российской Федерации, действующим законодательством Российской Федерации, в том числе:

Трудовым законодательством.
Налоговым законодательством в части исчисления и уплаты налога на доходы физических лиц.
Пенсионным законодательством.
Законодательством об обороне, мобилизационной подготовке и воинской обязанности.
Федеральным законом от 26 марта 2003 г. № 35-ФЗ «Об электроэнергетике».
Федеральным законом от 26.12.1995 г. № 208-ФЗ «Об акционерных обществах».
Федеральным законом от 08.02.1998 г. № 14-ФЗ «Об обществах с ограниченной ответственностью».
Федеральным законом от 10.12.1995 N 196-ФЗ «О безопасности дорожного движения».
Федеральным законом от 29.12.2012 N 273-ФЗ «Об образовании в Российской Федерации».
Договорами, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.
Согласием на обработку персональных данных (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям Общества).

4. Категории субъектов персональных данных и состав обрабатываемых персональных данных

4.1. При осуществлении деятельности Общество обрабатывает персональные данные следующих категорий субъектов персональных данных:

Работников, родственников работников, уволенных работников: (персональные данные, необходимые Обществу в связи с трудовыми отношениями и касающиеся конкретного работника): фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; пол; место рождения; семейное положение; доходы; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; данные водительского удостоверения; данные документа, удостоверяющего личность за пределами Российской Федерации; номер расчетного счета; номер лицевого счета; профессия; должность; отношение к воинской обязанности, сведения о воинском учете; сведения об образовании; иные персональные данные (сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время); сведения о наличии судимости, сведения о профессиональной переподготовке; сведения о государственных и ведомственных наградах, почетных и специальных званиях, поощрениях; данные документа об инвалидности; данные документа разрешения на работу иностранному гражданину или лицу без гражданства; данные документа свидетельство о рождении ребенка; данные документа свидетельство о заключении/расторжении брака; данные документа предоставляющего право на льготы; данные пенсионного удостоверения); реквизиты полиса ОМС; фотография работника; сведения о пребывании за границей).
Соискателей на вакантные должности в Обществе: (персональные данные, необходимые Обществу для принятия решения о соответствии кандидата установленным законодательством Российской Федерации и Обществом требованиям): фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; пол; место рождения; семейное положение; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; данные водительского удостоверения; данные документа, удостоверяющего личность за пределами Российской Федерации; отношение к воинской обязанности, сведения о воинском учете; сведения об образовании; иные персональные данные (сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования организации); сведения о профессиональной переподготовке и (или) повышении квалификации; данные документа об инвалидности; результаты медицинского обследования работника на предмет годности к выполнению трудовых обязанностей; данные документа разрешения на работу иностранному гражданину или лицу без гражданства; сведения которые кандидат хочет сообщить о себе), фотография кандидата.);
Учащихся учебных заведений (обеспечение прохождения ознакомительной, производственной или преддипломной практики на основании договора с учебным заведением): фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; пол; адрес электронной почты; адрес места жительства; номер телефона; СНИЛС; данные документа, удостоверяющего личность; сведения об образовании.
Акционеров, кандидатов в члены Совета директоров члены Совета директоров; учредители; участники: (персональные данные необходимые Обществу для ведения учета акционеров и иных действий, выполняемых в соответствии с требованиями Устава, действующего законодательства Российской Федерации и нормативно правовыми актами Общества): фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; социальное положение; доходы; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; гражданство; данные документа, удостоверяющего личность; данные документа, удостоверяющего личность за пределами Российской Федерации; реквизиты банковской карты; номер расчетного счета; номер лицевого счета; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования организации); отношение к воинской обязанности, сведения о воинском учете; сведения об образовании; иные персональные данные (сведения об ученой степени; сведения о владении иностранными языками, включая уровень владения; фотография работника; сведения о государственных наградах, иных наградах и знаках отличия; сведения о профессиональной переподготовке и (или) повышении квалификации).
Контрагентов: (персональные данные необходимые Обществу для подготовки, заключению и исполнению гражданско-правового договора): фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; сведения об образовании; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; данные документа, удостоверяющего личность; номер расчетного счета; номер лицевого счета, иные сведения;
Субъектов персональных данных, обратившиеся по вопросам работы Общества: имя, отчество; адрес электронной почты; адрес места жительства; номер телефона; данные документа, удостоверяющего личность; иные персональные данные (иные сообщаемые сведения).
Соискателей на вакантные должности в группе компаний ООО «Корпорация СТС» (рассмотрение возможности трудоустройства в группе компаний Общества): фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; адрес электронной почты; адрес места жительства; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; иные персональные данные (сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования организации); сведения об образовании; сведения об ученой степени и звании, даты присвоения ученого звания/степени; сведения о повышении квалификации, пройденных курсах, тестах, экзаменах и прохождении аттестации; сведения о работодателях (месяц и год поступления на работу, месяц и год ухода с работы, занимаемая должность, наименование организации, сведения о переходах на новую должность/место работы); сведения об ограничениях трудовой деятельности по состоянию здоровья; сведения о предпочтениях, увлечениях, интересах и хобби; сведения о навыках, деловых и иных личных качествах, носящих оценочный характер; фотография; сведения подтверждающие наличие поощрений и наград.)

5. Реализуемые в Обществе требования к защите персональных данных

5.1. Общество принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий.

В соответствии с Федеральным законом № 152-ФЗ «О персональных данных» к таким мерам относятся в том числе:

определение угрозы безопасности персональных данных при их обработке в информационной системе персональных данных;
оценка вреда, который может быть причинен субъектам персональных данных, в случае нарушения Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон), соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей, предусмотренных указанным Законом;
применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
принятие локальных нормативных актов и иных документов, регулирующих отношения в сфере обработки и защиты персональных данных;
назначение лиц, ответственных за организацию обработки и обеспечение безопасности персональных данных в структурных подразделениях и информационных системах Общества;
обеспечение необходимых условий для безопасной работы с персональными данными;
организация работы и установление правил доступа к информационными системами, в которых обрабатываются персональные данные, а также обеспечение регистрации и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных;
применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
обнаружение фактов несанкционированного доступа к персональным данным и принятием мер;
проведение оценки эффективности принимаемых мер по обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных;
осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных и принимаемыми мерами по обеспечению безопасности, а также обнаружение фактов несанкционированного доступа к персональным данным и реагирование на данные инциденты;
организация ознакомления сотрудников Общества, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, настоящим документом, и (или) обучением указанных сотрудников;
учет машинных носителей персональных данных;
восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.

5.2. Хранение персональных данных:

общество обеспечивает сохранность персональных данных и принимает все возможные меры, исключающие доступ к персональным данным неуполномоченных лиц.
хранение персональных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
хранимые персональные данные подлежат защите от несанкционированного доступа и копирования. Безопасность персональных данных при их хранении обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации.
персональные данные хранятся в структурных подразделениях, к функциональным обязанностям которых относится обработка соответствующих персональных данных.
персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на разных материальных носителях, в специальных разделах или на полях форм (бланков).
обработка персональных данных граждан, зарегистрировавшихся и передавших свои персональные данные в информационные системы Общества осуществляется до достижения целей обработки персональных данных или до утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
должно обеспечиваться раздельное хранение персональных данных на разных материальных носителях, обработка которых осуществляется в различных целях, определенных настоящей Политикой.
контроль за хранением и использованием материальных носителей, содержащих персональные данные, не допускающий несанкционированное использование, уточнение, распространение и уничтожение персональных данных, находящихся на этих носителях, осуществляют непосредственные руководители работников, осуществляющих обработку персональных данных.
при осуществлении хранения персональных данных Общество использует базы данных, находящиеся на территории Российской Федерации.

6. Права и обязанности Оператора

6.1. Оператор обязан осуществлять обработку персональных данных в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

6.2. Оператор обязан назначать лицо, ответственное за организацию обработки персональных данных.

6.3 Оператор обязан принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, неправомерного уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также иных неправомерных действий в отношении персональных данных.

6.4. Оператор обязан сообщать в установленном законом порядке субъектам персональных данных или их представителям информацию об обработке и наличии персональных данных, относящихся к соответствующим субъектам персональных данных, а также предоставлять возможность ознакомления с этими персональными данными при обращении и (или) поступлении запросов указанных субъектов персональных данных или их представителей, если иное не установлено законодательством Российской Федерации.

6.5. Оператор обязан предоставить документы и локальные акты и (или) иным образом подтвердить принятие мер, направленных на обеспечение выполнения Оператором своих обязанностей в отношении обработки персональных данных, по запросу уполномоченного органа по защите прав субъектов персональных данных; Оператор, получивший доступ к персональным данным, обязуется не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

6.6. Оператор обязан исполнять иные обязанности, возложенные на Оператора законодательством Российской Федерации в области персональных данных.

6.7. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить их обработку без согласия субъекта персональных данных при наличии оснований, указанных в п. 2 — 11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

6.8. Оператор вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.

6.9. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила.

7. Права и обязанности субъектов персональных данных

7.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

подтверждение факта обработки персональных данных Оператором;
правовые основания и цели обработки персональных данных;
цели и применяемые Оператором способы обработки персональных данных;
наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
сроки обработки персональных данных, в том числе сроки их хранения;
порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
информацию об осуществленной или о предполагаемой трансграничной передаче данных;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
иные сведения, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и другими федеральными законами.

7.2. Субъект ПДн имеет право требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

7.3. Субъект ПДн имеет право отозвать согласие на обработку персональных данных. Отзыв согласия осуществляется путем подачи письменного заявления в ООО «Корпорация СТС» по адресу: г.Москва, ул.Чаплыгина, д.11, этаж 4, пом. 1; г. Тюмень, ул. Северная, д. 32а.

7.4. Если субъект ПДн считает, что Оператор осуществляет обработку его персональных данных с нарушением требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» или иным образом нарушает его права и свободы, то он имеет право обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. Субъект ПДн имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

7.5. Субъект ПДн имеет право осуществлять иные права, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

7.6. Субъект ПДн обязан предоставлять Оператору достоверные персональные данные и оформлять согласие на обработку ПДн в соответствии с требованиями законодательства;

7.7. Субъект ПДн обязан своевременно уведомлять Оператора ПДн об изменении своих персональных данных.

8. Заключительные положения

8.1. Обработка персональных данных в Обществе выполняется с использованием средств автоматизации и без использования таких средств.

8.2. Общество не осуществляет трансграничную передачу персональных данных на территории иностранных государств.

8.3. В обществе не обрабатываются специальные категории персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, за исключением случаев, предусмотренных законодательством РФ.

8.4. В обществе не обрабатываются биометрические персональные данные субъектов ПДн.

8.5. Действие настоящей Политики распространяется на все персональные данные Субъектов, обрабатываемые в Обществе как с применением средств автоматизации, так и без использования таких средств.

8.6. К настоящей Политике имеет доступ любой субъект персональных данных.

8.7. Все вопросы, связанные с обработкой персональных данных, не урегулированные настоящей Политикой, разрешаются в соответствии с действующим законодательством Российской Федерации в области персональных данных.

8.8. В случае признания нормативных документов утратившими силу или внесения в текст этих документов существенных изменений, являющихся предметом настоящей Политики и (или) в связи с выходом новых законодательных (или) нормативных документов, регулирующих сферу применения настоящей Политики, Общество принимает их к исполнению незамедлительно с момента вступления вышеуказанных изменений в силу. Соответствующие изменения подлежат внесению в настоящую Политику.

До внесения таких изменений настоящая Политика применяется в части, не противоречащей действующей редакции нормативных документов.

8.9. Настоящая Политика вступает в силу с момента ее утверждения Директором ООО «Корпорация СТС» и действует бессрочно до замены ее новой.