Политика обработки и защиты персональных данных
1. Общие положения
1.1. Настоящая Политика обработки и защиты персональных данных (далее - Политика) разработана ООО «Эврика-логистик» (далее – Оператор) во исполнение Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон) с целью обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.1.2. Политика распространяется на все персональные данные, которые обрабатывает Оператор, включая в том числе данные сотрудников, соискателей, клиентов, контрагентов и посетителей сайта.
1.3. Политика публикуется в свободном доступе на сайте Оператора: https://www.eurlog.ru.
1.4. Основные термины:
Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Оператор персональных данных (оператор) – ООО «Эврика-логистик», самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Автоматизированная обработка – обработка персональных данных с помощью средств вычислительной техники.
Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
1.5. Оператор обязуется организовать обработку персональных данных в соответствии с законодательством и обеспечивать их защиту.
2. Цели обработки персональных данных
2.1. Основные цели:- заключение, исполнение и прекращение гражданско-правовых и трудовых договоров;
- предоставление доступа к сервисам и информации/материалам на сайте https://www.eurlog.ru;
- соблюдение требований законодательства, охрана труда, начисление заработной платы и социальные гарантии;
- взаимодействие с государственными органами, банками, страховыми организациями и другими лицами, определенными законодательством и договорными отношениями.
2.2. Обработка данных осуществляется как автоматизированным, так и неавтоматизированным способом, с использованием средств вычислительной техники и без использования таких средств. Все меры конфиденциальности при сборе, обработке и хранении персональных данных распространяются как на бумажные, так и на электронные носители информации. Компания может принимать и учреждать специальные локальные нормативные акты (инструкции, положения и т.д.), конкретизирующие порядок действий при работе с персональными данными, на законной и справедливой основе, исключительно для достижения конкретных целей.
2.3. Получение персональных данных возможно:
- непосредственно от субъекта данных;
- из иных источников, при предварительном уведомлении субъекта и получении его письменного согласия, если это требуется законодательством.
2.4. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданина, затруднения реализации прав и свобод граждан Российской Федерации. Ограничение прав граждан Российской Федерации на основе использования информации об их социальном происхождении, о расовой, национальной, языковой, религиозной, партийной принадлежности запрещено законодательством Российской Федерации.
2.5. Источником информации всех персональных данных субъекта персональных данных является непосредственно субъект персональных данных. Если персональные данные возможно получить только у третьей стороны, то субъект персональных данных должен быть заранее уведомлен об этом и от него должно быть получено письменное согласие. Оператор обязан сообщить субъекту персональных данных о целях, характере получения персональных данных, а также о последствиях отказа дать письменное согласие на их получение.
2.6. Оператор не имеет права получать и обрабатывать персональные данные субъекта персональных данных о его политических, религиозных и иных убеждениях и частной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, данные о частной жизни работника (информация о жизнедеятельности в сфере семейных бытовых, личных отношений) могут быть получены и обработаны только с его письменного согласия.
2.7. Оператор не имеет права получать и обрабатывать персональные данные субъекта персональных данных о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральными законами.
2.8. При принятии решений, затрагивающих интересы субъекта персональных данных, Оператор не имеет права основываться на персональных данных клиента или контрагента, полученных исключительно в результате их обработки без его письменного согласия на такие действия.
2.9. Оператор защищает персональные данные субъектов за счет собственного средств, в порядке, установленном ТК РФ, ФЗ «О персональных данных» и иными федеральными законами.
2.10. Оператор может обрабатывать следующие персональные данные:
• фамилия, имя, отчество;
• паспортные данные;
• адрес регистрации места жительства;
• идентификационный номер налогоплательщика;
• номер телефона;
• адрес электронной почты;
• копия документа об образовании, квалификации или наличии специальных знаний (при поступлении на работу, требующую специальных знаний или специальной подготовки);
• анкетные данные, заполненные работником при поступлении на работу или в процессе работы (в том числе - сведения о семейном положении работника, перемене фамилии, наличии детей и иждивенцев);
• иные документы, которые с учетом специфики работы и в соответствии с законодательством РФ должны быть предъявлены работником при заключении трудового договора или в период его действия (например, медицинские заключения, предъявляемые работником при прохождении обязательных предварительных и периодических медицинских осмотров);
• трудовой договор, трудовая книжка;
• копии приказов о приеме, переводах, увольнении, повышении заработной платы, премировании, поощрениях и взысканиях;
• личная карточка по форме Т-2;
• заявления, объяснительные и служебные записки работника;
• документы о прохождении работником аттестации, собеседования, повышения квалификации.
3. Обработка персональных данных соискателей
3.1. Персональные данные соискателей, направляющих документы для замещения вакансий, обрабатываются только после получения их согласия на обработку данных в период принятия решения о приеме или отказе в приёме на работу, в рамках трудовых отношений, регулируемых Трудовым кодексом РФ.Исключения:
• если соискателя представляет кадровое агентство на основании договора с ним;
• если соискатель самостоятельно разместил резюме в открытом доступе в сети Интернет.
3.2. Если резюме соискателя поступает через электронную почту или факс, Оператору необходимо дополнительно провести мероприятия по подтверждению факта направления указанного резюме самим соискателем. К таким мероприятиям можно отнести приглашение соискателя на личную встречу с уполномоченными сотрудниками, либо использовать обратную связь посредством электронной почты или телефонного разговора и т.д.
3.3. При поступлении резюме, составленного в произвольной форме, не позволяющей однозначно идентифицировать физическое лицо, его направившее, данное резюме подлежит уничтожению в день поступления.
3.4. Если соискатель не принят на работу, все его предоставленные персональные данные подлежат уничтожению в течение 30 дней.
3.5. При формировании кадрового резерва согласие на включение соискателя в резерв оформляется отдельным документом или через отметку в соответствующем поле формы согласия, предоставленной Компанией.
4. Обработка персональных данных сотрудников
4.1. Персональные данные сотрудников обрабатываются в рамках трудовых отношений согласно Трудовому кодексу РФ, включая положения о защите персональных данных.4.2. Обработка данных работников осуществляется для реализации трудовых договоров, соблюдения законодательства РФ и других законных целей, включая:
• ведение кадрового и бухгалтерского учета;
• выполнение функций и обязанностей, возложенных законодательством РФ, включая передачу данных в государственные органы и фонды (ПФР, ФСС, ФОМС и др.);
• соблюдение требований охраны труда и безопасности сотрудников;
• предоставление законных льгот и компенсаций;
• организация выплат заработной платы и страхование по добровольным программам;
• обеспечение деятельности Оператора, включая обучение персонала, рекламные мероприятия и публикации на официальном сайте.
4.3. Сотрудники под роспись знакомятся с локальными документами о порядке обработки их персональных данных и о своих правах и обязанностях.
4.4. Персональные данные сотрудников обрабатываются в течение срока действия трудового договора; данные уволенных сотрудников хранятся в соответствии с законодательством РФ, включая нормы Налогового кодекса РФ и Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учете».
4.5. Обработка специальных категорий данных, таких как сведения о здоровье сотрудников, осуществляется на основании законодательства РФ.
4.6. В порядке, установленном законодательством, и в соответствии со ст.7 ФЗ «О персональных данных» для достижения целей обработки персональных данных Оператор предоставляет персональные данные работников или поручает их обработку следующим лицам:
• государственные органы и внебюджетные фонды (ПФР, ФСС);
• банк (в рамках зарплатного проекта) с согласия работников;
• компании пассажирских перевозок, туристические агентства и гостиницы в рамках организации командировок с согласия работников;
• страховые организации (при оформлении полисов добровольного медицинского страхования, оформление медицинских страховок для выезда в иностранные государства) с согласия работников.
4.7. Сотрудники имеют право свободно получать информацию о своих персональных данных, требовать исправления или удаления неверных или неполных данных.
5. Обработка персональных данных клиентов и контрагентов
5.1. Персональные данные клиентов и контрагентов обрабатываются в рамках договорных отношений, регулируемых Гражданским кодексом РФ.5.2. Цели обработки включают:
• заключение договоров с клиентами и контрагентами;
• исполнение договорных обязательств;
• ведение деятельности, предусмотренной учредительными документами Оператора.
5.3. Данные клиентов и контрагентов хранятся в течение срока действия заключенных договоров, а после их завершения — в сроки, установленные законодательством РФ.
6. Обработка персональных данных посетителей сайта компании
6.1. Персональные данные посетителей сайта обрабатываются только после получения их согласия.6.2. Цели обработки:
• связь с посетителем сайта, обработка запросов и заявок;
• информирование о деятельности и услугах Компании.
6.3. Обрабатываемые данные посетителей сайта соответствуют перечню данных, указанному в п. 2.10. Положения
7. Cookies и согласие на их использование
7.1. Сайт Оператора использует Cookies для:- корректной работы сайта;
- анализа посещаемости и улучшения функционала;
- сохранения пользовательских предпочтений.
7.2. Пользователь выражает согласие на обработку Cookies, продолжая использование сайта или через согласие, выраженное в соответствующей форме.
7.3. Пользователь может отключить Cookies через настройки браузера, при этом функциональность сайта может быть ограничена.
8. Передача и защита персональных данных
8.1. При передаче персональных данных третьим лицам Оператор обязуется соблюдать следующие принципы:• персональные данные не передаются третьим лицам без письменного согласия субъекта данных, за исключением случаев, когда передача необходима для защиты жизни и здоровья субъекта, либо предусмотрена действующим законодательством РФ;
• персональные данные не используются в коммерческих целях без согласия субъекта данных;
• лица, получающие персональные данные, должны использовать их исключительно для целей, заявленных при передаче, и подтвердить соблюдение этого правила;
• доступ к персональным данным разрешается только сотрудникам, специально уполномоченным приказом Генерального директора, и ограничивается исключительно теми данными, которые необходимы для выполнения служебных обязанностей;
• информация о состоянии здоровья сотрудников может передаваться только в объёме, необходимом для оценки возможности выполнения трудовых функций;
• персональные данные работников могут передаваться их представителям в соответствии с Трудовым кодексом РФ, ограничиваясь сведениями, необходимыми для исполнения функций этих представителей.
8.2. Оператор может поручить обработку персональных данных третьим лицам на основании заключённого договора при наличии согласия субъекта данных, если иное не предусмотрено законодательством. Договор с таким лицом должен включать:
• перечень действий с персональными данными, которые будет выполнять исполнитель;
• цели обработки данных;
• обязательства по соблюдению конфиденциальности и обеспечению безопасности персональных данных;
• требования к защите данных в соответствии со статьёй 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
Лицо, выполняющее обработку по договору, не обязано получать отдельное согласие субъекта данных. Ответственность за действия третьего лица перед субъектом данных полностью возлагается на Оператора, а третье лицо несёт ответственность перед Оператором за соблюдение условий договора.
8.3. Оператор обеспечивает защиту персональных данных от неправомерного использования, утраты, изменения, уничтожения или распространения в соответствии с законодательством Российской Федерации.
8.4. Субъекты персональных данных должны иметь возможность ознакомиться с настоящим Положением до передачи своих данных.
8.5. Объектами защиты являются:
• сведения о персональных данных субъектов;
• документы, содержащие персональные данные;
• персональные данные, хранящиеся на электронных носителях.
8.6. Для организации обработки персональных данных назначается ответственное лицо, выполняющее функции, предусмотренные Федеральным законом «О персональных данных» и нормативными актами, принятыми на его основе.
8.7. Оператор разрабатывает и утверждает локальные акты и внутренние документы, определяющие политику обработки персональных данных, а также процедуры выявления, предупреждения и устранения нарушений законодательства РФ в этой области.
8.8. Для защиты персональных данных Оператор применяет необходимые правовые, организационные и технические меры, включая:
• выявление угроз безопасности данных в информационных системах;
• внедрение организационных и технических мер для обеспечения уровня защиты данных, установленного Правительством РФ;
• использование средств защиты информации, прошедших процедуру оценки соответствия;
• контроль эффективности мер безопасности до ввода информационной системы в эксплуатацию;
• учёт всех машинных и съёмных носителей данных;
• выявление и реагирование на несанкционированный доступ к персональным данным;
• восстановление данных в случае их изменения или уничтожения вследствие несанкционированного доступа;
• установление правил доступа к персональным данным и регистрация всех действий с ними;
• контроль за соблюдением принятых мер безопасности.
8.9. Компания проводит внутренний контроль и/или аудит обработки персональных данных на соответствие законодательству РФ, настоящему Положению и локальным актам.
8.10. Проводится оценка потенциального ущерба субъектам данных в случае нарушения закона и соотношение этого риска с мерами защиты, принятыми Оператором.
8.11. Сотрудники, осуществляющие обработку персональных данных, знакомятся с требованиями законодательства РФ, локальными актами Оператора и (или) проходят обучение по защите персональных данных.
8.12. Ответственные лица за хранение персональных данных на бумажных и электронных носителях обеспечивают их защиту от несанкционированного доступа, копирования и разглашения, руководствуясь Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утверждённым Постановлением Российской Федерации от 15 сентября 2008 г. №687.
8.13. При обработке данных в информационных системах персональных данных защита осуществляется в соответствии с нормативными актами, включая Постановление Правительства Российской Федерации от 01.11.2012 № 1119.
8.14. По возможности персональные данные подлежат обезличиванию.
8.15. Проводится определение угроз безопасности данных при их обработке в информационных системах компании.
8.16. Уничтожение персональных данных:
• ответственное лицо, назначаемое генеральным директором, определяет средства уничтожения данных;
• производит уничтожение документов и фиксирует это действие;
• оформляет Акт об уничтожении персональных данных;
• при необходимости уведомляет субъекта данных и/или уполномоченный орган о выполненном уничтожении.
9. Трансграничная передача персональных данных
9.1. Передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.9.2. Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях:
• наличия согласия в письменной форме субъекта персональных данных на трансграничную передачу его персональных данных;
• предусмотренных международными договорами Российской Федерации;
• исполнения договора, стороной которого является субъект персональных данных;
• защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных.
10. Хранение персональных данных
10.1. Хранение персональных данных должно происходить в порядке, исключающем их утрату или неправомерное использование. Оператор может регламентировать порядок хранения персональных данных соответствующими инструкциями. Ответственный обязан ознакомить с данными инструкциями лиц, допущенных к обработке персональных данных, путём подписания Листа ознакомления.10.2. Период хранения и обработки персональных данных определяется в соответствии с законодательством Российской Федерации. Обработка персональных данных с использованием средств автоматизации начинается с момента поступления персональных данных в информационные системы персональных данных, а обработка персональных данных без использования средств автоматизации начинается с момента получения данных от субъекта персональных данных и прекращается:
• окончанием срока хранения на основании законодательства Российской Федерации;
• в случае выявления неправомерных действии с персональными данными в срок, не превышающий трёх рабочих дней с момента выявления, Компания устраняет такие нарушения. В случае невозможности устранения допущенных нарушении, Компания в срок, не превышающим трёх рабочих дней с момента выявления неправомерности действии с персональными данными, уничтожает персональные данные, об устранении допущенных нарушении или об уничтожении персональных данных Компания уведомляет субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, Компания уведомляет также указанный орган;
• в случае достижения цели обработки персональных данных Компания незамедлительно прекращает обработку персональных данных и уничтожает соответствующие персональные данные в срок, не превышающий трёх рабочих дней с даты достижения цели обработки персональных данных;
• в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных согласия на обработку персональных данных Компания прекращает обработку персональных данных и уничтожает персональные данные в срок, не превышающим трёх рабочих дней с момента поступления указанного отзыва. Об уничтожении персональных данных Компания уведомляет субъекта персональных данных.
• в случае ликвидации Компании.
11. Права субъектов персональных данных
11.1. Субъекты персональных данных обладают следующими правами:• получать сведения о своих персональных данных и об их обработке;
• требовать уточнения, блокировки или удаления данных, если они неполные, устаревшие, неточные, получены незаконным способом или не нужны для заявленной цели обработки;
• отзывать своё согласие на обработку персональных данных;
• защищать свои права и законные интересы.
11.2. Для реализации своих прав субъекты данных могут обращаться к Оператору лично или через представителя, отправляя запрос. В запросе необходимо указать: реквизиты основного документа, удостоверяющего личность субъекта или его представителя (номер, дата выдачи, орган), данные, подтверждающие отношения с Оператором (номер договора, дата заключения, другие сведения), и подписать документ. Запрос может быть направлен в электронном виде с применением электронной подписи в соответствии с законодательством РФ.
11.3. При обращении субъекта данных Ответственное лицо обеспечивает предоставление информации о наличии его персональных данных и возможности их ознакомления в течение 30 дней с момента получения запроса.
11.4. Если субъект данных предоставляет сведения о том, что его персональные данные неполные, неточные или устаревшие, Ответственное лицо вносит корректировки в течение 7 рабочих дней с даты запроса.
11.5. Если предоставленные сведения подтверждают, что данные получены незаконно или не нужны для целей обработки, Ответственное лицо организует их уничтожение в течение 7 рабочих дней с момента запроса.
11.6. Ответственное лицо уведомляет субъекта данных о внесённых изменениях и предпринятых мерах, а также принимает меры для информирования третьих лиц, которым ранее были переданы данные.
11.7. При отзыве согласия субъекта на обработку данных Компания может продолжить обработку только при наличии оснований, предусмотренных статьями 6, 10 и 11 Федерального закона от 27.07.2006
№ 152-ФЗ «О персональных данных».
12. Ответственность за разглашение конфиденциальной информации связанной с персональными данными
12.1. За нарушение порядка работы с конфиденциальной информацией работником, Оператор вправе применять дисциплинарные меры, предусмотренные Трудовым кодексом РФ.12.2. Сотрудники, работающие с персональными данными, должны обеспечить доступ субъекту к документам и материалам, касающимся его прав и свобод, если это не ограничено законом. Неправомерный отказ, задержка или предоставление неполной/ложной информации влечёт административную ответственность в соответствии с Кодексом РФ об административных правонарушениях.
12.3. В соответствии с Гражданским кодексом, лица, незаконно получившие информацию, относящуюся к коммерческой тайне, обязаны возместить причинённый ущерб.
13. Взаимодействие с Роскомнадзором
13.1. По запросу Роскомнадзора Ответственное лицо организует предоставление локальных актов и документов, подтверждающих меры по соблюдению требований закона о персональных данных, в течение 30 дней.13.2. По требованию Роскомнадзора Ответственное лицо обеспечивает корректировку, блокировку или уничтожение недостоверных или незаконно полученных данных в течение 30 дней.
13.3. В случаях, предусмотренных ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Ответственное лицо уведомляет Роскомнадзор о намерении осуществлять обработку персональных данных.
13.4. Ответственное лицо ведёт журнал учёта проверок государственных органов.
13.5. При необходимости Ответственное лицо направляет в Роскомнадзор обращения по вопросам обработки данных, осуществляемой Оператором.
14. Заключительные положения
14.1. Настоящее положение вступает в силу с момента утверждения приказом Генерального директора, а для клиентов и контрагентов с момента публикации на официальном сайте ООО «Эврика-логистик» по адресу: https://www.eurlog.ru.14.2. Настоящая Политика доводится до сведения всех сотрудников персонально под подпись.