1. Описание документа

Цель документа - Создание единого подхода к организации обработки персональных данных
Краткое описание документа - Документ определяет правила осуществления деятельности Компании в области обработки персональных данных в соответствии с нормами законодательства и положениями настоящего документа
Статус документа - Для общего пользования

2. Термины и определения

2.1 Основные понятия, используемые в Политике:

3. Общие положения

3.1 Политика обработки персональных данных в ООО «СПЕЦМЕХ-АВТО» (ИНН: 7727760769, ОГРН 1117746744642 ) (далее – Политика) определяет основные принципы обработки персональных данных, действия, совершаемые с персональными данными при их обработке, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокировку, удаление, уничтожение персональных данных, цели, условия и способы обработки персональных данных работников, кандидатов, представителей контрагентов, клиентов, посетителей офиса, пользователей сайта и иных лиц (далее - субъекты персональных данных), действия и операции, совершаемые с персональными данными, права субъектов персональных данных, а также содержит общие сведения о реализуемых требованиях к защите персональных данных и гарантии конфиденциальности персональных данных и сведений о субъекте персональных данных.
3.2 Настоящая Политика разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон о персональных данных) в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

4. Основные права и обязанности Оператора

4.1 Права Оператора:

• самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено законодательством;
• поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора;
• в случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку в пределах целей обработки и при наличии оснований, предусмотренных Законом о персональных данных, при отсутствии таких оснований обработка прекращается.

4.2 Обязанности Оператора:

• в случае получения доступа к персональным данным, обязан соблюдать конфиденциальность персональных данных – не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
• организовывать обработку персональных данных в соответствии с требованиями Закона о персональных данных;
• отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями Закона о персональных данных;
• сообщать в уполномоченный орган по защите прав субъектов персональных данных (Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)) по запросу этого органа необходимую информацию в соответствии с требованиями законодательства;
• в порядке, определенном федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование уполномоченных органов о компьютерных инцидентах, которые повлекли неправомерную передачу (предоставление, распространение, доступ) персональных данных.
• при обработке персональных данных принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий;
• публиковать или иным образом обеспечивать неограниченный доступ к настоящей Политике в отношении обработки персональных данных;
• при сборе персональных данных, в том числе в сети Интернет, обрабатывать персональные данные с использованием баз данных, находящихся на территории Российской Федерации;
• безвозмездно предоставить субъекту персональных данных возможность ознакомления с его персональными данными, а также внести в них необходимые изменения, уничтожить или блокировать соответствующие персональные данные по предоставлении субъектом персональных данных сведений, подтверждающих, что персональные данные являются неполными, неточными, устаревшими или не являются необходимыми для заявленной цели обработки.

5. Права и обязанности субъектов персональных данных

5.1 В целях защиты своих персональных данных, хранящихся у Оператора, субъект персональных данных имеет право:

• получить доступ к своим персональным данным в порядке и объеме, установленном законом;
• получить информацию, касающуюся обработки его персональных данных;
• требовать исключения или исправления неверных, неточных, устаревших или неполных персональных данных;
• получать свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные;
• требовать соблюдения конфиденциальности персональных данных и защиты персональных данных;
• обжаловать в Роскомнадзоре или судебном порядке любые неправомерные действия или бездействия Оператора при обработке и защите его персональных данных;
• пользоваться иными правами, предоставленными законом и подзаконными актами и локальными актами Оператора.

5.2 Субъекты персональных данных обязаны:

• в случаях, предусмотренных законом или договором, передавать Оператору достоверные документы, содержащие персональные данные.

6. Цели сбора и обработки персональных данных, объем и категории обрабатываемых персональных данных

6.1 Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
6.2 Цели обработки персональных данных происходят в том числе из анализа правовых актов, регламентирующих деятельность оператора, целей фактически осуществляемой оператором деятельности, а также деятельности, которая предусмотрена учредительными документами оператора, и конкретных бизнес-процессов оператора в конкретных информационных системах персональных данных (по структурным подразделениям оператора и их процедурам в отношении определенных категорий субъектов персональных данных).
6.3 Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
6.4 В отношении определенных Оператором целей обработки данных, Оператором производится обработка следующих категорий и объема персональных данных:

a) Обработка персональных данных работников Оператора, уволенных работников Оператора:
Цели обработки:

• соблюдение требований трудового, налогового, пенсионного и иного законодательства РФ;
• реализация прав и исполнение обязанностей в рамках трудовых отношений с работником;
• соблюдение требований локальных нормативных актов, действующих у Оператора;
• предоставление работникам предусмотренных у Оператора социальных льгот, гарантий и компенсаций, материальной помощи;
• начисление заработной платы и иных выплат, причитающихся работнику в соответствии с законодательством Российской Федерации или трудовым договором, предоставление вычетов по НДФЛ;
• содействия работникам в повышении квалификации, обучении и продвижении по службе, пользовании льготами и дополнительными поощрениями;
• контроль рабочих процессов, количества и качества выполняемой работниками работы и исполнения должностных обязанностей;
• защита жизни и здоровья, обеспечение личной безопасности работников, обеспечение сохранности имущества;
• проведение аудитов деятельности Оператора, в том числе внешними провайдерами;
• предоставления дополнительных услуг за счёт Оператора (добровольного медицинского страхования, страхования субъектов персональных данных от несчастных случаев, обеспечение мобильной связью, оформление корпоративной банковской карты, предоставление услуг такси и пр.);
• обеспечение командировок, служебных поездок, доставки работников, работающих вахтовым методом, обеспечение проживания, оформление виз, билетов и пр.;
• организация пропускного режима на территории зданий и офисов Оператора, ее филиалов, представительств и иных обособленных структурных подразделений;
• оформление на работников Оператора доверенностей для выполнения предусмотренных обязанностей;
• ведение контактных справочников сотрудников Оператора для внутреннего информационного обеспечения деятельности Оператора, ее филиалов, представительств и обособленных подразделений;
• исполнение иных обязательств и требований, предусмотренных локальными нормативными актами Оператора, трудовым договором и законодательством Российской Федерации.

Объем и категории, обрабатываемых персональных данных:

• фамилия, имя, отчество (в том числе предыдущие фамилии, имена и отчества в случае их изменения);
• пол, гражданство, дата и место рождения, возраст;
• реквизиты и данные паспорта, заграничного паспорта или иного документа, удостоверяющего личность;
• данные миграционной карты (при наличии), разрешения на работу иностранного гражданина;
• адрес места проживания;
• сведения о регистрации по месту жительства или пребывания;
• почтовый адрес;
• номера телефонов и сведения о других способах связи;
• цветное цифровое фотографическое изображение лица, полученное при приеме на работу;
• сведения об образовании и полученных компетенциях;
• семейное положение, сведения о составе семьи, реквизиты свидетельств о регистрации брака, о рождении ребенка;
• сведения о воинском учете, реквизиты документов воинского учета и содержащиеся них данные, статус в качестве военнообязанного, при наличии необходимости в связи с трудовой функцией или требованиями законодательства;
• сведения о водительском удостоверении, при наличии необходимости в связи с трудовой функцией или требованиями законодательства;
• сведения о трудовой деятельности, занимаемой должности, трудовом стаже, предыдущих местах работы, приеме, переводе, увольнении, об аттестации, о повышении квалификации, о профессиональной переподготовке и иных событиях, относящихся к трудовой деятельности в Оператора, о доходах с предыдущих мест работы;
• реквизиты трудового договора;
• данные документа, подтверждающего регистрацию в системе индивидуального (персонифицированного) учета, в том числе в форме электронного документа (СНИЛС); реквизиты свидетельства обязательного пенсионного страхования, идентификационный номер налогоплательщика, статус резидента;
• сведения о банковском (лицевом) счете, реквизиты банковской карты;
• сведения, содержащиеся в справках о доходах, расходах, об имуществе и обязательствах имущественного характера;
• сведения о доходах (заработной плате и иных выплатах), социальных льготах, налоговых и социальных начислениях, сведения об удержаниях из заработной платы;
• информация о состоянии здоровья, сведения об инвалидности, о нетрудоспособности, результаты обязательных предварительных и периодических медицинских осмотров, других обязательных медицинских осмотров, сведения, содержащиеся в листках нетрудоспособности, при наличии необходимости в связи с трудовой функцией или требованиями законодательства;
• сведения о поощрениях, наградах, взысканиях и привлечении к ответственности;
• сведения и реквизиты трудовой книжки, сведения протоколов обязательного технического обучения, обучения по ОТ и ПБ, сведения из табеля учета рабочего времени, сведения и реквизиты приказов о приеме, увольнении, переводе, сведения об ознакомлении с инструктажем по ПБ и ОТ, табельный номер;
• иные персональные данные, предоставляемые работниками в рамках реализации обязательств и требований, предусмотренных локальными нормативными актами Оператора, трудовым договором и законодательством Российской Федерации.

Сроки обработки: в течение срока действия трудового договора, дальнейшая обработка возможна на основании требований законодательства РФ; по истечении сроков, определенных законодательством РФ, личные дела работников и иные документы передаются на архивное хранение на срок 50 лет.

b) Обработка персональных данных родственников работников Оператора
Цели обработки: предоставление льгот и гарантий, предусмотренных законодательством РФ или локальными нормативными актами Оператора; информирование супругов, родственников в экстренных случаях о работнике Оператора; выполнение требований нормативных правовых актов органов государственного статистического учета; исполнение Оператором обязательств, предусмотренных локальными нормативными актами Оператора и законодательством Российской Федерации; ведение личных карточек работников Оператора по унифицированной форме; заключение, исполнение, изменение, расторжение договоров добровольного медицинского страхования членов семьи работников Оператора.
Объем и категории: фамилия, имя, отчество, дата рождения; пол; гражданство; дата и место рождения, возраст; данные паспорта или иного удостоверяющего личность документа; степень родства; номер телефона, адрес электронной почты или сведения о других способах связи; адрес места проживания или места регистрации по месту жительства; сведения о состоянии здоровья; сведения о занимаемой должности и месте работы; сведения, содержащиеся в свидетельствах о государственной регистрации актов гражданского состояния; сведения об инвалидности; иные персональные данные, предоставляемые работниками и/или родственниками и членами семьи в соответствии с требованиями трудового законодательства.
Сроки обработки: в течение срока действия трудового договора работника, дальнейшая обработка возможна на основании требований законодательства РФ; в течение срока действия трудового договора работника Оператора (в отношении номера мобильного телефона и сведений о других способах связи); до достижения цели обработки или отзыва согласия на обработку персональных данных.
c) Обработка персональных данных кандидатов\соискателей на вакантные должности Оператора
Цели обработки: рассмотрение резюме кандидата на замещения вакантной должности у Оператора, а также возможности прохождения отбора на замещение соответствующих вакантных должностей, трудоустройства успешно прошедших отбор на замещение соответствующих вакантных должностей; оценка деловых, профессиональных навыков и компетенций; ведение базы потенциальных кандидатов Оператора.
Объем и категории: фамилия, имя, отчество; пол, возраст, дата и место рождения; номер телефона, адрес электронной почты или сведения о других способах связи; сведения об образовании, сведения об ученой степени, сведения о профессиональной переподготовке и (или) повышении квалификации, о пройденных курсах, стажировках, полученных компетенциях; отношение к воинской обязанности, сведения о воинском учете; сведения о трудовой деятельности, трудовом стаже, предыдущих местах работы; цифровое фотографическое изображение лица; сведения о профессиональных и личностных качествах; сведения о ожидаемом уровне оплаты труда; иные сведения, указанные в резюме и/или анкете кандидата; сведения о судимости в случаях, предусмотренных законодательством РФ; иные персональные данные, сообщаемые кандидатами\соискателями в резюме, анкете, опросниках и/или сопроводительных письмах.
Сроки обработки: на период принятия решения о приеме либо отказе в приеме на работу, и в течение 30 (тридцати) календарных дней с даты принятия решения об отказе в приеме на работу; при помещении в базу потенциальных кандидатов Оператора – до 3 (трёх) лет.
d) Обработка персональных данных контрагентов Оператора:
Цели обработки: осуществления предусмотренной уставом деятельности; продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов, в том числе направление писем, уведомлений, информации и запросов, связанных с деятельностью Оператора по оказанию услуг и иной информации, а также обработки заявлений, заявок и иных сообщений, связанных с их интересом к товарам, работам и услугам Оператора; заключение, изменение или расторжение гражданско-правового договора; проверка полномочий лица, подписывающего договор; учет доверенностей на представителей контрагентов Оператора; оформление пропуска для проезда\прохода на охраняемую территорию Оператора; проверка допусков на выполнение работ, услуг; надлежащее исполнение заключенного гражданско-правового договора, в том числе оказание услуг или выполнение работ для субъектов персональных данных; осуществления расчетов; защита жизни, здоровья и иных важных интересов; осуществления прав и законных интересов Оператора или третьих лиц, в том числе защиты от нарушения авторских прав, мошенничества и иного недобросовестного поведения; сдача отчетности в Фонд пенсионного и социального страхования Российской Федерации по договорам гражданско-правового характера; исполнения иных требований законодательства Российской Федерации.
Объем и категории: фамилия, имя, отчество; данные паспорта или иного документа, удостоверяющего личность; дата рождения; данные об образовании; реквизиты документа, подтверждающего регистрацию в системе индивидуального (персонифицированного) учета, в том числе и в форме электронного документа (СНИЛС), идентификационный номер налогоплательщика; номер телефона, адрес электронной почты или сведения о других способах связи; марка, модель, регистрационный номер транспортного средства; данные водительского удостоверения; банковские реквизиты: номер счета в банке и т.п.; должность, название компании, адрес места работы; данные о начислениях физическим лицам, являющимся исполнителями или агентами по гражданско-правовым договорам; ОГРНИП индивидуального предпринимателя; прочие сведения, необходимые для заключения и исполнения договоров, состав которых определяется требованиями действующего законодательства Российской Федерации.
Сроки обработки: в течение 5 лет с момента истечения срока действия договора, кроме случаев, когда более длительный срок обработки персональных данных установлен действующим законодательством РФ.
e) Обработка персональных данных посетителей и пользователей сайта Оператора:
Цели обработки: обработка обращений и заявок, установление с посетителями сайта обратной связи; направления сообщений информационного характера о товарах и услугах Оператора; с целью ведения статистики посещений сайта; ведение статистики и анализа работы сайта.
Объем и категории: фамилия, имя, отчество; адрес электронной почты; номер телефона; название организации; иная информация, которую пользователь решил предоставить; пользовательские данные.
Сроки обработки: до достижения предусмотренной цели обработки либо до отзыва субъектом персональных данных согласия на обработку персональных данных.
f) Обработка персональных данных физических лиц, проходящих в офис\на территорию Оператора:
Цели обработки: обеспечение требований безопасности и защиты жизни, обеспечения безопасности пропускного режима, безопасности и сохранности имущества; оформление разового пропуска для прохода\проезда на охраняемую территорию, контроль убытия с охраняемой территории.
Объем и категории: фамилия, имя, отчество; данные документа, удостоверяющего личность; марка, модель, регистрационный номер транспортного средства.
Сроки обработки: до достижения цели обработки персональных данных.
6.5 Обработка персональных данных Оператором возможна в иных законных случаях.
6.6 Оператор осуществляет обработку персональных данных субъектов персональных данных в соответствии с принципами и правилами, предусмотренными законодательством.
6.7 Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, допускается: в случае, если субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных; в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством Российской Федерации.

7. Правовые основания обработки персональных данных

7.1 Правовым основанием обработки персональных данных Оператором являются: совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных; договоры, заключаемые с субъектом персональных данных; согласие субъекта персональных данных на обработку персональных данных; иные, предусмотренные законом основания.
7.2 В целях реализации положений Политики Оператором разрабатываются соответствующие локальные нормативные акты и иные документы.

8. Порядок и условия обработки персональных данных

8.1 Оператор при осуществлении обработки персональных данных:

• принимает меры, необходимые и достаточные для обеспечения выполнения требований законодательства;
• назначает лицо, ответственное за организацию обработки персональных данных;
• издает локальные нормативные акты и иные документы, определяющие вопросы обработки и защиты персональных данных;
• создает необходимые условия для работы с персональными данными и их защиты;
• определяет угрозы безопасности персональных данных при их обработке;
• проводит оценку возможного вреда, который может быть причинен субъектам персональных данных в случае нарушения требований порядка обработки;
• принимает организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
• организует порядок доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечивает регистрацию и учет действий, совершаемых с персональными данными в информационной системе персональных данных;
• осуществляет контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных;
• принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, передачи персональных данных, а также от иных неправомерных действий в отношении персональных данных;
• назначает лицо, ответственное за организацию и обеспечение безопасности обработки персональных данных Оператором;
• хранит персональные данные в условиях, при которых обеспечивается их сохранность и исключается неправомерный доступ к ним;
• организует обучение работников Оператора, осуществляющих обработку персональных данных правилам работы с персональными данными;
• публикует или иным образом обеспечивает неограниченный доступ к настоящей Политике;
• прекращает обработку и уничтожает персональные данные в случаях, предусмотренных законодательством;
• совершает иные необходимые действия, предусмотренные законодательством.

8.2 Обработка персональных данных Оператором осуществляется с согласия субъекта персональных данных на обработку его персональных данных, за исключением случаев, предусмотренных законодательством.
8.3 Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных.
8.4 Обработка персональных данных Оператором осуществляется без использования средств вычислительной техники (неавтоматизированная обработка персональных данных), а также автоматизированно с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой.
8.5 Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором.
8.6 Оператор строго придерживается принципов минимизации данных и сроков обработки данных. Обрабатываемые персональные данные подлежат уничтожению в случае: достижения целей обработки персональных данных; получения отзыва согласия на обработку персональных данных или истечения срока действия согласия на обработку персональных данных; утраты необходимости в достижении целей обработки персональных данных; исключения Оператора из Единого государственного реестра юридических лиц.
8.7 Уничтожение персональных данных Оператором происходит в предусмотренные законодательством сроки.
8.8 По истечении указанных сроков Оператор может обрабатывать персональные данные, если обработка необходима для соблюдения Оператором законодательства Российской Федерации.
8.9 При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в Законе о персональных данных.

9. Актуализация и исправление персональных данных, ответы на запросы субъектов персональных данных

9.1 Субъект персональных данных вправе в любое время потребовать удаления из базы данных любой информации о себе, вправе в любое время отозвать свое согласие на использование или обработку его персональных данных, обратившись по юридическому адресу Оператора или по электронной почте: i@ispecmeh-auto.ru. Запрос субъекта персональных данных должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя.
9.2 Оператор обязан сообщить субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение десяти рабочих дней с даты получения запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
9.3 В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных Оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
9.4 В случае подтверждения факта неточности персональных данных Оператора на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.
9.5 Оператор обязан прекратить обработку персональных данных или обеспечить прекращение обработки персональных данных лицом, действующим по поручению оператора: в случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, в срок, не превышающий трех рабочих дней с даты этого выявления; в случае отзыва субъектом персональных данных согласия на обработку его персональных данных; в случае достижения цели обработки персональных данных и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных. В случае отсутствия возможности уничтожения персональных данных в течение указанного срока оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
9.6 При выявлении Оператором, Роскомнадзором или иным заинтересованным лицом факта неправомерной или случайной передачи (предоставления, распространения) персональных данных (доступа к персональным данным), повлекшей нарушение прав субъектов персональных данных, Оператор: приказом Генерального директора создает группу по проведению внутреннего расследования. В функции группы входит: 1) проведение внутреннего расследования, 2) установления обстоятельств инцидента, 3) информирование соответствующих органов в соответствии с требованиями законодательства о защите персональных данных; в течение 24 часов - уведомляет Роскомнадзор о произошедшем инциденте, предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, предполагаемом вреде, нанесенном правам субъектов персональных данных, и принятых мерах по устранению последствий инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором по вопросам, связанным с инцидентом; в течение 72 часов - уведомляет Роскомнадзор о результатах внутреннего расследования выявленного инцидента и предоставляет сведения о лицах, действия которых стали его причиной (при наличии); проводит комплекс мер по устранение последствий и предотвращение повторных инцидентов, к которым в частности относятся: 1) изолирование скомпрометированных систем и данных, 2) анализ причин инцидента и выявление системных проблем, 3) принятие мер по устранению уязвимостей и повышению уровня безопасности.

10. Трансграничная передача персональных данных

10.1 Оператор осуществляет трансграничную передачу персональных данных на территории иностранных государств в соответствии с требованиями законодательства.
10.2 В случае изменений в осуществлении трансграничной передачи персональных данных, Оператор обязана получить от органов власти иностранного государства, иностранных физических лиц, иностранных юридических лиц, которым планируется трансграничная передача персональных данных, следующие сведения: сведения о принимаемых органами власти иностранного государства, иностранными физическими лицами, иностранными юридическими лицами, которым планируется трансграничная передача персональных данных, мерах по защите передаваемых персональных данных и об условиях прекращения их обработки; информация о правовом регулировании в области персональных данных иностранного государства, под юрисдикцией которого находятся органы власти иностранного государства, иностранные физические лица, иностранные юридические лица, которым планируется трансграничная передача персональных данных (в случае, если предполагается осуществление трансграничной передачи персональных данных органам власти иностранного государства, иностранным физическим лицам, иностранным юридическим лицам, находящимся под юрисдикцией иностранного государства, не являющегося стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и не включенного в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных); сведения об органах власти иностранного государства, иностранных физических лицах, иностранных юридических лицах, которым планируется трансграничная передача персональных данных (наименование либо фамилия, имя и отчество, а также номера контактных телефонов, почтовые адреса и адреса электронной почты).
10.3 Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных.
10.4 Решение о запрещении или об ограничении трансграничной передачи персональных данных в целях защиты нравственности, здоровья, прав и законных интересов граждан принимается уполномоченным органом по защите прав субъектов персональных данных по результатам рассмотрения уведомления.

11. Заключительные положения

11.1 Иные права и обязанности Оператора, как оператора персональных данных определяются законодательством Российской Федерации в области персональных данных.
11.2 Работники Оператора или иные лица, уполномоченные Оператором на обработку персональных данных, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном законодательством.
11.3 Ответственным за актуализацию Политики является Руководитель Юридического и Административного департамента.