Политика об обработке и защите персональных данных
АО МАЗ «Москвич» Общие положения 1.1 Назначение документа
Политика об обработке и защите персональных данных (далее — ПДн) АО МАЗ «Москвич» далее - Политика) определяет основные цели, задачи и принципы обработки ПДн, правила и условия, направленные на защиту ПДн, а также требования к конфиденциальности и обеспечению безопасности ПДн для предотвращения нарушений законодательства Российской Федерации в области ПДн в АО МАЗ «Москвич».
1.2 Цели и задачи
Основными целями настоящей Политики в АО МАЗ «Москвич» является определение условий и способов обработки ПДн, порядка обработки ПДн, обеспечение защиты прав и свобод человека и гражданина при обработке ПДн в соответствии с требованиями нормативных правовых актов Российской Федерации в области обработки и защиты ПДн.
Обработка персональных данных Пользователей осуществляется для решения следующих задач:
- идентификация Пользователя для оформления заказа и (или) заключения договора купли-продажи товара дистанционным способом либо иного договора;
- формирование и обработка документов с целью оказания услуг по продаже, доставке товаров и выполнения иных договорных обязательств, связанных с реализацией товаров Пользователям;
- предоставление Пользователям доступа к персонализированным ресурсам официального сайта АО МАЗ «Москвич» (далее – Сайт);
- установление с Пользователем обратной связи, включая направление уведомлений, запросов, извещений, касающихся использования Сайта, оказания услуг, обработки запросов и заявок Пользователя;
- обработка и получение платежей, исполнение налоговых обязательств, обработка и реализация иных финансовых условий;
- поддержание контактов с Пользователем, предоставление Пользователю клиентской и технической поддержки;
- предоставление Пользователю информации об обновлениях товаров, о наличии специальных предложений, ценах, новостях и иных сведений от имени Сайта или партнеров Сайта;
- осуществление рекламной деятельности;
- предоставление Пользователю доступа к сервисам и ресурсам партнеров Сайта;
- иные задачи, необходимые для повышения качества и эффективности деятельности АО МАЗ «Москвич».
1.3 Область применения
Положения Политики распространяются на всех работников АО МАЗ «Москвич», имеющих доступ к информационным активам и ИТ-инфраструктуре АО МАЗ «Москвич», а также учитываются в отношениях с контрагентами (потребителями продукции, поставщиками, партнерами, консультантами, стажерами, практикантами и т.д.).
Настоящая Политика содержит выдержки из нормативной документации АО МАЗ «Москвич» в области обработки и защиты ПДн и должна размещаться в местах, где заинтересованные лица могут ознакомиться с ней:
- официальный сайт АО МАЗ «Москвич» для ознакомления любым лицом.
Ссылку на Политику, размещенную на официальном сайте АО МАЗ «Москвич», необходимо включать во все электронные формы сбора ПДн. Распечатанные версии Политики работники кадровых подразделений должны предоставлять работникам АО МАЗ «Москвич» и кандидатам на устройство на работу.
Термины и определения Безопасность персональных данных - Состояние защищенности персональных данных от неправомерных действий, характеризуемое способностью пользователей, технических средств и информационных систем обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке, независимо от формы их представления
Информационная система персональных данных (ИСПДн) - Совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств
Обработка персональных данных - Любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных
Оператор - Государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными
Персональные данные (ПДн) - Любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных)
Процесс обработки персональных данных - Бизнес-процесс АО МАЗ «Москвич», в рамках которого осуществляется обработка персональных данных
Субъект персональных данных - Физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных. Субъектами персональных данных являются: клиенты, представители и родственники клиентов, работники АО МАЗ «Москвич» и кандидаты на устройство, работники контрагентов АО МАЗ «Москвич» и прочие физические лица, чьи персональные данные обрабатываются в АО МАЗ «Москвич»
Информационная безопасность (ИБ) - Сохранение конфиденциальности, целостности и доступности информации
Информационные технологии (ИТ) - Процессы, использующие совокупность средств и методов сбора, обработки, накопления и передачи данных (первичной информации) для получения информации нового качества о состоянии объекта, процесса, явления, информационного продукта, а также распространения информации и способы осуществления таких процессов и методов (ФЗ № 149-ФЗ)
Принципы обработки персональных данных Обработка ПДн в АО МАЗ «Москвич» осуществляется с соблюдением следующих принципов:
- Принцип законности. Обработка осуществляется на основе законодательства Российской Федерации, требованиях государственных регулирующих органов, требованиях нормативных правовых и технических документов в области обеспечения ИБ АО МАЗ «Москвич».
- Принцип определенности. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
- Принцип разделенности. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
- Принцип цели. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
- Принцип соответствия. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
- Принцип комплексности. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.
- Принцип хранения. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
- Принцип уничтожения. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
Цели обработки персональных данных В соответствии с принципами обработки ПДн в АО МАЗ «Москвич» определены состав обрабатываемых ПДн и цели их обработки.
Состав и цели обработки ПДн соответствуют требованиям действующего законодательства РФ в области обработки и защиты ПДн.
АО МАЗ «Москвич» при обработке ПДн преследует исключительно те цели, которые были определены перед началом сбора данных. Последующие изменения целей возможны только в ограниченной мере и подлежат обоснованию и предварительному информированию об этом субъекта ПДн.
В рамках кадрового делопроизводства:
- заключение трудовых договоров и дополнительных соглашений к ним;
- предоставление работникам полагающихся льгот и компенсаций, выполнение иных требований законодательства, предусмотренных для работодателя;
- выполнение обязательств, предусмотренных локальными нормативными актами;
- содействие работникам в обучении и карьерном росте;
- расчет и начисление заработной платы и иных выплат согласно Положению об оплате труда и премированию;
- ведение учета рабочего времени работников;
- ведение воинского учета работников;
- заключение договоров гражданско-правового характера.
Для целей взаимодействия с контрагентами и клиентами:
- осуществление деловых контактов;
- заключение, сопровождение, изменение, расторжение гражданско-правовых договоров;
- выполнение обязательств, предусмотренных локальными нормативными актами и договорами;
- исполнение обязательств, предусмотренных федеральным законодательством и иными нормативными правовыми актами;
- совершенствование клиентского обслуживания, разработка и предоставление специальных предложений для целей взаимодействия с ними.
Для целей соблюдения пропускного режима на территорию АО МАЗ «Москвич»:
- оформление пропуска на территорию АО МАЗ «Москвич».
Правила и условия обработки персональных данных Обработка ПДн осуществляется на законной основе. Обработка ПДн выполняется при наличии хотя бы одного из следующих критериев:
- обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
- обработка персональных данных необходима для достижения целей, предусмотренных законодательством Российской Федерации, а также осуществления и выполнения функций, полномочий и обязанностей АО МАЗ «Москвич»;
- обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
- обработка персональных данных необходима для осуществления прав и законных интересов АО МАЗ «Москвич» или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
- осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
- обработка персональных данных необходима для осуществления пропускного режима на территорию АО МАЗ «Москвич».
Если АО МАЗ «Москвич» получает ПДн от третьего лица, то он в обязательном порядке требует подтверждения от этого лица, что оно имеет все необходимые основания для передачи ПДн в АО МАЗ «Москвич».
АО МАЗ «Москвич» в ходе своей деятельности вправе поручать обработку ПДн третьему лицу, если иное не предусмотрено действующим законодательством РФ. При этом обязательным условием поручения обработки ПДн (в виде договора или доверенности) другому лицу является обязанность по соблюдению конфиденциальности и обеспечению безопасности ПДн при их обработке, а также обязательство третьего лица использовать данные исключительно в заранее определенных целях и объемах.
Актуальная информация о лицах, которым АО МАЗ «Москвич» вправе передать персональные данные, должна быть предоставлена для ознакомления субъекту ПДн (в том числе, может быть размещена в Интернете), до дачи указанным лицом согласия на обработку.
В АО МАЗ «Москвич» запрещено принятие на основании исключительно автоматизированной обработки ПДн решений, порождающих юридические последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы.
В АО МАЗ «Москвич» не обрабатываются ПДн, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.
АО МАЗ «Москвич» организовывает процессы взаимодействия с субъектами ПДн таким образом, чтобы субъект мог обратиться в АО МАЗ «Москвич» по всем предусмотренным в законодательстве РФ вопросам, связанным с обработкой его ПДн (информация об обрабатываемых ПДн, о третьих лицах, запросы на уточнение, прекращение обработки, блокировку и уничтожение).
Предоставление ПДн органам государственной власти и местного самоуправления, в суды, правоохранительные органы, а также иным надзорным органам осуществляется АО МАЗ «Москвич» в случаях и в порядке, предусмотренных законодательством РФ.
АО МАЗ «Москвич» осуществляет передачу ПДн о приеме, переводе и увольнении работников в Социальный фонд России, в банки (для начисления заработной платы) и в страховые компании (Дополнительное медицинское страхование и страхование от несчастных случаев).
Хранение персональных данных рекомендуется осуществлять в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных не установлен федеральным законом. Договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных. Конкретные сроки хранения определяются в Согласии субъекта ПДн, в Договоре, заключенном с Субъектом ПДн и локальными нормативными актами, регламентирующими требования к получению, обработке персональных данных.
АО МАЗ «Москвич» принимает во внимание и руководствуется следующими положениями, касающимися прав субъекта ПДн:
Субъект персональных данных имеет право принять решение о предоставлении его персональных данных и даёт согласие на их обработку свободно, своей волей и в своём интересе;
Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе, содержащей следующей данные:
Подтверждение факта обработки персональных данных, правовые основания и цели обработки персональных данных;
Применяемые способы обработки персональных данных;
Наименование и место нахождения оператора; сведения о лицах (за исключением работников АО МАЗ «Москвич», которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с АО МАЗ «Москвич» или на основании федерального закона; обрабатываемые ПДН, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок предоставления таких данных не предусмотрен федеральным законом);
Сроки обработки ПДн, в том числе сроки их хранения; порядок осуществления субъектом ПДн прав, предусмотренных федеральным законом; информацию об осуществленной обработке; наименование и адрес лица, осуществляющего обработку персональных данных; наименования и адрес лица, осуществляющего обработку ПДн по поручению АО МАЗ «Москвич», если обработка поручена или будет поручена такому лицу;
Иные сведения, предусмотренные Законом, если такое право не ограничено в соответствии с федеральными законами.
Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только при условии предварительного согласия субъекта ПДн.
Субъект ПДн вправе требовать от АО МАЗ «Москвич» уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом иные меры по защите своих прав.
Субъект персональных данных — клиент АО МАЗ «Москвич» вправе отозвать согласие на обработку ПДн, данное им АО МАЗ «Москвич», направив письменное обращение по адресу: 109316, г. Москва, Волгоградский проспект, д. 42, корп 36.
При обращении для корректной идентификации и определения принадлежности ПДн обратившемуся физическому лицу необходимо указать следующие данные: фамилию, имя, отчество, телефон, паспортные данные, адрес электронной почты.
Субъект — сотрудник АО МАЗ «Москвич» вправе отозвать данное им согласие на обработку ПДн, в порядке, предусмотренном локальными нормативными актами АО МАЗ «Москвич».
Субъект обладает и иными правами, предусмотренными законодательством Российской Федерации.
Актуализация, исправление, удаление и уничтожение данных, ответы на запросы субъектов на доступ к персональным данным В случае предоставления субъектом персональных данных неполных, устаревших, недостоверных или незаконно полученных персональных данных АО МАЗ «Москвич» обязано внести необходимые изменения, уничтожить или блокировать их, а также уведомить о своих действиях субъекта персональных данных.
В случае подтверждения факта неточности персональных данных персональные данные подлежат их актуализации оператором, а в случае выявления факта неправомерности их обработки, такая обработка должна быть прекращена.
При достижении целей обработки персональных данных, а также в случае истечения срока согласия на обработку персональных данных или отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:
- иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных;
- оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом «О персональных данных» или иными федеральными законами;
- иное не предусмотрено соглашением между оператором и субъектом персональных данных.
Оператор обязан сообщить субъекту персональных данных или его представителю информацию об осуществляемой им обработке персональных данных такого субъекта по запросу последнего.
Требования к конфиденциальности и обеспечению безопасности персональных данных С целью обеспечения безопасности ПДн при их обработке в АО МАЗ «Москвич» реализуются требования действующего законодательства РФ в области обработки и обеспечения безопасности ПДн.
Для этих целей в АО МАЗ «Москвич» введена, функционирует и проходит периодический пересмотр (контроль) система защиты ПДн.
АО МАЗ «Москвич» применяет необходимые и достаточные организационные и технические меры, включающие в себя, в том числе:
- разработку внутренних документов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений;
- защиту ПДн от несанкционированного доступа, неправомерной обработки или передачи, а также от утери, искажения или уничтожения (вне зависимости от того, автоматизированная или неавтоматизированная обработка ПДн осуществляется);
- определение и внедрение перед введением новых процессов обработки ПДн и новых ИСПДн, технических и организационных мер, обеспечивающих защиту ПДн, ориентированных на современный уровень техники и необходимую степень защиты данных;
- определение угроз безопасности ПДн при их обработке в ИСПДн;
- использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;
- установление правил доступа к ПДн, обрабатываемых в ИСПДн, а также обеспечение регистрации и учета всех действий, совершаемых с ПДн в ИСПДн;
- контроль и оценку эффективности применяемых мер (в том числе с привлечением аудиторских проверок);
- обнаружение фактов несанкционированного доступа к ПДн (и других инцидентов с ПДн) и принятие мер;
- восстановление ПДн.
В части обеспечения конфиденциальности обработки АО МАЗ «Москвич» предпринимает меры, направленные на предотвращение несанкционированного сбора, обработки или использования ПДн, в том числе:
- предоставление доступа к ПДн только в случаях и в порядке, предусмотренном законодательством РФ;
- ознакомление работников АО МАЗ «Москвич», непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ о ПДн, в том числе требованиями к защите ПДн, документами, определяющими политику АО МАЗ «Москвич» в отношении обработки ПДн, локальными актами по вопросам обработки ПДн, и (или) обучение указанных работников.
В АО МАЗ «Москвич» назначены лица, ответственные за организацию обработки и обеспечения безопасности ПДн.
Руководство АО МАЗ «Москвич» заинтересовано в обеспечении безопасности ПДн, обрабатываемых в рамках выполнения основной деятельности АО МАЗ «Москвич», как с точки зрения требований действующего законодательства РФ, так и с точки зрения минимизации рисков.
Контрольные процедуры Контроль за выполнением настоящей Политики осуществляется в рамках общей системы внутреннего контроля АО МАЗ «Москвич», включая руководителей структурных подразделений АО МАЗ «Москвич» в рамках своей компетенции, а также высшего руководства.
Пересмотр (актуализация) политики об обработке и защите ПДн Настоящее Политика должна актуализироваться и пересматриваться не реже, чем один раз в 3 года, а также в случаях изменения законодательства Российской Федерации в сфере персональных данных
- Внеплановый пересмотр Политики может осуществляться также в следующих случаях:
- по результатам проверок органа по защите прав субъекта персональных данных, выявившим несоответствия требованиям законодательства РФ по обеспечению безопасности персональных данных;
- при изменении процессов и технологий обработки персональных данных в АО МАЗ «Москвич».
Ответственным за пересмотр данного положения является работник АО МАЗ «Москвич», назначенный ответственным за организацию обработки персональных данных.
Измененная Политика утверждается приказом Генерального директора.
Заключительные положения Настоящая Политика вступает в силу с момента его утверждения и действует бессрочно до момента внесения изменений и/или принятия нового документа компетентным лицом в соответствии с внутренним порядком АО МАЗ «Москвич».
Политика разработана на основании действующего законодательства и является связующим документом с другими регламентирующими документами организации (Политика использования файлов cookie и др.).
В случае изменения нормативно-правовых актов, использованных в настоящей Политике, настоящая Политика продолжает свое действие в части, не противоречащей действующему законодательству. В остальной части АО МАЗ «Москвич» руководствуется нормами действующего законодательства до момента принятия нового нормативного документа.