Положение
о работе с персональными данными клиентов и контрагентов

1..Общие положения

1.1. Настоящее положение разработано в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации", Федеральным законом от 27.07.2006 г. N152-ФЗ "О персональных данных" (далее – Закон о персональных данных), Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства РФ от 1 ноября 2012 г. N1119, и иными нормативными актами в области защиты персональных данных, действующими на территории Российской Федерации.
1.2. Настоящее положение устанавливает порядок обработки персональных данных клиентов и контрагентов ИП Норова А.И., основные цели, принципы обработки и требования к безопасности персональных данных.
1.3. Настоящее положение разработано в целях регулирования порядка сбора, систематизации, хранения, передачи и уничтожения персональных данных клиентов и контрагентов ИП Норова А.И. (далее – Оператор).

2..Понятие и состав персональных данных

2.1. В целях настоящего положения под персональными данными понимается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
2.2. К персональным данным клиента относятся:
- фамилия, имя;
- адрес электронной почты;
- номер телефона;
- государственный регистрационный номер автотранспортного средства.
2.3. К персональным данным контрагента относятся:
- фамилия, имя, отчество;
- гражданство;
- номер основного документа, удостоверяющего личность, сведения о дате выдачи указанного документа и выдавшем его органе;
- адрес регистрации по месту жительства;
- идентификационный номер налогоплательщика;
- номер телефона;
- адрес электронной почты;
- реквизиты банковского счёта;
- сведения о постановке на учёт физического лица в качестве ИП;
- сведения о регистрации физического лица в качестве самозанятого.
2.4. Указанные сведения и документы, в которых содержатся такие сведения, являются конфиденциальными. Организация как оператор персональных данных не вправе распространять персональные данные без согласия клиента или контрагента, если иное не предусмотрено федеральным законом.

3..Обработка персональных данных и гарантии их защиты

3.1. Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
3.2. В целях обеспечения прав и свобод человека и гражданина Оператор при обработке персональных данных клиента или контрагента соблюдает следующие общие требования:
- обработка персональных данных клиента и/или контрагента осуществляется исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, заключения договора; оплаты услуг по договору; оказание клиентам услуг; исполнение условий заключенного Договора, предоставления сведений третьим лицам в целях выполнения условий по договору;
- при определении объема и содержания обрабатываемых персональных данных клиента или контрагента Оператор руководствуется Конституцией Российской Федерации и иными федеральными законами;
- все персональные данные клиента и/или контрагента следует получать у него самого. Оператор. сообщает клиенту и/или контрагенту о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа клиента или контрагента дать письменное согласие на их получение;
- при предоставлении клиентом и/или контрагентом в рамках заключенного договора персональных данных третьих лиц передающее лицо подтверждает, что получил у третьего лица, чьи данные передаются, все необходимые согласия на такую передачу;
- Оператор не вправе получать и обрабатывать персональные данные клиента или контрагента о его политических, религиозных и иных убеждениях и частной жизни;
- Оператор не вправе получать и обрабатывать персональные данные клиента или контрагента о его членстве в общественных объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных федеральными законами.
3.3. Защита персональных данных клиента и/или контрагента от неправомерного их использования или утраты обеспечивается Оператором за счет собственных средств в порядке, установленном федеральными законами и настоящим положением.
3.4. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
3.5. Оператор осуществляет внутренний контроль соответствия обработки персональных данных Закону о персональных данных, требованиям к защите персональных данных, политике организации в отношении обработки персональных данных, настоящему положению.
3.6. Оператор знакомит работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику организации в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных.
3.7. Оператор обеспечивает безопасность персональных данных клиента или контрагента следующими способами:
- определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
- применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
- обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
- установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных;
- ограничение доступа к конфиденциальной информации, в том числе путём установки паролей для доступа к информационным системам и базам данных;
- ведением видеонаблюдения на территории Оператора;
- контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
3.8. Оператор обрабатывает в информационных системах с использованием средств автоматизации следующие категории персональных данных клиента, обеспечивает их защиту:



3.9. Оператор обрабатывает в информационных системах с использованием средств автоматизации, а также без использования средств автоматизации следующие категории персональных данных контрагента, обеспечивает их защиту:



3.10. Оператор при обработке персональных данных клиента или контрагента на бумажных носителях в целях обеспечения их защиты:
- назначает должностное лицо, ответственного за обработку персональных данных;
- ограничивает допуск в помещения, в которых хранятся документы, содержащие персональные данные клиентов и контрагентов.
3.11. В целях обеспечения конфиденциальности документы, содержащие персональные данные клиентов и контрагентов, оформляются, ведутся и хранятся только по месту регистрации ИП Норова А.И.
3.12. Работники, допущенные к персональным данным клиентов и контрагентов, подписывают обязательства о неразглашении персональных данных. В противном случае до обработки персональных данных клиентов и контрагентов не допускаются.
3.13. Сбор и хранение персональных данных клиентов Оператора в электронном виде (автоматизированная обработка) осуществляется информационной системой партнера Оператора – общество с ограниченной ответственностью «Менеджер локаций» ИНН 7702389359, юр. адрес: 127018, г. Москва, ул. Полковая, д. 3, стр. 4, пом. I, ком. 1, эт. 4 – через установленный на сайте Оператора https://lemagenta.studio модуль бронирования (виджет).
Модуль бронирования (виджет) является элементом интерфейса Партнера Оператора, размещенным на сайте Оператора, с целью осуществления бронирования через Систему бронирования (информационная система, содержащая информацию, касающуюся наличия свободных часов, а также дополнительных услуг, тарифов и правил их применения, в том числе условий предоставления предлагаемых Оператором услуг, через которую происходит непосредственное бронирование услуг Оператора).
Доступ Оператора к персональным данных клиентов осуществляется через личный кабинет Оператора на сайте партнера оператора по URL адресу: https://ugoloc.ru
Сбор и хранение персональных данных клиентов Оператора осуществляется также в бумажном виде непосредственно Оператором. Места хранения таких персональных данных определены приказом Оператора.
3.14. Сбор персональных данных контрагентов Оператора осуществляются путем смешанной обработки персональных данных и хранятся в электронных папках и файлах на персональном компьютере Оператора и работников, допущенных к обработке персональных данных клиентов и контрагентов, с ограничением доступа к конфиденциальной информации.
Персональные данные контрагентов также передаются и хранятся в сервисе 1С:Фреш (ООО «1С-Софт»).

4..Передача персональных данных

4.1. При передаче персональных данных клиента или контрагента Оператор соблюдает следующие требования:
- не сообщать персональные данные клиента или контрагента третьей стороне без его согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью клиента или контрагента, а также в других случаях, установленных федеральными законами;
- не сообщать персональные данные клиента или контрагента в коммерческих целях без его письменного согласия;
- предупредить лиц, получающих персональные данные клиента или контрагента, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные клиента или контрагента, обязаны соблюдать режим секретности (конфиденциальности);
- разрешать доступ к персональным данным клиентов и контрагентов только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные клиентов и контрагентов, которые необходимы для выполнения конкретных функций;
- не запрашивать информацию о состоянии здоровья клиентов и контрагентов.
4.2. Все сведения о передаче персональных данных клиента или контрагента учитываются для контроля правомерности использования данной информации лицами, ее получившими.
4.3. Передача персональных данных по запросам третьих лиц, если такая передача прямо не предусмотрена законодательством Российской Федерации, допускается исключительно с согласия клиента или контрагента на обработку его персональных данных в части их предоставления или согласия на распространение персональных данных.
4.4. Передача информации, содержащей сведения о персональных данных клиента или контрагента, по телефону, в связи с невозможностью идентификации лица, запрашивающего информацию, запрещается.
4.5. Согласие на обработку персональных данных, разрешенных клиентом или контрагентом для распространения, оформляется отдельно от иных согласий клиента или контрагента на обработку его персональных данных. Оператор обеспечивает клиенту или контрагенту возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных им для распространения.
4.6. Передача (распространение, предоставление, доступ) персональных данных, разрешенных клиентом или контрагентом для распространения, должна быть прекращена в любое время по его требованию. Указанные в данном требовании персональные данные могут обрабатываться только Оператором.

5..Порядок уничтожения персональных данных

5.1. В случае выявления неправомерной обработки персональных данных клиентов и/или контрагентов Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому клиенту и/или контрагенту, с момента такого обращения на период проверки.
5.2. В случае выявления неточных персональных данных при обращении клиента и/или контрагента Оператор осуществляет блокирование персональных данных, относящихся к этому клиенту и/или контрагенту, с момента такого обращения на период проверки, если блокирование персональных данных не нарушает права и законные интересы клиента и/или контрагента или третьих лиц.
5.3. В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных клиентом и/или контрагентом, или иных необходимых документов уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
5.4. В случае выявления неправомерной обработки персональных данных, осуществляемой Оператором, Оператор в срок, не превышающий трех рабочих дней с даты этого выявления, прекращает неправомерную обработку персональных данных.
5.5. В случае если обеспечить правомерность обработки персональных данных невозможно, Оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, уничтожает такие персональные данные.
5.6. Об устранении допущенных нарушений или об уничтожении персональных данных Оператор уведомляет клиента и/или контрагента.
5.7. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав клиента и/или контрагента, Оператор с момента выявления такого инцидента Оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомляет уполномоченный орган по защите прав субъектов персональных данных:
- в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав клиента и/или контрагента, и предполагаемом вреде, нанесенном правам клиента и/или контрагента, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
- в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставляет сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
5.8. В случае отзыва клиентом и/или контрагентом согласия на обработку его персональных данных Оператор прекращает их обработку и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожает персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва.
5.9. В случае обращения клиента и/или контрагента к Оператору с требованием о прекращении обработки персональных данных, Оператор в срок, не превышающий десяти рабочих дней с даты получения ей соответствующего требования, прекращает их обработку, за исключением случаев, предусмотренных Законом о персональных данных.
Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Оператором в адрес клиента и/или контрагента мотивированного уведомления с указанием причин продления срока прекращения обработки персональных данных.
Для прекращения обработки Оператором персональных данных клиентом и/или контрагентом должно быть направлено письменное заявление об отзыве согласия на их обработку Оператору. В заявлении должны быть указаны:
- Ф. И. О.;
 - контакты (номер телефона, адрес электронной почты);
- перечень персональных данных, обработка которых должна быть прекращена.
5.10. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в пунктах 5.4-5.9 настоящего Положения, Оператор осуществляет блокирование таких персональных данных и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.
5.11. После истечения срока нормативного хранения документов, содержащих персональные данные клиента и/или контрагента, или при наступлении иных законных оснований документы подлежат уничтожению.
Документы, содержащие персональные данные клиента и/или контрагента и подлежащие уничтожению:
- на бумажном носителе - уничтожаются путем измельчения в шредере;
- в электронном виде - стираются с информационных носителей либо физически уничтожаются сами носители, на которых хранится информация.

6..Права клиентов и контрагентов в целях обеспечения защиты персональных данных

6.1. В целях обеспечения защиты персональных данных, хранящихся у Оператора, клиенты и контрагенты имеют право на:
- полную информацию об их персональных данных и обработке этих данных, в том числе содержащую:

• подтверждение факта обработки персональных данных Оператором;
• правовые основания и цели обработки персональных данных;
• цели и применяемые Оператором способы обработки персональных данных;
• сроки обработки персональных данных, в том числе сроки их хранения;
• информацию об осуществленной или о предполагаемой трансграничной передаче данных;
• информацию о способах исполнения организацией обязанностей, установленных статьей 18.1 Закона о персональных данных;

- свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные клиента или контрагента, за исключением случаев, предусмотренных федеральным законом;
- определение своих представителей для защиты своих персональных данных;
- требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением требований Закона о персональных данных. При отказе Оператора исключить или исправить персональные данные клиента или контрагента он имеет право заявить в письменной форме Оператору о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера клиент или контрагент имеет право дополнить заявлением, выражающим его собственную точку зрения;
- требование об извещении Оператором всех лиц, которым ранее были сообщены неверные или неполные персональные данные клиента или контрагента, обо всех произведенных в них исключениях, исправлениях или дополнениях;
- обжалование в суд любых неправомерных действий или бездействия Оператора при обработке и защите персональных данных.

7..Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных

7.1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных клиентов и контрагентов Оператора, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном федеральными законами РФ, а также привлекаются к гражданско-правовой, административной и уголовной ответственности в порядке, установленном федеральными законами.
7.2. Моральный вред, причиненный клиенту или контрагенту вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных федеральным законодательством, а также требований к защите персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных клиентом или контрагентом убытков.

8..Заключительные положения

8.1. Настоящее Положение вступает в силу с момента его утверждения.
8.2. Оператор обеспечивает неограниченный доступ клиентов и контрагентов к настоящему документу.
8.3. Настоящее положение является обязательным для исполнения всеми работниками, имеющими доступ к персональным данным клиента или контрагента, и доводится до их сведения персонально под роспись.