ПОЛИТИКА КОНФИДЕНЦИА­ЛЬ­НО­СТИ И СОГЛАШЕНИЯ

1. Общие положения

1.1. Настоящая Политика конфиденциальности в отношении обработки персональных данных (далее – «Политика») определяет общие принципы и порядок обработки персональных данных (далее – «ПД») и меры по обеспечению их безопасности в Обществе с ограниченной ответственностью «У Сервис +» (ОГРН 1037700017266, ИНН: 7725080060), зарегистрированном по адресу: 115142, г. Москва, ул. Речников, д. 29, стр. 3 (далее – «Общество»).

1.2. Целью Политики является обеспечение защиты прав и свобод человека и гражданина при обработке его ПД, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, четкое и неукоснительное соблюдение требований законодательства Российской Федерации и международных договоров Российской Федерации в области ПД.

1.3. Политика разработана с учетом требований Конституции Российской Федерации, в соответствии с Федеральным законом от 27.07.2006 г. №152-ФЗ «О персональных данных» (далее – «ФЗ 152-ФЗ»), Федеральным законом от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации», и другими федеральными законами, и подзаконными актами, определяющими случаи и особенности обработки ПД.

1.4. В Политике используются следующие термины и определения:

• автоматизированная обработка ПД – обработка ПД с помощью средств вычислительной техники;
• биометрические ПД – сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта ПД;
• блокирование ПД – временное прекращение обработки ПД (за исключением случаев, если обработка необходима для уточнения ПД);
• дата-центр – специализированная организация, предоставляющая услуги по размещению серверного и сетевого оборудования, сдаче серверов (в том числе виртуальных) в аренду, а также по подключению к сети Интернет;
• доступ к ПД – ознакомление определенных лиц (в том числе работников) с ПД субъектов, обрабатываемыми Обществом, при условии сохранения конфиденциальности этих сведений;
• информационная система ПД – совокупность содержащихся в базах данных ПД и обеспечивающих их обработку информационных технологий и технических средств;
• контрагент – сторона договора с Обществом, не являющаяся работником Общества;
• конфиденциальность ПД – обязанность лиц, получивших доступ к ПД, не раскрывать их третьим лицам и не распространять ПД без согласия субъекта ПД, если иное не предусмотрено законодательством;
• обработка ПД – любое действие (операция) или совокупность действий ООО «У Сервис +» Россия, г. Москва, 115142, ул. Речников, д. 29, стр. 3, тел.: (495) 258-38-58 совершаемых с использованием средств автоматизации или без использования таких средств с ПД, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение ПД;
• оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку ПД, а также определяющее цели обработки ПД, состав ПД, подлежащих обработке, действия (операции), совершаемые с ПД; в Политике под оператором понимается Общество, если иное не указано специально;
• персональные данные (ПД) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПД);
• ПД, разрешенные субъектом ПД для распространения, – ПД, доступ неограниченного круга лиц к которым предоставлен субъектом ПД путем дачи согласия на обработку ПД, разрешенных субъектом ПД для распространения в порядке, предусмотренном ФЗ 152-ФЗ;
• предоставление ПД – действия, направленные на раскрытие ПД определенному лицу или определенному кругу лиц;
• распространение ПД – действия, направленные на раскрытие ПД неопределенному кругу лиц;
• Роскомнадзор – Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций, которая является уполномоченным федеральным органом исполнительной власти по защите прав субъектов ПД;
• специальные категории ПД – сведения, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья;
• субъект ПД – физическое лицо, к которому относятся ПД; − трансграничная передача ПД – передача ПД на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
• уничтожение ПД – действия, в результате которых становится невозможным восстановить содержание ПД в информационной системе ПД и (или) в результате которых уничтожаются материальные носители ПД;
• файлы cookie – преимущественно небольшие текстовые файлы, которые хранятся на компьютере, планшете, мобильном телефоне или другом устройстве пользователя, в которых хранится информация об их предыдущих действиях на cайте в сети «Интернет».

1.5. Субъект ПД имеет право:

1.5.1. Получать информацию, касающуюся обработки его ПД.

1.5.2. Требовать от Общества прекращения обработки своих ПД, их уточнения блокирования или уничтожения в случае, если ПД являются неполными, устаревшими, неточными, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также вправе принимать предусмотренные законодательством меры по защите своих прав.

1.5.3. В любой момент отозвать свое согласие на обработку ПД Обществом.

1.6. Обязанности Общества:

1.6.1. Общество обязано предоставить субъекту ПД или его представителю сведения, предусмотренные действующим законодательством.

1.6.2. В случае выявления неправомерной обработки ПД при обращении субъекта ПД или его представителя либо по запросу субъекта ПД или его представителя, либо Роскомнадзора Общество обязано осуществить блокирование неправомерно обрабатываемых ПД, относящихся к этому субъекту ПД, или обеспечить их блокирование (если обработка ПД осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки.

1.6.3. В случае выявления неточных ПД при обращении субъекта ПД или его представителя либо по их запросу или по запросу Роскомнадзора оператор обязан осуществить блокирование ПД, относящихся к субъекту ПД, или обеспечить их блокирование (если обработка ПД осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование ПД не нарушает права и законные интересы субъекта ПД или третьих лиц.

1.6.4. В случае подтверждения факта неточности ПД оператор на основании сведений, представленных субъектом ПД или его представителем либо Роскомнадзором, или иных необходимых документов обязан уточнить ПД либо обеспечить их уточнение (если обработка ПД осуществляется другим лицом, действующим по поручению оператора) в течение 7 (семи) рабочих дней со дня представления таких сведений и снять блокирование ПД.

1.6.5. В случае выявления неправомерной обработки ПД, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку ПД или обеспечить прекращение неправомерной обработки ПД лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки ПД невозможно, оператор в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки ПД, обязан уничтожить такие ПД или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении ПД оператор обязан уведомить субъекта ПД или его представителя, а в случае, если обращение субъекта ПД или его представителя либо запрос Роскомнадзора были направлены Роскомнадзором, также указанный орган.

1.6.6. Общество проводит и документально оформляет в соответствии с требованиями, установленными Роскомнадзором, оценку вреда, который может быть причинен субъектам ПД в случае нарушения ФЗ 152-ФЗ с целью соотнесения указанного вреда и принимаемых Обществом мер, направленных на обеспечение выполнения обязанностей, предусмотренных ФЗ 152-ФЗ.

2. Обработка ПД

2.1. Обработка ПД Обществом осуществляется в соответствии со следующими принципами:

• законность обработки ПД. Общество принимает все необходимые меры по выполнению требований законодательства, не обрабатывает ПД в случаях, когда это не допускается законодательством и не требуется для достижения определенных Обществом целей, не использует ПД во вред субъектам ПД.
• ограничение обработки ПД достижением конкретных, заранее определённых и законных целей.
• обработка только тех ПД, которые отвечают заранее объявленным целям их обработки;
• соответствие содержания и объёма обрабатываемых ПД заявленным целям обработки;
• Общество не собирает и не обрабатывает ПД, не требующиеся для достижения целей, указанных настоящей Политике, не использует ПД субъектов в каких-либо целях, кроме указанных.
• Общество принимает все разумные меры по поддержке актуальности обрабатываемых ПД, включая (без ограничения) реализацию права каждого субъекта получать для ознакомления свои ПД и требовать от Общества их уточнения, блокирования или уничтожения в случае, если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленных выше целей обработки без объяснения причин такого требования.
• хранение ПД в форме, позволяющей определить субъекта ПД, не дольше, чем этого требуют цели обработки ПД, если срок хранения ПД не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПД.
• уничтожение ПД по достижении заявленных целей их обработки или в случае утраты необходимости в достижении этих целей, при невозможности устранения Обществом допущенных нарушений установленного законодательством порядка обработки ПД, отзыве согласия на обработку субъектом ПД, истечении срока обработки ПД, установленных согласием на обработку ПД, если иное не предусмотрено законодательством.

3. Цели обработки ПД

3.1. Цели обработки ПД, категории и перечень обрабатываемых ПД, категории субъектов, ПД которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения ПД при достижении целей их обработки или при наступлении иных законных оснований определены Приложением №1 к настоящей Политике.

4. Условия обработки ПД

4.1. Общество осуществляет:

• неавтоматизированную обработку ПД;
• автоматизированную обработку ПД с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
• смешанную обработку ПД.

4.2. Обработка ПД может включать в себя, в том числе: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ, распространение), блокирование, удаление, уничтожение.

4.3. Обработка ПД Обществом допускается в следующих случаях:

4.3.1. С согласия субъекта ПД на обработку его ПД.

4.3.2. Обработка ПД необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

4.3.3. Обработка ПД необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПД, а также для заключения договора по инициативе субъекта ПД или договора, по которому субъект ПД будет являться выгодоприобретателем или поручителем.

4.3.4. Обработка ПД необходима для осуществления прав и законных интересов оператора или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПД.

4.3.5. Осуществляется обработка ПД, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

4.4. Общество не раскрывает третьим лицам ПД без согласия субъекта ПД, если иное не предусмотрено законодательством.

4.5. Общество осуществляет распространение ПД на основании отдельного согласия субъекта ПД. Согласие на обработку ПД, разрешенных субъектом ПД для распространения, оформляется отдельно от иных согласий субъекта ПД на обработку его ПД.

4.6. Органам государственной власти, включая органы дознания и следствия, Федеральную налоговую службу, Пенсионный фонд Российской Федерации, Фонд социального страхования и другие уполномоченные органы исполнительной власти ПД предоставляются (передаются) в соответствии с требованиями законодательства Российской Федерации.

4.7. Общество не осуществляет обработку биометрических ПД.

4.8. При сборе ПД, в том числе, посредством информационно-телекоммуникационной сети «Интернет», Общество обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПД с использованием баз данных, находящихся на территории Общества (в Российской Федерации) и в дата-центрах на территории Российской Федерации.

4.9. Оператор осуществляет обработку информации о пользователе сайтов Оператора (полученной с помощью файлов cookie и сервисов сбора технических данных) в целях, определенных Приложением №1 к настоящей Политике.

4.10. Уничтожение ПД должно исключать возможность их восстановления программными или физическими методами.

4.11. Порядок уничтожения ПД определен в Приложении №1 к настоящей Политике. Подтверждение факта уничтожения персональных данных осуществляется в соответствии с требованиями, установленными Роскомнадзором.

5. Конфиденциальность ПД

5.1. Работниками Общества, получившими доступ к ПД, должна быть обеспечена конфиденциальность таких данных.

5.2. Общество вправе с согласия субъекта поручить обработку ПД другому лицу, если иное не предусмотрено законодательством, на основании заключаемого с этим лицом договора, предусматривающего в качестве существенного условия обязанность лица, осуществляющего обработку ПД по поручению Общества, соблюдать принципы, правила обработки ПД и требования к обработке, предусмотренные законодательством.

6. Согласие субъекта ПД на обработку своих ПД

6.1. Субъект ПД принимает решение о предоставлении своих ПД Обществу и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку ПД должно быть конкретным, предметным, информированным, сознательным и однозначным и может предоставляться субъектом в любой позволяющей подтвердить факт его получения форме, если иное не установлено законодательством.

6.2. В случаях, предусмотренных федеральным законом, обработка ПД осуществляется только с согласия в письменной форме субъекта ПД. Равнозначным содержащему собственноручную подпись субъекта ПД согласию в письменной форме на бумажном носителе является согласие в форме электронного документа, подписанного электронной подписью в соответствии с законодательством об электронной подписи.

6.3. Согласие субъектов на предоставление их ПД не требуется при получении Обществом, в рамках установленных полномочий, мотивированных запросов от органов прокуратуры, правоохранительных органов, органов следствия и дознания, органов безопасности, от государственных инспекторов труда при осуществлении ими государственного надзора и контроля за соблюдением трудового законодательства, и иных органов, уполномоченных запрашивать информацию в соответствии с компетенцией, предусмотренной законодательством.

7. Защита ПД

7.1. Безопасность ПД, обрабатываемых Обществом, обеспечивается принятием правовых, организационных и технических мер, необходимых и достаточных для обеспечения требований законодательства в области защиты ПД.

7.2. Правовые меры, принимаемые Обществом, включают:

• разработку локальных нормативных актов Общества, реализующих требования законодательства;
• отказ от любых способов обработки ПД, не соответствующих определенным в Политике целям и требованиям законодательства.

7.3. Организационные меры, принимаемые Обществом, включают:

• назначение лица, ответственного за организацию обработки ПД;
• назначение лица, ответственного за обеспечение безопасности ПД в информационных системах ПД; 
• ограничение состава работников Общества, имеющих доступ к ПД, и организацию разрешительной системы доступа к ним;
• ознакомление работников Общества, непосредственно осуществляющих обработку ПД, с положениями законодательства о ПД, в том числе с требованиями к защите ПД, с Политикой, другими локальными актами Общества по вопросам обработки ПД;
• обучение всех категорий работников Общества, непосредственно осуществляющих обработку ПД, правилам работы с ними и обеспечения безопасности обрабатываемых ПД;
• определение в должностных инструкциях работников Общества обязанностей по обеспечению безопасности обработки ПД и ответственности за нарушение установленного порядка;
• регламентацию процессов обработки ПД;
• организацию учёта материальных носителей ПД и их хранения, обеспечивающих предотвращение хищения, подмены, несанкционированного копирования и уничтожения;
• определение типа угроз безопасности ПД, актуальных для информационных систем ПД, с учетом оценки возможного вреда субъектам ПД, который может быть причинен в случае нарушения требований безопасности, определение уровня защищенности ПД и требований к защите ПД при их обработке в информационных системах, исполнение которых обеспечивает установленные уровни защищенности ПД;
• определение угроз безопасности ПД при их обработке в информационных системах, формирование на их основе частной модели (моделей) актуальных угроз;
• размещение технических средств обработки ПД в пределах охраняемой территории;
• ограничение допуска посторонних лиц в помещения Общества, недопущение их нахождения в помещениях, где ведется работа с ПД и размещаются технические средства их обработки, без контроля со стороны работников Общества.

7.4. Технические меры, принимаемые Обществом, включают:

• разработку на основе модели актуальных угроз системы защиты ПД для установленных Правительством Российской Федерации уровней защищенности ПД при их обработке в информационных системах;
• использование для нейтрализации актуальных угроз средств защиты информации, прошедших процедуру оценки соответствия;
• оценку эффективности принимаемых мер по обеспечению безопасности ПД;
• реализацию разрешительной системы доступа работников к ПД, обрабатываемым в информационных системах, и к программно-аппаратным и программным средствам защиты информации;
• регистрацию и учёт действий c ПД пользователей информационных систем, где обрабатываются ПД; ограничение программной среды;
• выявление вредоносного программного обеспечения (применение антивирусных программ) в узлах информационной сети Общества, обеспечивающих соответствующую техническую возможность;
• безопасное межсетевое взаимодействие (применение межсетевого экранирования); идентификацию и проверку подлинности пользователя (аутентификацию) при входе в информационную систему;
• обнаружение вторжений в информационную систему Общества, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности ПД;
• принятие мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы ПД и по реагированию на компьютерные инциденты в них;
• защита сетевых устройств и каналов связи, по которым осуществляется передача ПД;
• восстановление ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним (создание системы резервного копирования и восстановления ПД).

8. Заключительные положения 

8.1. Иные обязанности и права Общества как оператора ПД и лица, организующего их обработку по поручению других операторов, определяются законодательством Российской Федерации в области ПД.

8.2. Должностные лица и работники Общества, виновные в нарушении норм, регулирующих обработку и защиту ПД, несут материальную, дисциплинарную, административную, гражданско- правовую и уголовную ответственность в соответствии с законодательством Российской Федерации.

8.3. Политика пересматривается по мере необходимости. Обязательный пересмотр Политики проводится в случае существенных изменений международного или законодательства Российской Федерации в сфере ПД.

8.4. Во исполнение требований части 2 статьи 18.1 Федерального закона 152-ФЗ Политика публикуется в свободном доступе на всех страницах принадлежащих Оператору сайтов (или используемых Оператором сайтов) в информационно-телекоммуникационной сети Интернет, с использованием которых осуществляется сбор ПД.

Приложение к Политике конфиденциальности