Політика щодо обробки персональних даних

1. Вступ

1.1. Цей документ визначає політику компанії “Vivat International Trading L.L.C.” (далі— Компанія) щодо обробки персональних даних  (далі — ПДн).

1.2. Компанія є оператором ПДн у відповідності з законодавством Російської Федерації про ПДн.

1.3 Ця Політика розроблена у відповідності з діючим законодавством Російської Федерації про ПДн:

• Федеральний закон Російської Федерації від 27.07.2006 р. № 152-ФЗ «Про персональні дані» (далі — 152-ФЗ, ФЗ «Про персональні дані»), яким встановлено основні принципи і умови обробки ПДн, права, обов’язки і відповідальність учасників відносин, пов’язаних з обробкою ПДн;
• Постанова Уряду Російської Федерації від 01.11.2012 р. № 1119 «Про затвердження вимог щодо захисту персональних даних при їх обробці в інформаційних системах персональних даних»;
• Постанова Уряду Російської Федерації від 15.09.2008 р. № 687 «Про затвердження Положення щодо особливостей обробки персональних даних, яка здійснюється без використання засобів автоматизації».

1.4. Дія цієї Політики розповсюджується на будь-яку дію (операцію) або сукупність дій (операцій), які здійснюються з використанням засобів автоматизації або без використання таких засобів з ПДн, включно зі збором, записом, систематизацією, накопиченням, зберіганням, уточненням (оновленням, зміною), вилученням, використанням, передачею (розповсюдженням, наданням, доступом), знеособленням, блокуванням, видаленням, знищенням ПДн.

1.5. Ця Політика підлягає перегляду і, за необхідності, актуалізації у випадку змін в законодавстві Російської Федерації про ПДн.

2. Принципи і мета обробки ПДн

Обробка ПДн здійснюється на основі наступних принципів:

1.    обробка ПДн здійснюється на законній і справедливій основі;

2.    обробка ПДн обмежується досягненням конкретної, наперед визначеної і законної мети;

3.    обробка ПДн, яка є несумісною з метою збору ПДН, не допускається;

4.    не допускається об’єднання баз даних, що містять ПДн, обробка яких здійснються з цілями, несумісними між собой;

5.    зміст і об’єм ПДн, які обробляються, відповідають заявленій меті обробки. ПДн, які обробляються, не є надлишковими по відношенню до заявленої мети обробки;

6.    при обробці ПДн забезпечується точність ПДн і їх достатність, у випадках необхідності і актуальність ПДн по відношенню до заявленої мети обробки;

7.    зберігання ПДн здійснюється в формі, яка дозволяє визначити суб’єкт ПДн не довше, ніж цього  вимагає мета обробки ПДн, якщо строк зберігання ПДн не встановлений федеральним законом, договором, стороною якого, вигодонабувачем або поручителем за яким є суб’єкт ПДн;

8.    ПДн, які обробляються, підлягають знищенню або знеособленню після досягнення мети обробки або у випадку втрати необхідності в досягненні цієї мети, якщо інше не передбачено федеральним законом.

Метою обробки ПДн є

1.    проведення маркетингових акцій, просування продуктів і послуг, оцінка якості обслуговування клієнтів;

2.    укладення, виконання та припинення цивільно-правових договорів з фізичними, юридичними та іншими особами;

3.    повідомлення суб’єкту ПДн про перемогу в конкурсі і виграні призи;

4.    розсилання суб’єкту ПДн новин та інформації про акції, новинки і послуги Компанії;

5.    персоналізація сайту на основі історії пошуку і переглядів суб’єкта ПДн;

6.    для зв’язку наших співробітників з суб’єктом ПДн з метою отримання консультації про послуги і товари, які пропонує Компанія;

7.    виставлення комерційних пропозицій, рахунків, укладення договорів щодо надання послуг і/або продажу товарів;

8.    з іншою метою, яка не забороняється чинним законодавством.

3. Умови обробки ПДн

3.1 Обробка ПДн здійснюється з дотриманням принципів і правил, встановлених ФЗ «Про персональні дані». Обробка ПДн здійснюється в наступних випадках:

1.    обробка ПДн здійснюється зі згоди суб’єкта ПДн на обробку його ПДн;

2.    обробка ПДн необхідна для досягнення мети, яка передбачена міжнародним договором Російської Федерації або законом, для здійснення та виконання покладених законодавством Російської Федерації на оператора функцій, повноважень та обов’язків;

3.    обробка ПДн необхідна для виконання договору, стороною якого або вигодонабувачем або поручителем за яким є суб’єкт ПДн, а також для укладення договору за ініціативою суб’єкта ПДн або договору, за яким суб’єкт ПДн буде виступати вигодонабувачем чи поручителем;

4.    обробка ПДн необхідна для захисту життя, здоров’я або інших життєво важливих інтересів суб’єкта ПДн, якщо отримання згоди суб’єкта ПДн неможливе;

5.    обробка ПДн необхідна для здійснення прав і законних інтересів оператора або третіх осіб, або для досягнення суспільно значимої мети за умови, що при цьому не порушуються права і свободи суб’єкта ПДн;

6.    обробка ПДн здійснюється з статистичною або іншою дослідницькою метою, за умови обов’язкового знеособлення ПДн. Винятком є обробка ПДн з метою просуванням товарів, робіт, послуг на ринку шляхом здійснення прямих контактів з потенційним споживачем за допомогою засобів зв’язку;

7.    здійснюється обробка ПДн, доступ необмеженого кола осіб до яких наданий суб’єктом ПДн або за його проханням.

3.2 Компанія може включати ПДн суб’єктів  в загально доступні джерела ПДн, при цьому Компанія отримує письмову згоду суб’єкта на обробку його ПДн.

3.3 Компанія може здійснювати обробку даних про стан здоров’я суб’єкта ПДн в наступних випадках:

1.    у відповідності з законодавством про державну соціальну допомогу, трудовим законодавством, законодавством Російської Федерації про пенсії за державним пенсійним забезпеченням, про трудові пенсії;

2.    для захисту життя, здоров’я або інших життєво важливих інтересів працівника чи для захисту життя, здоров’я або інших життєво важливих інтересів інших осіб і отримання згоди суб’єкта ПДн неможливе;

3.    для встановлення або здійснення прав працівника або третіх осіб, а так само і в зв'язку із здійсненням правосуддя;

4.    у відповідності з законодавством щодо обов’язкових видів страхування, із страховим законодавством.

3.4 Прийняття на підставі виключно автоматизованої обробки ПДн рішень, які породжують юридичні наслідки щодо суб’єкта ПДн або іншим чином зачіпають його права та законні інтереси, не здійснюється.

3.5 Компанія може здійснювати обробку ПДн за дорученням оператора на підставі укладеного договору між Компанією і оператором.

3.6 За відсутності необхідності письмового дозволу суб’єкта на обробку його ПДн згоду суб’єкта може дати суб’єкт ПДн або його представник в будь-якій формі, що дозволяє отримати факт її отримання.

3.7 При дорученні обробки ПДн іншій особі Компанія укладає договір (далі — доручення оператора) з цією особою і отримує згоду суб’єкта ПДн, якщо інше не передбачено федеральним законом. При цьому Компанія в дорученні оператора зобов’язує особу, яка здійснює обробку ПДн за дорученням Компанії, дотримуватися принципів і правил обробки ПДн, які передбачені ФЗ «Про персональні дані».

3.8 У випадках, коли Компанія доручає обробку ПДн іншій особі, відповідальність перед суб’єктом ПДн за дії вказаної особи несе Компанія. Особа, що здійснює обробку ПДн за дорученням Компанії, несе відповідальність перед Компанією.

3.9 Компанія зобов’язується і зобов’язує інші особи, які отримали доступ до ПДн, не розголошувати третім особам і не розповсюджувати ПДн без згоди суб’єкта ПДн, якщо інше не передбачено федеральним законом.

3.10 При заповненні форми зворотнього зв'язку на сайті Компанії, визнається, що суб’єкт ПДн дав свою згоду на обробку повідомлених ним персональних даних.

4 Обов’язки Компанії

У відповідності з вимогами Федерального закону № 152-ФЗ «Про персональні дані» Компанія зобов’язана:

1.    Надавати суб’єкту ПДн на його запит інформацію, яка стосується обробки його ПДн, або на законних підставах надавати відмову протягом тридцяти днів з дати отримання запиту суб’єкта ПДн або його представника;

2.    За вимогою  суб’єкта ПДн уточнювати, блокувати або видаляти ПДн, які обробляються, якщо ПДн є неповними, застарілими, неточними, незаконно отриманими або не є необхідними для заявленої мети обробки в строк, що не перевищує семи робочих днів з дати надання суб’єктом ПДн або його представником відомостей, що підтверджують ці факти;

3.    Вести Журнал обліку звернень суб'єктів ПДн, в якому повинні фіксуватися запити суб'єктів ПДн на отримання ПДн, а також факти надання ПДн за цими запитами;

4.    Повідомляти суб'єкта ПДн про обробку ПДн у тому випадку, якщо ПДн були отримані не від суб'єкта ПДн. Виняток становлять наступні випадки:

• суб'єкт ПДн повідомлений про здійснення обробки Компанією його ПДн;
• ПДн отримані Компанією у зв’язку з виконанням договору, стороною якого або вигодонабувачем або поручителем зая ким є суб'єкт ПДн, або на основі федерального закону;
• ПДн зроблені загально доступними суб'єктом ПДн або отримані з загально доступного джерела;
• Компанія здійснює обробку ПДн з статистичною або іншою дослідницькою метою, якщо при цьому не порушуються права та законні інтереси суб'єкта ПДн;
• надання суб'єкту ПДн відомостей, що містяться в Повідомленні про обробку ПДн, порушує права і законні інтереси третіх осіб;

5.    У випадку досягнення мети обробки ПДн невідкладно припинити обробку ПДн і знищити відповідні ПДн в строк, що не перевищує тридцяти днів з дати досягнення мети обробки ПДн, якщо інше не передбачено договором, стороною якого, вигодонабувачем або поручителем за яким є суб'єкт ПДн, іншим договором між Компанією і суб'єктом ПДн, або якщо Компанія не має права здійснювати обробку ПДн без згоди суб'єкта ПДн на підставах, передбачених № 152-ФЗ «Про персональні дані» або іншими федеральними законами;

6.    У випадку відклику суб'єктом ПДн згоди на обробку своїх ПДн припинити обробку ПДн і знищити ПДн в строк, що не перевищує тридцяти днів з дати надходження вказаного відклику, якщо інше не передбачено угодою між Компанією та суб'єктом ПДн. Про знищення ПДн Компанія зобов’язана повідомити суб'єкта ПДн;

7.    У випадку надходження вимоги суб'єкта ПДн про припинення обробки ПДн, отриманих з метою просування товарів, робіт, послуг на ринку, невідкладно припинити обробку ПДн.

5 Заходи щодо забезпечення безпеки ПДн при їх обробці

5.1 При обробці ПДн Компанія застосовує необхідні правові, організаційні та технічні заходи для захисту ПДн від неправомірного або випадкового доступу до них, знищення, зміни, блокування, копіювання, надання, розповсюдження ПДн, а також від інших неправомірних дій щодо ПДн.

5.2 Забезпечення безпеки ПДн досягається наступними заходами:

1.    Визначення загрози безпеки ПДн при їх обробці в інформаційних системах ПДн;

2.    Застосування організаційних та технічних заходів щодо забезпечення безпеки ПДн при їх обробці в інформаційних системах ПДн, необхідних для виконання вимог щодо захисту ПДн, виконання яких забезпечує встановлені Урядом Російської Федерації рівні захищеності ПДн;

3.    Застосування процедур оцінки відповідності засобів захисту інформації в установленому порядку;

4.    Оцінка ефективності заходів щодо запезбечення ПДн, що приймаються, до введення в експлуатацію інформаційної системи ПДн;

5.    Облік машинних носіїв ПДн;

6.    Виявлення фактів несанкціонованого доступу до ПДн і прийняття заходів;

7.    Відновлення ПДн, модифікованих або знищених внаслідок несанкціонованого доступу до них;

8.    Встановлення правил доступу до ПДн, що обробляються в інформаційній системі ПДн, а також забезпечення реєстрації і обліку всіх дій, що здійснюються з ПДн в інформаційній системі ПДн;

9.    Контроль за заходами щодо забезпечення безпеки ПДн, що приймаються, і рівнем захищеності інформаційних систем ПДн.

6 Права суб'єкта ПДн

У відповідності з ФЗ «Про персональні дані» суб'єкт ПДн має право:

1.    Отримувати відомості, що стосуються обробки ПДн Компанією, а саме:

• підтвердження факту обробки ПДн Компанією;
• правові підстави і мета обробки ПДн Компанією;
• способи обробки ПДн, що застосовуються Компанією;
• назва і місце знаходження Компанії, відомості про особи (за винятком працівників Компанії), які мають доступ до ПДн або для яких можуть бути  розголошені ПДн на підставі договору з оператором або на підставі федерального закону;
• ПДн, що обробляються та відносяться до відповідного суб'єкта ПДн, джерело їх отримання, якщо інший порядок надання таких даних не передбачений федеральним законом;
• строки обробки ПДн Компанією, в тому числі строки їх зберігання;
• порядок здійснення суб'єктом ПДн прав, передбачених ФЗ «Про персональні дані»;
• інформацію про здійснену або ймовірну транскордонну передачу даних;
• назва або прізвище, ім’я, по батькові та адреса особи, що здійснює обробку ПДн за дорученням Компанії, якщо обробка доручена або буде доручена такій особі;
• інші відомості, передбачені ФЗ «Про персональні дані» або іншими федеральними законами;

2.    Вимагати від Компанії уточнення його ПДн, їх блокування або знищення у випадку, якщо ПДн є неповними, застарілими, неточними, незаконно отриманими або не є необхідними для заявленої мети обробки;

3.    Відізвати згоду на обробку ПДн в передбачених законом випадках.

7 Порядок здійснення прав

7.1 Звернення суб’єкта ПДн до оператора з метою реалізації його прав, встановлених ФЗ «Про персональні дані», здійснюється в письмовій  встановленій формі при особистому візиті в Компанію суб’єкта ПДн чи його представника. (Тут і далі по тексту під суб’єктами ПДн розуміються як сам суб’єкт ПДн, так і його законний представник: один з батьків, опікун, піклувальник та інші особи, повноваження яких встановлені 152-ФЗ або іншим законом Російської Федерації).

7.2 Форма звернення видається суб’єкту ПДн або його представнику працівником Компанії і заповнюється суб’єктом ПДн або його представником з проставленням власноруч підпису в присутності вказаного працівника.

7.3 Працівник Компанії, отримавши звернення у встановленій формі, звіряє вказані в ньому відомості щодо основного документа, який посвідчує особу суб’єкта ПДн, підстави, за яких особа виступає в якості представника суб’єкта ПДн, і надані при зверненні оригінали даного документа.

7.4 Відповідь на звернення відправляється суб’єкту ПДн в письмовій формі поштою на адресу, вказану в зверненні.

7.5 Строк надання відповіді та передачі в поштове відділення для відправки не може перевищувати тридцяти днів з дати отримання оператором звернення.

7.6 Строк внесення необхідних змін в ПДн, що є неповними, неточними або неактуальними, не може перевищувати семи робочих днів з дати надання суб’єктом ПДн або його представником відомостей, які підтверджують, що ПДн є неповними, неточними або неактуальними.

7.7 Строк знищення ПДн, що є незаконно отриманими або не є необхідними для заявленої мети обробки, не може перевищувати семи робочих днів з дати надання суб’єктом ПДн або його представником відомостей, які підтверджують, що ПДн є незаконно отриманими або не є необхідними для заявленої мети обробки.

8 Обмеження прав суб'єктів ПДн

8.1 Право суб'єкта ПДн на доступ до своїх ПДн обмежується у випадку, якщо надання  ПДн порушує права та законні інтереси інших осіб.

8.2 У випадку якщо відомості, що стосуються обробки ПДн, а також ПДн, що обробляються, були надані для ознайомлення суб'єкту ПДн за його запитом, суб'єкт ПДн має право повторно направити запит з метою отримання відомостей, що стосуються обробки ПДн, і ознайомлення з такими ПДн не раніже, ніж через тридцять днів після направлення початкового запиту, якщо коротший строк не встановлений федеральним законом, прийнятим у відповідності з ним нормативним правовим актом або договором, стороною якого або вигодонабувачем чи поручителем за яким є суб'єкт ПДн.

8.3 Суб'єкт ПДн має право направити Компанії повторний запитс з метою отримання відомостей, що стосуються обробки ПДн, а також з метою ознайомлення з ПДн, що обробляються, до закінчення строку, вказаного в п. 8.2 у випадку, якщо такі відомості і (або) ПДн, що обробляються, не були йому надані для ознайомлення в повному обсязі за результатами розгляду початкового запиту. Повторний запит повинен містити обгрунтування направлення повторного запиту.

8.4 Компанія має право відмовити суб'єкту ПДн в виконанні повторного запиту, який не відповідає умовам, передбаченим пп. 8.2 і 8.3.