2. ЦЕЛИ СБОРА ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1 Фирма осуществляет обработку персональные данных исключительно для тех целей, для которых они были предоставлены, в том числе для:

• осуществления уставной деятельности ЗАО НПЦ Фирма «НЕЛК» в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации, законодательством Российской Федерации в области персональных данных и другими федеральными законами и иными нормативными правовыми актами РФ;
• выполнения обязательств по трудовому договору (контракту) в соответствии с законодательством Российской Федерации;
• отражения информации в кадровых документах;
• содействия работникам ЗАО НПЦ Фирма «НЕЛК» в обучении, повышении квалификации и должностном росте;
• контроля количества и качества выполняемой работы и обеспечения сохранности имущества ЗАО НПЦ Фирма «НЕЛК»;
• кадрового обеспечения деятельности ЗАО НПЦ Фирма «НЕЛК»;
• оформления сотрудникам допуска к сведениям, составляющим государственную тайну;
• содействия в трудоустройстве;
• расчета и начисления заработной платы;
• ведения бухгалтерского и налогового учета;
• перечисления страховых взносов в бюджетные и внебюджетные фонды;
• исчисления и уплаты предусмотренных законодательством Российской Федерации налогов, сборов и взносов на обязательное социальное и пенсионное страхование;
• предоставления сведений в банк для оформления банковской карты и перечисления на неё заработной платы;
• представления работодателем установленной законодательством отчетности в отношении физических лиц, в том числе сведений персонифицированного учета в Пенсионный фонд Российской Федерации, сведений подоходного налога в Федеральную Налоговую Службу России, сведений в Фонд Социального Страхования Российской Федерации; предоставления сведений в контролирующие органы;
• осуществления пропускного режима в ЗАО НПЦ Фирма «НЕЛК»;
• делопроизводства;
• заключения и выполнения обязательств по договорам гражданско-правового характера и договорам с контрагентами;
• регистрации обращений субъектов персональных данных;
• регистрации субъекта персональных данных на сайте Фирмы для предоставления доступа к отдельным их разделам;
• предоставления субъекту ПДн информации о Фирме, её услугах и мероприятиях;
• организации участия субъекта ПДн в проводимых Фирмой мероприятиях и опросах;
• направления субъекту ПДн новостных материалов Фирмы.

3. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1 Правовыми основаниями обработки Оператором персональных данных является комплекс правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет свою деятельность и обработку персональных данных.

3.2 К правовым основаниям обработки персональных данных на Фирме относятся:

- Конституция Российской Федерации, ст.17, ст.23, ст.24, ст.37;
- Гражданский кодекс Российской Федерации, гл.1, гл.27, гл.39;
- Трудовой кодекс Российской Федерации, ст.9, ст.22, ст.86, ст.88;
- Налоговый кодекс Российской Федерации, ст.24;
- Федеральный закон от 29.12.2012г. № 275-ФЗ «О государственном оборонном заказе», ст.15.3;
- Федеральный закон от 01.04.1996г. № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования», ст. 9;
- Постановление Правительства РФ от 10 сентября 2007 г. N 575 «Об утверждении Правил оказания телематических услуг связи», п. 22.1;
- Постановление Правительства РФ от 15.04.1995 N 333 «О лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны», п.5;
- Постановление Правительства РФ от 06.02.2010 N 63 «Об утверждении Инструкции о порядке допуска должностных лиц и граждан Российской Федерации к государственной тайне», п.5;
- Устав ЗАО НПЦ Фирма «НЕЛК», утвержден Решением Общего собрания акционеров, Протокол от 15.10.2001 г. № 14, зарегистрирован в Московской регистрационной палате 03.12.2001г. № 626835;
- Положение по пропускному и внутриобъектовому режимах в ЗАО НПЦ Фирма «НЕЛК», утверждено приказом генерального директора ЗАО НПЦ Фирма «НЕЛК» от 28.02.2018г. № 19;
- договор оказания услуг, стороной которого либо выгодоприобретателем или поручителем по которому является Субъект ПДн;
- договоры оказания услуг, заключаемые между Фирмой и субъектом ПДн;
- согласия на обработку ПДн.

4.ОБЪЕМ И КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ, КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Фирма собирает:

• персональные данные, которые предоставляют субъекты ПДн при заполнении информационных полей на сайте Фирмы, в том числе при заполнении контактной формы, при подписке на новостную рассылку, при регистрации на мероприятия, при заполнении формы вопросов по предоставляемым услугам и продукции;
• персональные данные и другую информацию, содержащуюся в сообщениях, которые направляют Оператору субъекты персональных данных;
• технические данные, которые автоматически передаются устройством, с помощью которого субъекты ПДн используют сайт Фирмы, в том числе технические характеристики устройства, IP-адрес, информация, сохраненная в файлах «cookies», которые были отправлены на устройство соответствующего субъекта персональных данных, информация о браузере, дата и время доступа к сайту, адреса запрашиваемых страниц и иная подобная информация;
• иные данные о субъекте ПДн, которые последний пожелал оставить на сайте Фирмы.

4.2. В информационных системах персональных данных Оператора в соответствии с целями обработки ПДн, указанными в п.2 настоящей Политики, обрабатываются персональные данные следующих категорий:

- специальные категории ПДн в случаях, когда субъект ПДн дал согласие в письменной форме на обработку своих персональных данных, когда обработка ПДн осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством РФ, когда обработка ПДн осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством;
- биометрические персональные данные – фотографическое изображение, полученное с согласия в письменной форме субъекта ПДн;
- иные категории ПДн – категории ПДн, которые не относятся к специальным категориям ПДн, а также биометрическим или общедоступным.

4.3. Оператор обрабатывает персональные данные сотрудников Фирмы и менее чем 100000 субъектов ПДн, не являющихся сотрудниками Фирмы:

- сотрудники Фирмы;
- бывшие сотрудники Фирмы;
- близкие родственники сотрудников Фирмы;
- кандидаты на замещение вакантных должностей;
- клиенты и контрагенты Фирмы (физические лица);
- представители/ работники клиентов и контрагентов Фирмы (юридических лиц);
- физические лица, с которыми заключен договор гражданско-правового характера.

5. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Фирма осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление и уничтожение персональных данных.

5.2. Обработка персональных данных на Фирме осуществляется следующими способами:

- неавтоматизированная обработка персональных данных;
- автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
- смешанная обработка персональных данных.

5.3. Информация, относящаяся к персональным данным, ставшая известной Фирме, является конфиденциальной информацией и охраняется законом.

5.4. Сотрудники Фирмы и иные лица, получившие доступ к обрабатываемым персональным данным, подписали обязательство о неразглашении информации, содержащей персональные данные, а также предупреждены о возможной дисциплинарной, административной, гражданско-правовой и уголовной ответственности в случае нарушения норм и требований действующего законодательства Российской Федерации в области обработки персональных данных.

5.5. Оператор хранит персональные данные субъекта ПДн в соответствии с внутренними регламентами.

5.6. В отношении персональных данных субъекта ПДн, всеми сотрудниками Фирмы, у которых есть доступ к таким данным, соблюдается режим конфиденциальности.

5.7. Договоры Оператора с контрагентами содержат условия конфиденциальности передаваемых и получаемых персональных данных, в том числе с лицами, привлекаемыми для обработки персональных данных.

5.7.1. В иных случаях к договорам Оператора с контрагентами добавляется Поручение на обработку персональных данных, где указываются обязанности сторон, порядок передачи персональных данных, ответственность сторон, сохранение конфиденциальности информации

5.8. Оператор вправе передать персональные данные субъекта ПДн третьим лицам в следующих случаях:

- субъект ПДн выразил свое согласие на такие действия;
- передача необходима для исполнения условий определенного соглашения или договора с субъектом ПДн;
- передача предусмотрена Российским или иным применимым законодательством в рамках установленной законодательством процедуры.

5.9. При передаче ПДн третьим лицам ответственность возлагается на третьих лиц. Это должно быть зафиксировано в договорных материалах между Оператором и третьими лицами.

5.10. При передаче персональных данных сотрудника Оператор должен соблюдать следующие требования:

- не сообщать персональные данные сотрудника третьей стороне без его письменного согласия, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью сотрудника, а также в других случаях, предусмотренных законодательством РФ;
- не сообщать персональные данные сотрудника в коммерческих целях без его письменного согласия;
- предупреждать лиц, получающих персональные данные сотрудника о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные сотрудника Фирмы, обязаны соблюдать режим конфиденциальности;
- разрешать доступ к персональным данным сотрудника только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы им для выполнения конкретных функций и должностных обязанностей.

5.11. При передаче ПДн государственным органам должны учитываться следующие факторы:

- передача должна осуществляться только по официальному запросу;
- в запросе должно быть обоснование необходимости предоставления ПДн;
- передавать персональные данные субъекта ПДн в порядке, установленном Трудовым Кодексом и иными федеральными законами, и ограничивать эту информацию только теми персональными данными, которые необходимы для выполнения указанными представителями их функций;
- обеспечить защиту ПДн при самой передаче. Документами, которые могут освободить Оператора от ответственности за разглашение ПДн, если они произошли по вине государственных органов, могут быть:

• официальная переписка;
• акт передачи данных;
• протокол (или договор) передачи файла (выписка из журнала, если передача происходила через средства автоматизации).

Все документы должны иметь соответствующие признаки идентификации клиента, сторон, самого документа, быть заверенными печатью организации.

5.12. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечить их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, представления, распространения ПДн, а также от иных неправомерных действий в отношении персональных данных.

5.13. Оператор должен издать локальный акт, который будет регулировать порядок хранения и использования персональных данных.

5.14. Оператор должен установить перечень мест хранения документации, являющейся носителем персональных данных субъектов ПДн, а также перечень мер, необходимых для обеспечения сохранности ПДн, порядок их принятия. Все документы, содержащие персональные данные субъектов ПДн, такие как личные дела, картотеки, учетные журналы, следует хранить в специально оборудованных шкафах или сейфах, которые запираются и опечатываются. Трудовые книжки работников нужно хранить в сейфе отдельно от личных дел.

5.15. При хранении материальных носителей персональных данных должны соблюдаться следующие условия:

- определение мест хранения бумажных и машинных носителей персональных данных в нерабочее время в сейфах, шкафах или деревянных тумбочках, оборудованных замками;
- обеспечение раздельного хранения персональных данных (материальных носителей), обработка которых осуществляется в различных целях;
- запрещение хранения носителей персональных данных на рабочих столах, либо оставление их без присмотра или передача на хранение другим лицам без разрешения руководителя подразделения.

5.16. Сроки хранения персональных данных и порядок их уничтожения отражаются Оператором в «Положении об обработке и защите персональных данных» Фирмы.

5.17. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения ПДн не установлен федеральным законом или договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн.

5.18. Условием прекращения обработки ПДн является достижение целей обработки ПДн, истечение срока действия согласия или отзыв согласия субъекта ПДн на обработку его ПДн, а также выявление неправомерной обработки ПДн.

5.19. Обрабатываемые персональные данные подлежат уничтожению либо передаче на архивное хранение по достижению целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством РФ.

5.20. В электронном виде файлы с персональными данными хранятся на жестких магнитных дисках серверов, АРМ сотрудников и съемных машинных носителях информации, санкционированно используемых для обработки ПДн.

5.21. Контроль за соблюдением правил хранения и использования материальных носителей персональных данных осуществляют руководители структурных подразделений Фирмы.

6. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Для обеспечения безопасности персональных данных при их обработке Фирма принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.

6.2. На Фирме приняты локальные акты по вопросам безопасности персональных данных. Сотрудники Фирмы, имеющие доступ к персональным данным, ознакомлены с настоящей Политикой и локальными актами по вопросам безопасности персональных данных.

6.3. На Фирме создана система защиты персональных данных, которая базируется на принципах:

• централизованность – система защиты данных должна централизованно управляться;
• своевременность – меры обеспечения безопасности персональных данных, применяемые в рамках системы защиты, должны быть своевременными;
• целенаправленность – меры обеспечения безопасности персональных данных, применяемые в рамках системы защиты, должны иметь четкие цели, на достижение которых они направлены;
• комплексность – система защиты должна включать комплекс мер, направленных на обеспечение безопасности персональных данных, дополняющих и поддерживающих друг друга;
• превентивность – меры обеспечения безопасности персональных данных, применяемые в рамках системы защиты должны носить предупреждающий характер;
• надежность – система защиты персональных данных должна обеспечивать достаточные гарантии Фирмы в том, что обрабатываемые персональные данные защищены надлежащим образом.

6.4. В целях осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям на Фирме организовано проведение периодических проверок условий обработки персональных данных.

6.5. На сайте Фирмы могут быть размещены ссылки на сторонние сайты и службы, которые Фирма не контролирует. Фирма не несет ответственности за безопасность или конфиденциальность любой информации, собираемой сторонними сайтами или службами.

7. АКТУАЛИЗАЦИЯ, ИСПРАВЛЕНИЕ, УДАЛЕНИЕ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОТВЕТЫ НА ЗАПРОСЫ СУБЪЕКТОВ НА ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ

7.1. В случае предоставления субъектом ПДн фактов о неполных, устаревших, недостоверных или незаконно полученных персональных данных Оператор обязан внести необходимые изменения, уничтожить или блокировать их, а также уведомить о своих действиях субъекта ПДн.

7.2. В случае подтверждения факта неточности персональных данных, они подлежат их актуализации Оператором.

7.3. В случае подтверждения факта неправомерности обработки персональных данных, обработка должна быть прекращена.

7.4. При достижении целей обработки персональных данных, а также в случае истечения срока согласия на обработку ПДн или отзыва субъектом ПДн согласия на их обработку, персональные данные подлежат уничтожению, если:

- иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
- Оператор не вправе осуществлять обработку без согласия субъекта ПДн на основаниях, предусмотренных Федеральным Законом «О персональных данных» или иными федеральными законами; - иное не предусмотрено иным соглашением между Оператором и субъектом ПДн.

7.5. Оператор обязан сообщить субъекту ПДн или его представителю информацию об осуществляемой им обработке персональных данных такого субъекта по его запросу.

8. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НОРМ, РЕГУЛИРУЮЩИХ ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1. Фирма и (или) сотрудники Фирмы, виновные в нарушении требований законодательства Российской Федерации о персональных данных, а также положений настоящей Политики, несут предусмотренную законодательством Российской Федерации ответственность.

9. ИЗМЕНЕНИЕ ПОЛИТИКИ

9.1. Фирма вправе обновлять Политику по мере необходимости.

9.2. Периодическая проверка данной Политики проводится не реже 1 раза в год.

9.3. Продолжая пользоваться сайтом Организации после изменения Политики, субъект персональных данных подтверждает согласие с внесенными изменениями