Политика в области обработки и защиты персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. В настоящем документе определена политика Общества с ограниченной ответственностью «А ГРУПП» (далее – Оператор) в отношении обработки и защиты персональных данных (далее – Политика).

1.2. Политика разработана в соответствии с положениями:

Конституции Российской Федерации;
Трудового кодекса Российской Федерации;
Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных»;
Постановления Правительства Российской Федерации от 01 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
Постановления Правительства Российской Федерации от 15 сентября 2008 года № 687 «Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
Приказа Федеральной службы по техническому и экспортному контролю от 18.02.2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
Общего регламента защиты персональных данных (General Data Protection Regulation), принятого постановлением 2016/679 Европейского парламента и Советом Европейского союза 27.04.2016 г. (вступивший в силу 25.05.2018 г.);
Стандарта ISO/IEC 27701:2019 «Меры и средства обеспечения безопасности - Расширение ISO/IEC 27001 и ISO/IEC 27002 в плане менеджмента информации, затрагивающей неприкосновенность частной жизни – Требования и рекомендации»;
иных федеральных законов и подзаконных актов Российской Федерации, определяющих случаи и особенности обработки персональных данных и обеспечения безопасности, и конфиденциальности такой информации, (далее – Законодательство о персональных данных).

1.3. Политика разработана в целях реализации требований законодательства о персональных данных и распространяется на все действия и операции, совершаемые Оператором с персональными данными, как с использованием средств автоматизации, так и без использования таковых.

1.4. В соответствии с настоящей Политикой Оператор осуществляет обработку и защиту персональных данных субъектов персональных данных, в том числе, но не ограничиваясь: персональных данных, полученных от посетителей и зарегистрированных пользователей веб-сайта Оператора в информационно-телекоммуникационной сети Интернет условия использования которых ссылаются на данную Политику; персональных данных контрагентов (клиентов) Оператора, полученных Оператором в рамках его деятельности, а также персональных данных иных лиц, указанных в разделе 4 настоящей Политики.

1.5. По общему правилу Оператор не раскрывает третьим лицам и не распространяет персональные данные без согласия Субъекта персональных данных (если иное не предусмотрено Законодательством о персональных данных). Передача персональных данных третьим лицам осуществляется исключительно в отношении определенных персональных данных и в установленном настоящей Политикой порядке. Оператор создает общедоступные источники персональных данных (справочники), содержащие персональные данные работников Оператора. Персональные данные включаются в такие источники только с письменного согласия работников Оператора. Хранение и работа с персональными данными работниками Оператора осуществляется при строгом соблюдении настоящей Политики.

1.6. В случаях, когда Оператор поручает обработку персональных данных третьим лицам, им соблюдаются все требования Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», предусмотренные для поручения обработки персональных данных третьими лицами.

1.7. Обработка персональных данных не может осуществляться Оператором или его работниками в целях причинения имущественного и морального вреда субъектам персональных данных, затруднения реализации их прав и свобод. Обработка персональных данных Оператором должна ограничиваться достижением законных, конкретных и заранее определенных целей. Обработке подлежат только те персональные данные, и только в том объеме, которые отвечают целям их обработки.

1.8. Политика устанавливает:

цели обработки персональных данных;
классификацию персональных данных и субъектов персональных данных;
общие принципы обработки персональных данных;
основных участников системы управления процессом обработки персональных данных;
основные подходы к системе управления процессом обработки персональных данных.

1.9. Положения настоящей Политики являются основой для организации работы по обработке персональных данных Оператором, в том числе для разработки внутренних нормативных документов (регламентов, методик, технологических схем и пр.), регламентирующих процесс обработки персональных данных Оператором.

1.10. Положения настоящей Политики являются обязательными для исполнения всеми работниками Оператора, имеющими доступ к персональным данным.

1.11. Ознакомление работников Оператора с положениями настоящей Политики осуществляется посредством рассылки Политики по корпоративной почте, а также под личную подпись каждого работника в листе ознакомления с Политикой или приказом об изменении Политики.

1.12. Использование Сайта и (или) Сервисов означает ознакомление и полное безоговорочное согласие субъекта персональных данных с настоящей Политикой и указанными в ней условиями обработки и защиты его персональных данных. В случае несогласия (полного либо частичного) с этими условиями субъект персональных данных должен воздержаться от использования Сайта и (или) Сервисов.

1.13. Сайт может содержать гиперссылки на другие веб-сайты, предоставленные третьими лицами. Оператор не контролирует такие сторонние веб-сайты или информацию, размещенную на таких веб-сайтах. Оператор не несет ответственности за защиту и конфиденциальность любой информации, предоставленной субъектом персональных данных на веб-сайтах третьих лиц.

1.14. Оператор обязуется соблюдать нормы законодательства Российской Федерации в области защиты и обработки персональных данных.

1.15. Оператор обязуется соответствовать применимому законодательству в области защиты персональных данных, а также условиям договоров, заключенных с клиентами, подрядчиками и иными организациями.

2. ОСНОВНЫЕ ТЕРМИНЫ, ПОНЯТИЯ И ОПРЕДЕЛЕНИЯ

В настоящей Политике используются следующие основные термины и определения:

Близкие родственники – родственники по прямой восходящей и нисходящей линии (родители и дети, дедушки, бабушки и внуки), полнородные и неполнородные (имеющие общих отца или мать) братья и сестры.

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Использование Сайта – любые действия субъекта персональных данных по получению доступа к Сайту/Сервисам или отдельным его частям, функциям, интерфейсам как с помощью аутентификационных данных (логина и пароля), так и без них; воспроизведение, распространение, доведение до всеобщего сведения, сообщение по кабелю и в эфир, импорт, прокат, публичное исполнение, перевод и другая переработка материалов, информации (в полном объеме или частично), размещенных на Сайте и (или) в Сервисах; любые другие способы использования, независимо от того, совершаются ли соответствующие действия в целях извлечения прибыли или без такой цели.

Клиент – термин, используемый при совместном упоминании Корпоративного клиента и Розничного клиента.

Корпоративный клиент – юридическое лицо, индивидуальный предприниматель, а также физическое лицо, занимающееся в установленном законодательством Российской Федерации порядке частной практикой, заключившее или намеревающееся заключить с Оператором договор/соглашение на приобретение Товаров/Работ/Услуг/Сервисов Оператора.

Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Обработка персональных данных – любое действие (операция) Оператора или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), Обезличивание, Блокирование, удаление и Уничтожение персональных данных.

Оператор персональных данных (Оператор) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. В рамках положений настоящей Политики Оператором персональных данных выступает Общество с ограниченной ответственностью «А ГРУПП».

Партнеры Оператора – организации и индивидуальные предприниматели, действующие от своего имени или от имени Оператора и продвигающие Товары/Работы/Услуги/Сервисы Оператора на основании заключенных с ним договоров, договоров/соглашений.

Персональные данные (ПДн) – любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Представитель Корпоративного клиента – физическое лицо, персональные данные которого получены Оператором и:

входящее в органы управления Корпоративного Клиента, и/или
являющееся владельцем/учредителем/акционером/участником Корпоративного клиента, и/или
действующее от имени Корпоративного клиента на основании доверенности или указанное в карточке с образцами подписей и оттиска печати Корпоративного клиента.

Работник – физическое лицо, заключившее с Оператором трудовой договор.

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Розничный клиент – физическое лицо, заключившее или намеревающееся заключить с Оператором договор/соглашение на приобретение Товаров/Работ/Услуг/Сервисов Оператора для личного потребления путем присоединения к условиям публичного договора, и персональные данные которого переданы Оператору.

Сайт – веб-сайты www.agrupp.com, www.ag.market, а также иные существующие на данный момент веб-сайты Оператора, условия использования которых ссылаются на данную Политику, а также любое развитие их и (или) добавление новых, в том числе поддомены Сайта, условия использования которых ссылаются на данную Политику, в том числе мобильные приложения, правообладателем (законным пользователем) которых является Оператор, доступные для загрузки на Сайте или внешних ресурсах, а также интерфейсы прикладного программирования (API), используемые для реализации правоотношений между Оператором и субъектом персональных данных.

Сервисы – программы, службы, продукты, функции, интерфейсы, веб-формы, размещенные на Сайте.

Соискатель – физическое лицо, претендующее на вакантную должность работника Оператора, персональные данные которого получены Оператором.

Субъект персональных данных (Субъект ПДн) – физическое лицо, которое прямо или косвенно определено с помощью персональных данных, в отношении которого осуществляется обработка персональных данных. В рамках настоящей

Политики к субъектам персональных данных относятся физические лица, действующие от собственного имени, а также физические лица - представители юридических лиц, уполномоченные действовать от имени таких юридических лиц на основании устава, доверенности, трудового договора, гражданско-правового договора или по другим основаниям. В том числе к уполномоченным представителям юридических лиц относятся лица, осуществившие доступ к учетным записям на Сайте и (или) в Сервисах, с использованием логина и пароля, присвоенного соответствующему юридическому лицу в рамках заключенного им с Оператором договора/соглашения.

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Услуга – деятельность, результаты которой не имеют материального выражения, реализуются и потребляются в процессе осуществления этой деятельности. Применительно к деятельности Оператора под Услугами понимаются услуги, описание которых содержится, в частности, по ссылкам https://www.agrupp.com, https://www.ag.market, оказываемые Оператором на основании гражданско-правового договора с Клиентом, а также услуги, оказываемые Оператором в период демо-доступа к таким Услугам.

Файлы cookie – данные, которые передаются в процессе использования Сайта с помощью установленного на устройстве субъекта персональных данных программного обеспечения, в том числе IP-адрес, информация о браузере (или иной программе, с помощью которой осуществляется доступ к Сайту), технические характеристики оборудования и программного обеспечения, используемых субъектом персональных данных, дата и время доступа к Сайту, дата и время акцепта размещенных на Сайте оферт, сведения об истории покупок на Сайте, а также при использовании Сервисов адреса запрашиваемых страниц и иная подобная информация.

3. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор осуществляет обработку персональных данных в следующих целях:

обеспечение соблюдения требований действующего законодательства Российской Федерации, Устава и локальных нормативных актов Оператора;
предупреждение или пресечение незаконных и (или) несанкционированных действий третьих лиц;
участие Оператора в процедурах закупок потенциальных Клиентов;
оказание Услуг, предоставление Сервисов в ходе исполнения Оператором соглашений и договоров, заключенных с самим Субъектом ПДн или с юридическим лицом, от имени которого Субъект ПДн заключил и исполняет указанные соглашения и договоры;
предоставление доступа к Услугам и Сервисам Оператора после заполнения Клиентом заявки на подключение к Сервисам на Сайте Оператора, заполнения Клиентом форм регистрации, размещенных на Сайте;
оказание Услуг в период демо-доступа к Услугам Оператора в ознакомительных целях, а также в период тестирования Сервисов и (или) продуктов Оператора;
идентификация стороны в рамках Сервисов, соглашений и договоров, заключенных Оператором;
проведение Оператором акций, опросов и исследований через Сайт и клиентские службы Оператора, маркетинговых кампаний, конкурсов, розыгрышей, исследований (опросов);
обеспечение связи с Субъектом ПДн, в том числе направление уведомлений, сообщений, запросов и информации, касающихся оказания Услуг и (или) использования Сервисов, исполнения соглашений и договоров, а также обработка запросов и заявок от Субъекта ПДн;
предоставление Субъекту ПДн персональных данных информации об оказываемых Оператором Услугах, о разработке Оператором новых продуктов и Услуг. Указанная в настоящем пункте информация может быть предоставлена Оператором Субъекту ПДн в том числе через веб-формы Сайта, API, а также через страницы Оператора на интернет-платформах и сайтах Партнеров Оператора;
направление Субъекту ПДн информационных и (или) рекламных сообщений (в том числе таргетированных рекламных материалов) об Услугах, Сервисах, о событиях в деятельности Оператора, о мероприятиях, организуемых Оператором и (или) Партнерами для Клиентов и (или) потенциальных Клиентов (в том числе семинарах, конференциях, вебинарах, розыгрышах, акциях), а также товарах, работах Оператора (если применимо), а также относительно участия Клиентов в этих мероприятиях; о товарах, работах, услугах Партнеров и третьих лиц;
улучшение качества оказываемых Услуг, предоставляемых Сервисов, удобства их использования, разработка новых Сервисов;
проведение статистических и иных исследований на основе обезличенных данных;
ведение кадровой работы и организации учета работников Оператора;
привлечение и отбор Соискателей на работу у Оператора и учёт в кадровом резерве;
формирование статистической отчетности, в том числе для ее Предоставления;
осуществление Оператором административно-хозяйственной деятельности;
регулирование трудовых и иных, непосредственно связанных с ними отношений.

4. КЛАССИФИКАЦИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ И СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. К персональным данным относится любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (Субъекту ПДн), обрабатываемая Оператором для достижения заранее определенных целей.

4.2. Оператор не осуществляет обработку специальных категорий персональных данных, касающихся расовой и национальной принадлежности, политических взглядов, религиозных и философских убеждений, интимной жизни, судимости физических лиц.

4.3. Оператор вправе осуществлять обработку биометрических персональных данных с целью идентификации клиентов и работников Оператора, при установлении личности работников и посетителей при осуществлении их пропуска на территорию Оператора.

4.4. Оператор осуществляет обработку персональных данных следующих категорий СПДн:

физические лица, являющиеся Соискателями;
физические лица, являющиеся работниками Оператора и их близкими родственниками;
физические лица, являющиеся бывшими работниками Оператора;
физические лица, имеющие целью заключить или заключившие с Оператором договор гражданско-правового характера;
физические лица, представляющие интересы Корпоративного клиента (Представители Корпоративного клиента);
физические лица, являющиеся Розничными клиентами;
представители юридических лиц и физические лица, приобретшие или намеревающиеся приобрести услуги, использующие или намеревающиеся использовать Сервисы Оператора, услуги третьих лиц при посредничестве Оператора или не имеющие с Оператором договорных отношений при условии, что их персональные данные включены в автоматизированные системы Оператора и обрабатываются в соответствии с Законодательством о персональных данных;
представители юридических лиц и физические лица, не относящиеся к Клиентам, заключившие или намеревающиеся заключить с Оператором договоры в связи с осуществлением Оператором административно-хозяйственной деятельности при условии, что их персональные данные включены в автоматизированные системы Оператора и обрабатываются в соответствии с законодательством о персональных данных;
физические лица, персональные данные которых сделаны ими общедоступными, а их обработка не нарушает их прав и соответствует требованиям, установленным Законодательством о персональных данных;
иные юридические и физические лица, выразившие согласие на обработку Оператором их персональных данных или физические лица, обработка персональных данных которых необходима Оператору для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей.

4.5. Оператор не проверяет достоверность персональных данных, предоставляемых Субъектом ПДн, и не имеет возможности оценивать его дееспособность. Оператор исходит из того, что Субъект ПДн предоставляет достоверные и достаточные персональные данные и поддерживает их в актуальном состоянии.

5. ОБЩИЕ ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Оператор осуществляет обработку персональных данных на основе следующих общих принципов:

законности заранее определенных конкретных целей и способов обработки персональных данных;
обеспечения надлежащей защиты персональных данных;
соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных;
соответствия объема, характера и способов обработки персональных данных целям обработки персональных данных;
достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
хранения персональных данных в форме, позволяющей определить СПДн, не дольше, чем этого требуют цели их обработки;
уничтожения или обезличивания персональных данных по достижении целей их обработки, если срок хранения персональных данных не установлен законодательством Российской Федерации, договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПДн;
обеспечения конфиденциальности и безопасности обрабатываемых персональных данных.

5.2. В рамках обработки персональных данных для Субъекта ПДн и Оператора определены следующие права.

5.2.1. Субъект персональных данных имеет право:

обращаться к Оператору для реализации нижеуказанных прав по адресу электронной почты: pd@ag.market, через форму обратной связи на Сайте, либо в письменном виде на адрес, указанный на Сайте;
получать информацию, касающуюся обработки его персональных данных в порядке, форме и сроки, установленные Законодательством о персональных данных. Для получения информации о перечне сведений, которые должны предоставляться Субъекту ПДн по запросу, необходимо написать на почту: pd@ag.market;
запросить копии своих ПДн, которые обрабатываются Оператором;
требовать уточнения своих ПДн, их Блокирования или Уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для заявленной цели обработки или используются в целях, не заявленных ранее при предоставлении Субъектом ПДн согласия на обработку персональных данных;
принимать предусмотренные законом меры по защите своих прав;
отзывать свое согласие на обработку персональных данных;
изменять (обновлять, дополнять) предоставленные им персональные данные с учетом функционала тех или иных Сервисов, а также связавшись с Оператором способами, предусмотренными соответствующим договором или соглашением с Оператором, а также через форму обратной связи на Сайте;
удалять персональные данные, предоставленные им в рамках определенной учетной записи на Сайте или в Сервисе. При этом удаление учетной записи может повлечь невозможность использования соответствующих Сервисов или препятствовать оказанию Услуг.

5.2.2. Оператор имеет право:

обрабатывать персональные данные Субъекта ПДн в соответствии с заявленной целью;
требовать от Субъекта ПДн предоставления достоверных персональных данных, необходимых для исполнения договора, оказания услуги, идентификации Субъекта ПДн, а также в иных случаях, предусмотренных законодательством о персональных данных;
ограничивать доступ Субъекта ПДн к его персональным данным в случае, если Обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, доступ Субъекта ПДн к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством РФ;
блокировать изменение и (или) удаление персональных данных, если в соответствии с требованиями действующего законодательства РФ Оператор обязан сохранить измененную или удаленную информацию на срок, установленный законодательством РФ, и передать такую информацию в соответствии с законодательно установленной процедурой государственному органу;
использовать Файлы cookies в рекламных, статистических, исследовательских и других целях, не запрещенных действующим законодательством РФ;
устанавливать, что предоставление определенного Сервиса возможно лишь при условии, что прием и получение Файлов cookie разрешены Субъектом ПДн. При этом структура Файла cookie, его содержание и технические параметры определяются Оператором и могут изменяться без предварительного уведомления Субъекта ПДн;
осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
поручать обработку персональных данных третьему лицу с согласия Субъекта ПДн.

5.2.3. Оператор обязуется предоставлять ответ на запрос Субьекта ПДн или его представителя в течение 30 (тридцати) дней с даты получения данного запроса, по следующим вопросам:

запрос информации, касающийся обработки ПДн Субъекта;
запрос, связанный с отзывом согласия на обработку ПДн Субъекта;
запрос, связанный с изменением согласия на обработку ПДн Субъекта.

5.2.4. Субъект ПДн обязуется периодически обновлять/актуализировать свои ПДн. Для этого требуется связаться с Оператором способами, предусмотренным соответствующим договором или соглашением с Оператором, а также через форму обратной связи на Сайте или самостоятельно актуализировать их в настройках учетной записи на ресурсе по адресу в сети Интернет: https://www.ag.market/personal (для Пользователей, имеющих доступ к услугам Оператора посредством использования интернет-платформы на ресурсе https://www.ag.market).

6. ОСНОВНЫЕ УЧАСТНИКИ СИСТЕМЫ УПРАВЛЕНИЯ ПРОЦЕССОМ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

В целях осуществления эффективного управления процессом обработки персональных данных определены следующие основные его участники:

6.1. Генеральный директор Оператора:

определяет, рассматривает и утверждает политику Оператора в отношении обработки персональных данных;
принимает решения по реализации действий Оператора, связанных с использованием персональных данных, подверженных риску.

6.2. Лицо, ответственное за организацию обработки и защиту персональных данных, назначается приказом Генерального директора Оператора и выполняет следующие функции:

6.2.1. Разрабатывает, организует и контролирует процесс обработки персональных данных (осуществляемый с использованием средств автоматизации или без использования таких средств, в том числе на бумажных носителях) в соответствии с законодательством о персональных данных, настоящей Политикой, внутренними нормативными документами Оператора.

6.2.2. Осуществляет управление и постоянное совершенствование процесса обработки персональных данных по единым правилам, стандартизацию и тиражирование процесса, в том числе:

разрабатывает и представляет для утверждения Генеральному директору Оператора внутренние нормативные документы, касающиеся вопросов обработки персональных данных, требований к защите персональных данных;
организует доведение и (или) доводит до сведения работников Оператора положения законодательства о персональных данных, настоящей Политики, внутренних нормативных документов Оператора по вопросам обработки персональных данных, требований к защите персональных данных;
осуществляет анализ, оценку и прогноз рисков, связанных с обработкой персональных данных у Оператора, выработку мер по снижению рисков;
осуществляет оценку влияния процессов на права и свободы Субъекта ПДн;
осуществляет анализ автоматизированных систем и процессов обработки персональных данных на предмет соответствия установленным обязательным требованиям в области обработки и защиты персональных данных;
осуществляет ведение учета процедур и средств обработки персональных данных;
осуществляет контроль наличия и полноты содержания договоров поручения на обработку персональных данных, договоров на передачу персональных данных;
осуществляет разработку и организацию применения правовых, организационных и технических мер защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также иных неправомерных действий в отношении персональных данных;
осуществляет определение угроз безопасности персональных данных при их обработке;
осуществляет организацию и контроль уровня защищенности информационных систем персональных данных;
осуществляет оценку эффективности принимаемых мер по обеспечению безопасности персональных данных;
разрабатывает внутренние процедуры, направленные на обеспечение безопасности и защиты персональных данных;
организует и осуществляет внутренний контроль за соблюдением Оператором и его работниками законодательства о персональных данных, настоящей Политики, внутренних нормативных документов Оператора, требований к защите персональных данных;
организует прием и обработку обращений и запросов Субъектов ПДн или их представителей и (или) осуществляет контроль за приемом и обработкой таких обращений и запросов;
осуществляет мониторинг законодательства и доведение до сведения заинтересованных лиц и подразделений информации об изменении правовых норм;
осуществляет методологическую помощь структурным подразделениям Оператора по вопросам взаимодействия с органами государственной власти и надзорными органами по вопросам обработки персональных данных;
осуществляет взаимодействие с органами государственной власти по вопросам защиты персональных данных;
осуществляет уведомление надзорного органа в соответствии с применимыми требованиями о фактах утечки персональных данных;
организует оповещение Субъектов ПДн о фактах утечки их персональных данных.

7. УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ОПЕРАТОРОМ

7.1. Оператор хранит персональные данные в течение срока, необходимого для достижения соответствующей цели обработки персональных данных, если иной срок хранения не установлен договорами, соглашениями между Оператором и Субъектом ПДн (либо юридическим лицом, представителем которого является Субъект ПДн), либо действующим законодательством РФ.

7.2. Оператор обязуется принимать все необходимые и достаточные организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий с ней третьих лиц, в том числе обязуется не осуществлять без согласия Субъекта ПДн продажу его персональных данных, их опубликование в открытом доступе и соблюдать требования к обработке персональных данных, предусмотренные Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных». Положения настоящего пункта не распространяются на случаи добровольного предоставления Субъекта ПДн информации о себе для общего доступа неограниченному кругу лиц.

7.3. Обработка персональных данных Субъекта ПДн осуществляется с его согласия на обработку персональных данных, а также без такового, если обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является Субъект ПДн, а также для заключения договора по инициативе Субъекта ПДн или договора, по которому Субъект ПДн будет являться выгодоприобретателем или поручителем или в иных случаях, предусмотренных законодательством о персональных данных.

7.4. Обработка специальной категории персональных данных, касающейся состояния здоровья Субъекта ПДн осуществляется с согласия Субъекта ПДн на обработку своих персональных данных в письменной форме, а также без такового, если персональные данные сделаны общедоступными Субъектом ПДн.

7.5. При отсутствии необходимости получения согласия Субъекта ПДн на обработку ПДн в письменной форме, установленной в рамках Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных», согласие может быть дано Субъектом ПДн или его представителем в любой позволяющей подтвердить факт получения согласия форме, в том числе в электроном виде (путем проставления галочки в соответствующем окне).

7.6. Оператор вправе поручить Обработку ПДн третьему лицу с согласия Субъекта ПДн, если иное не предусмотрено федеральным законом. Такая Обработка ПДн осуществляется только на основании договора, заключенного между Оператором и третьим лицом, в котором должны быть определены:

перечень действий (операций) с персональными данными, которые будут совершаться третьим лицом, осуществляющим обработку персональных данных;
цели обработки персональных данных;
обязанности третьего лица соблюдать конфиденциальность персональных данных и обеспечивать их безопасность при обработке, а также требования к защите обрабатываемых персональных данных.

7.7. Оператор осуществляет Передачу ПДн государственным органам в рамках их полномочий в соответствии с законодательством Российской Федерации.

7.8. Оператор несет ответственность перед Субъектом ПДн за действия лиц, которым Оператор поручает обработку персональных данных Субъекта ПДн.

7.9. Доступ к обрабатываемым персональным данным предоставляется только тем работникам Оператора, которым он необходим в связи с исполнением ими своих должностных обязанностей и с соблюдением принципов персональной ответственности.

7.10. Обработка ПДн прекращается при достижении целей такой Обработки, а также по истечении срока, предусмотренного законом, договором, или согласием Субъекта ПДн на обработку его персональных данных. При отзыве Субъектом ПДн согласия на обработку его ПДн, Оператор вправе продолжить обработку персональных данных без согласия Субъекта ПДн, если такая Обработка предусмотрена договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПДн, иным соглашением между Оператором и Субъектом ПДн, либо если Оператор вправе осуществлять обработку персональных данных без согласия Субъекта ПДн на основаниях, предусмотренных Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных», или другими федеральными законами.

7.11. Обработка ПДн осуществляется с соблюдением конфиденциальности, под которой понимается обязанность не раскрывать третьим лицам и не распространять персональные данные без согласия Субъекта ПДн, если иное не предусмотрено законодательством РФ.

7.12. Оператор вправе раскрывать (передать) персональные данные третьим лицам в следующих случаях:

Субъект ПДн выразил согласие на такие действия;
раскрытие необходимо для исполнения определенного соглашения или договора с Субъектом ПДн или юридическим лицом, представителем которого выступает Субъект ПДн;
раскрытие осуществляется на основании законных требований органов государственной власти, правоохранительных органов и других уполномоченных органов и организаций, либо раскрытие персональных данных предусмотрено действующим законодательством РФ в рамках установленной процедуры;
в целях обеспечения возможности защиты прав и законных интересов Оператора или третьих лиц в случаях, когда Субъект ПДн или юридическое лицо, представителем которого является Субъект ПДн, нарушает договоры и соглашения, заключенные с Оператором, настоящую Политику, либо документы, содержащие условия использования конкретных Сервисов, либо существует угроза такого нарушения.

7.13. Оператор обеспечивает конфиденциальность ПДн Субъекта ПДн со своей стороны, со стороны своих аффилированных лиц, со стороны своих Работников, имеющих доступ к персональным данным физических лиц, а также обеспечивает использование персональных данных вышеуказанными лицами исключительно в целях, соответствующих закону, договору или иному соглашению, заключенному с Субъектом ПДн.

7.14. Обеспечение безопасности обрабатываемых ПДн осуществляется Оператором в рамках единой комплексной системы организационно-технических и правовых мероприятий по защите информации, составляющей коммерческую тайну, с учетом требований законодательства о персональных данных, принятых в соответствии с ним нормативных правовых актов. Система информационной безопасности Оператора непрерывно развивается и совершенствуется на базе требований международных и национальных стандартов информационной безопасности, а также лучших мировых практик.

7.15. Базы данных, с использованием которых осуществляется сбор запись, систематизация, накопление, хранение, обновление, а также извлечение ПДн граждан Российской Федерации находятся на территории Российской Федерации.

7.16. ПДн Соискателей могут обрабатываться Оператором в случае, если Оператор формирует кадровый резерв, включающий резюме понравившихся Соискателей, Соискателей, посетивших собеседование, но по каким-то причинам не ставших Работниками. Оператор продолжает осуществлять обработку (хранение) ПДн Работников и после их увольнения в течение установленного законодательством РФ архивного срока хранения.

8. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ И ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1. Под актуальными угрозами безопасности ПДн понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к ПДн при их обработке в ИСПДн, результатом которого могут стать Уничтожение, Изменение, Блокирование, Копирование, Предоставление, Распространение ПДн, а также иные неправомерные действия.

8.1.1. Типы угроз регламентируются в Постановлении Правительства Российской Федерации от 01 ноября 2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

8.1.2. Определение типа угроз безопасности ПДн, актуальных для ИСПДн, производится Оператором с учетом оценки возможного вреда, проведенной во исполнение и в соответствии с нормативными правовыми актами законодательства РФ в сфере защиты персональных данных.

8.2. Риск угрозы любым ИСПДн создают стихийные бедствия, экстремальные ситуации, террористические действия, аварии технических средств и линий связи, другие объективные обстоятельства, а также заинтересованные и незаинтересованные в возникновении угрозы лица.

8.3. Безопасность ПДн при их обработке в ИСПДн обеспечивается с помощью системы защиты ПДн, нейтрализующей актуальные угрозы, определенные в соответствии с законодательством РФ. Система защиты персональных данных включает в себя организационные и (или) технические меры, определенные с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в ИСПДн.

8.4. В соответствии с требованиями нормативных документов Оператором создана система защиты персональных данных, состоящая из подсистем правовой, организационной и технической защиты.

8.5. Подсистема правовой защиты представляет собой комплекс правовых, организационно-распорядительных и нормативных документов, обеспечивающих создание, функционирование и совершенствование системы защиты персональных данных.

8.6. Подсистема организационной защиты включает в себя организацию структуры управления системой защиты персональных данных, разрешительной системы, защиты информации при работе с Работниками, Клиентами и иными лицами, защиты информации в открытой печати, публикаторской и рекламной деятельности, аналитической работы.

8.7. Подсистема технической защиты включает в себя комплекс технических, программных, программно-аппаратных средств, обеспечивающих защиту ПДн.

8.8. Выбор средств защиты информации для системы защиты персональных данных осуществляется Оператором в соответствии с нормативными правовыми актами, принятыми Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю во исполнение части 4 статьи 19 Федерального закона «О персональных данных».

Основными мерами защиты ПДн, используемыми Оператором, являются:

назначение лица ответственного за организацию обработки ПДн, которое осуществляет организацию обработки ПДн, обучение и инструктаж, внутренний контроль соблюдения Оператором и его Работниками требований к защите ПДн;
определение актуальных угроз безопасности ПДн при их обработке и разработка мер и мероприятий по защите ПДн;
разработка локальных нормативных документов Оператора в области обработки и защиты персональных данных;
установление правил доступа к ПДн, а также обеспечения регистрации и учета всех действий, совершаемых с ПДн;
установление индивидуальных паролей доступа работников в ИСПДн в соответствии с их производственными обязанностями;
применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами;
сертифицированное программное средство защиты информации от несанкционированного доступа;
сертифицированные межсетевой экран и средство обнаружения вторжения;
соблюдение условий, обеспечивающих сохранность ПДн и исключающие несанкционированный доступ к ним;
обнаружение фактов несанкционированного доступа к ПДн и принятия мер для минимизации рисков негативных последствий такого доступа и недопущения таких фактов в дальнейшем;
восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
обучение Работников Оператора непосредственно осуществляющих обработку персональных данных, положениям законодательства Российской Федерации о персональных данных, в том числе требованиям к защите персональных данных, документами, определяющими Политику Оператора в отношении обработки персональных данных, локальным нормативным документам по вопросам обработки и защиты персональных данных;
осуществление внутреннего контроля и аудита.

9. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

9.1. Оператор, а также его должностные лица и Работники несут гражданско-правовую, административную и иную ответственность за несоблюдение принципов и условий Обработки ПДн физических лиц, а также за разглашение или незаконное использование ПДн в соответствии с законодательством Российской Федерации.

9.2. Настоящая Политика является общедоступной и подлежит размещению на официальном Сайте Оператора или иным образом обеспечивается неограниченный доступ к настоящему документу.

9.3. Оператор имеет право вносить изменения в настоящую Политику. Положения настоящей Политики подлежат актуализации в случае изменения законодательства Российской Федерации о персональных данных. Новая редакция Политики вступает в силу с момента ее размещения на Сайте, если иное не предусмотрено новой редакцией Политики. Действующая редакция постоянно доступна на страницах по адресам: https://www.agrupp.com/privacy_policy, https://www.ag.market/privacy_policy.

9.4. К настоящей Политике и отношениям между Субъектом ПДн и Оператором, возникающим в связи с применением Политики, подлежит применению право Российской Федерации.