Политика обработки персональных данных

Настоящая политика обработки персональных данных (далее — «Политика») разработана и применяется Публичным акционерным обществом «Группа Позитив» (ОГРН 5177746006510) (далее — «Компания», «Оператор») в соответствии с Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее — «Закон») и иным законодательством РФ о персональных данных (далее — «ПД»), в том числе для реализации требований такого законодательства, обеспечения защиты прав и свобод человека и гражданина.

В Политике Компания открыто рассказывает о том, какие персональные данные обрабатывает Компания, как, для каких целей Компания обрабатывает их, принципы и условия их обработки. Политика также определяет, какие права и обязанности возникают у Компании и лица, к которому относятся соответствующие ПД (далее — «Субъект ПД»), в отношении обрабатываемых ПД. Политика является общедоступным документом, размещена на сайте Оператора в сети Интернет по адресу https://group.ptsecurity.com/ru/legal/privacy-policy/.

Политика применяется в том числе к сайту, доступному для использования по адресу https://group.ptsecurity.com (далее — «Сайт») и любым сервисам, через которые Компания собирает персональные данные и которые ссылаются на Политику. Компания может также разрабатывать дополнительные документы по вопросам обработки и защиты ПД (частные политики конфиденциальности) для сайтов, сервисов, приложений, которые не могут противоречить требованиям законодательства РФ и положениям настоящей Политики.

1. Общие положения. Принципы, цели и содержание обработки ПД

1.1. ПД — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.

1.2. Оператор обеспечивает соблюдение принципов обработки ПД, указанных в ст. 5 Закона.

1.3. Оператор осуществляет целенаправленную обработку ПД в соответствии с Законом.

1.4. Описание целей обработки ПД, состава обрабатываемых ПД, категорий субъектов, ПД которых обрабатываются, правовых оснований такой обработки, а также сроках их обработки и хранения, способы обработки и действия изложены в настоящей Политике, но могут конкретизироваться в частных политиках и отдельных согласиях.

1.5. Полное справочно-информационное описание обработки ПД отражается в локальных нормативных актах Оператора и соответствующих согласиях.

1.6. Субъект ПД вправе обращаться к Оператору с запросами в целях реализации и защиты своих прав и законных интересов по адресу места нахождения исполнительного органа Оператора.

2. Особенности сбора и иной обработки ПД

2.1. «Обработка» для целей Политики означает любые действия (операции) или их совокупность как с использованием средств автоматизации, так и без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, получение, поиск, копирование, сопоставление (сравнение), объединение (связывание), использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

2.2. Оператор в соответствии с Политикой и Законом осуществляет обработку ПД как с применением средств вычислительной техники (средств автоматизации), так и без них. Обработка без использования средств автоматизации предполагает обработку ПД, при которой такие действия, как использование, уточнение, распространение, уничтожение ПД осуществляются при непосредственном участии человека. Обработка ПД не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что ПД содержатся в ИСПД (информационной системе ПД, представляющей собой совокупность содержащихся в базах данных ПД и обеспечивающих их обработку информационных технологий и технических средств.) либо были извлечены из нее.

2.3. Оператор может обрабатывать ПД, полученные им (его уполномоченными лицами) непосредственно от Субъекта ПД, его представителя, а также иным способом, не запрещенным законодательством.

2.4. При сборе ПД Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПД граждан РФ с использованием баз данных, находящихся на территории РФ, кроме случаев, прямо предусмотренных действующим законодательством РФ о ПД.

2.5. Для обработки ПД Оператор может применять информационные системы, автоматизированные рабочие места, отчуждаемые машинные носители информации, бумажные носители информации, а также передавать ПД по внутренней сети Оператора, обеспечивающей доступ к ПД (в том числе размещенным на внутренних информационных ресурсах и (или) локальных электронных порталах Оператора) лишь для строго определенного и ограниченного Оператором круга лиц, включая работников Оператора, и (или) передавать ПД с использованием информационно-телекоммуникационных сетей.

3. Передача ПД

3.1. Для достижения предусмотренных целей обработки ПД Оператор вправе привлекать третьих лиц к обработке ПД путем поручения третьим лицам обработки ПД и (или) путем получения ПД от третьих лиц и передачи ПД третьим лицам без поручения обработки ПД, в том числе осуществлять трансграничную передачу ПД третьим лицам на территорию иностранных государств (органу власти иностранного государства, иностранному физическому или юридическому лицу) при условии выполнения требований, соблюдения условий и запретов трансграничной передачи, установленных применимым законодательством. Привлечение третьих лиц к обработке ПД может осуществляться только при условии обработки такими лицами ПД в минимально необходимом составе и исключительно для достижения предусмотренных целей обработки ПД, а также при условии обеспечения такими лицами конфиденциальности и безопасности ПД при их обработке (в случае неисполнения третьими лицами данных условий указанные лица будут нести ответственность на основании своих договорных обязательств перед Оператором и (или) в соответствии с положениями применимого законодательства).

3.2. К третьим лицам, которым Оператор может передавать ПД для достижения предусмотренных целей обработки и в соответствии с применимым законодательством, в частности, могут относиться: (а) лица, обладающие правом в предусмотренных применимым законодательством случаях на получение ПД в составе, необходимом для осуществления и выполнения возложенных на таких лиц функций, полномочий и обязанностей; (б) правопреемники Оператора (лица, к которым права и(или) обязанности Оператора переходят в рамках универсального или сингулярного (частичного) правопреемства); (в) иные лица, с которыми Оператор взаимодействует или может взаимодействовать для достижения предусмотренных целей обработки ПД.

3.3. Фактический состав привлекаемых Оператором к обработке ПД третьих лиц определяется исходя из сложившихся отношений между Оператором и Субъектом ПД, а также в соответствии с положениями применимого законодательства, договоров между Оператором и Субъектом ПД, согласий Субъекта ПД на обработку ПД.

3.4. Оператор может создавать общедоступные источники ПД (в целях информационного обеспечения) и осуществлять распространение (раскрытие ПД неопределенному кругу лиц) ПД только с согласия Субъекта ПД или на основании требований применимого законодательства.

4. Порядок прекращения обработки (уничтожения) ПД

4.1. Оператор прекращает обработку ПД при: (а) достижении целей обработки ПД и максимальных сроков хранения ПД; (б) утрате необходимости в достижении целей обработки ПД; (в) выявлении неправомерной обработки ПД (в том числе факта незаконного получения или отсутствия необходимой цели обработки ПД); (г) невозможности обеспечения правомерности обработки ПД; (д) отзыве Субъектом ПД согласия на обработку ПД (кроме случаев, когда в соответствии с применимым законодательством определенная обработка ПД может быть продолжена); (е) наступлении момента, когда сохранение ПД более не требуется для целей обработки ПД; (ж) получении требования субъекта ПД к Оператору о прекращении обработки ПД, за исключением случаев, предусмотренных законодательством; (з) истечении сроков исковой давности для правоотношений, в рамках которых осуществляется либо осуществлялась обработка ПД; (и) ликвидации или реорганизации Оператора (если иное не следует из или не требуется в соответствии с применимым законодательством и договорами и соглашениями Оператора с Субъектом ПД).

4.2. При невозможности уничтожения ПД в сроки, определенные Законом для случаев, когда (а) невозможно обеспечить правомерность обработки ПД, (б) достигнуты цели обработки ПД, (в) отозвано согласие на обработку ПД или получено требование Субъекта ПД о прекращении обработки ПД, если сохранение ПД более не требуется для целей обработки ПД, Оператор осуществляет блокирование (временное прекращение обработки ПД, кроме случаев их уточнения) ПД и уничтожает ПД в течение 6 (Шести) месяцев, если иной срок не установлен применимым законодательством.

4.3. Уничтожение ПД производится способом, исключающим возможность их восстановления (с уничтожением их материального носителя, если ПД невозможно уничтожить без его повреждения).

4.4. Подтверждение факта уничтожения ПД осуществляется в соответствии с требованиями применимого законодательства.

5. Меры по организации и обеспечению безопасности ПД

5.1. Оператор при обработке ПД принимает все необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении них. Обеспечение безопасности (защищенность от неправомерного или случайного доступа, уничтожения или иных неправомерных действий) ПД достигается, в частности, следующими мерами (с учетом их применимости в зависимости от способа и особенностей обработки ПД):

5.1.1. назначением лица, ответственного за организацию обработки ПД, а также назначением лиц(а), ответственных(ого) за обеспечение безопасности ПД при их обработке в ИСПД (если применимо);

5.1.2. изданием документов, определяющих политику Оператора в отношении обработки ПД, локальных нормативных актов Оператора по вопросам обработки ПД, определяющих для каждой цели обработки ПД категории и перечень обрабатываемых ПД, категории субъектов, ПД которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения ПД при достижении целей их обработки или при наступлении иных законных оснований, а также локальных нормативных актов Оператора, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства о ПД, устранение последствий таких нарушений, но не содержащие положения, ограничивающие права Субъектов ПД или возлагающие на Оператора не предусмотренные законодательством РФ полномочия и обязанности;

5.1.3. осуществлением внутреннего контроля и (или) аудита соответствия обработки ПД требованиям Закона и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПД, политике и локальным нормативным актам Оператора по обработке ПД;

5.1.4. осуществлением оценки вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов ПД в РФ, который может быть причинен субъектам в случае нарушения требований применимого законодательства о ПД, соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных требованиям применимого законодательства о ПД;

5.1.5. ознакомлением привлеченных (допущенных) Оператором к обработке ПД лиц с требованиями применимого законодательства о ПД, политикой и локальными нормативными актами Оператора по вопросам обработки ПД, и (или) обучение указанных лиц;

5.1.6. определением угроз безопасности ПД, которые могут возникнуть при их обработке в ИСПД;

5.1.7. применением организационных и (или) технических мер по обеспечению безопасности ПД при их обработке, в том числе в ИСПД, необходимых для обеспечения постоянной конфиденциальности, целостности, доступности и устойчивости процессов и (или) систем, связанных с обработкой ПД;

5.1.8. применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, когда их применение необходимо для нейтрализации актуальных угроз безопасности ПД и информационных технологий, используемых в ИСПД;

5.1.9. оценкой эффективности принимаемых мер по обеспечению безопасности ПД до ввода в эксплуатацию ИСПД;

5.1.10. определением мест хранения материальных (в том числе машинных) носителей ПД, обеспечением учета и сохранности носителей ПД, исключением несанкционированного доступа к ним, а также раздельным хранением ПД, обработка которых осуществляется в различных целях;

5.1.11. воспрещением объединения баз с ИСПД или фиксации ПД на одном материальном носителе, если обработка ПД осуществляется в несовместимых между собой целях;

5.1.12. обнаружением фактов несанкционированного доступа к ИСПД и принятием надлежащих мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на ИСПД, связанные с обработкой ПД, и по реагированию на компьютерные инциденты (любые реальные/предполагаемые события, имеющие отношение к безопасности информационной или телекоммуникационной системы) в них;

5.1.13. восстановлением ПД, модифицированных или уничтоженных вследствие несанкционированного доступа;

5.1.14. установлением правил доступа к ПД в ИСПД, обеспечением регистрации и учета всех действий с ПД в ИСПД;

5.1.15. контролем за принимаемыми мерами по обеспечению безопасности ПД и уровня защищенности ИСПД;

5.1.16. установлением и утверждением перечня лиц (должностей), привлеченных (допущенных) Оператором к автоматизированной и (или) неавтоматизированной обработке ПД, в том числе в ИСПД, и ограничением доступа к ПД для иных лиц;

5.1.17. информированием лиц, привлеченных (допущенных) Оператором к обработке ПД без использования средств автоматизации, о факте обработки указанными лицами ПД, обработка которых осуществляется без использования средств автоматизации, категориях обрабатываемых ПД, категориях Субъектов ПД, а также об особенностях и правилах осуществления такой обработки;

5.1.18. организацией режима безопасности помещений, в которых осуществляется обработка ПД и (или) размещены программно-аппаратные средства, используемые для обработки ПД, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

5.1.19. уничтожением ПД надлежащим способом, с подтверждением уничтожения ПД в соответствии с применимым законодательством.

5.2. Сведения о средствах (способах) обеспечения безопасности ПД при их обработке:

5.2.1. формирование модели(ей) актуальных (предполагаемых) угроз безопасности ПД при их обработке в ИСПД;

5.2.2. разработка на основе модели(ей) угроз системы защиты ПД, обеспечивающей нейтрализацию угроз с использованием методов и способов защиты ПД, предусмотренных для соответствующих уровней защищенности ИСПД;

5.2.3. установка и ввод в эксплуатацию средств защиты информации в соответствии с эксплуатационной и технической документацией и обучение использующих их лиц правилам работы с ними, а также учет таких применяемых средств и документации и контроль за соблюдением условий их использования;

5.2.4. учет лиц, привлеченных (допущенных) к работе с ПД, в том числе в ИСПД;

5.2.5. проведение служебных проверок и внутренних расследований по фактам несоблюдения условий хранения ПД, использования средств защиты информации, которые могут привести к нарушениям, приводящим к снижению уровня защищенности ПД.

5.3. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПД, повлекшей нарушение прав субъектов ПД, Оператор в предусмотренном законодательством о ПД порядке и в соответствующие сроки уведомляет об указанном факте уполномоченный орган по защите прав субъектов ПД.

5.4. Оператор обеспечивает взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПД.

5.5. Права, обязанности и юридическая ответственность лица, ответственного за организацию обработки ПД, назначаемого (освобождаемого от обязанностей) Оператором, установлены ст.22.1 Закона и локальными нормативными актами Оператора, в соответствии с которыми такое лицо в том числе организует осуществление внутреннего контроля над соблюдением Оператором применимого законодательства о ПД, обеспечивает доведение до сведения лиц, осуществляющих обработку ПД в предусмотренных Оператором целях, положения применимого законодательства о ПД, локальных нормативных актов Оператора о ПД, а также осуществляет контроль над приемом и обработкой обращений и запросов Субъектов ПД.

5.6. Если это требуется по действующему законодательству РФ, для каждой из ИСПД Оператора также назначается лицо, ответственное за обеспечение безопасности ПД при их обработке в данной ИСПД (для каждого или нескольких ИСПД), которое отвечает за обеспечение сохранности ПД в ИСПД, принятие и обеспечение технических мер защиты ПД в ИСПД, предотвращение компьютерных инцидентов с ПД и участвует в расследовании компьютерных инцидентов с ПД.

6. Права субъектов ПД

6.1. Субъект ПД имеет право на получение сведений об обработке его ПД Оператором, а также право требовать от Оператора уточнения этих ПД, их блокирования или уничтожения (если они являются неполными, устаревшими, неточными, незаконно полученными или не могут быть признаны необходимыми для заявленной цели обработки), а также принимать предусмотренные законом меры по защите своих прав.

6.2. Право Субъекта ПД на доступ к его ПД может быть ограничено в соответствии с законодательством, в том числе, если такой доступ нарушает права и законные интересы третьих лиц.

6.3. Субъект ПД вправе в любое время полностью или в какой-либо части отозвать ранее предоставленные Оператору согласия на обработку ПД и (или) обратиться к Оператору с требованием о прекращении обработки ПД путем направления Оператору обращения, кроме случаев, когда обработка ПД предусмотрена применимым законодательством (в частности, п.п.2-11 ч.1 ст.6, ч.2 ст.10 и ч.2 ст.11 Закона).

6.4. Для реализации и защиты своих прав и законных интересов Субъект ПД вправе обратиться к Оператору любым удобным и возможным для них способом, если иное не установлено в соответствии с законодательством.

6.5. Оператор рассматривает любые обращения со стороны Субъектов ПД, расследует факты нарушений и принимает все необходимые меры для их немедленного устранения, наказания виновных лиц и урегулирования спорных и конфликтных ситуаций в досудебном порядке.

6.6. Субъект ПД вправе обжаловать действия или бездействие Оператора путем обращения в уполномоченный орган по защите прав субъектов ПД.

7. Доступ к политике и коммуникация с оператором

7.1. Действующая редакция Политики хранится по адресу исполнительного органа Оператора, а также опубликована сайте в сети Интернет.

7.2. В случае возникновения у Субъекта ПД каких-либо вопросов в отношении обработки его ПД или положений Политики, он может обратиться к Оператору любым из предусмотренных способов — личное письменное или устное обращение к уполномоченному представителю Оператора; почтовое направление письменного обращения по адресу Оператора; направление обращения на электронный адрес info-group@ptsecurity.com в форме скан-копии подписанного субъектом ПД письменного обращения) в произвольной форме, позволяющей идентифицировать обращающегося субъекта ПД, а также содержание и характер обращения.

8. Порядок утверждения и внесения изменений в политику

8.1. Политика утверждается и вводится в действие по решению Оператора и действует до ее отмены.

8.2. Оператор имеет право по мере необходимости по своему решению вносить в Политику изменения. Политика может пересматриваться по мере необходимости. Измененная редакция Политики публикуется на сайте в сети Интернет или иным образом, с указанием срока начала ее действия.

8.3. Политика может пересматриваться в том числе в связи с внесением изменений, дополнений, в нормативные правовые акты РФ в сфере ПД, либо в локальные нормативные и индивидуальные акты Оператора; либо в договоры и соглашения, регламентирующие отношения Оператора с контрагентами и иными лицами; либо в порядок организации Оператором обработки и обеспечения безопасности ПД.

9. Ответственность

9.1. Лица, виновные в нарушении норм, регулирующих обработку и защиту ПД, несут ответственность, предусмотренную законодательством РФ, локальными нормативными актами Оператора и договорами, регламентирующими отношения Оператора с третьими лицами.

10. Цели обработки ПД, категории субъектов ПД, состав и основания обработки ПД