УТВЕРЖДАЮ
Генеральный директор
ООО «Алтай-Сервис»
__________А.Г. Земцов
«__01__»_марта__2024г.
МП

ПОЛОЖЕНИЕ об обработке персональных данных в ООО «Алтай-Сервис»

1. Настоящее Положение об обработке персональных данных устанавливает правила по соблюдение законодательства при обработке персональных данных, направлено на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, обеспечение защиты прав и свобод при обработке персональных субъектов персональных данных, установление ответственности за невыполнение нормативных правовых актов, регулирующих обработку и защиту персональных данных, а также определяет цели обработки персональных данных, категории и перечень обрабатываемых персональных данных, категории Субъектов персональных данных, данные которых обрабатываются, способы, сроки обработки и хранения персональных данных, порядок их уничтожения при достижении целей обработки или при наступлении иных законных оснований (далее – Положение). Обработка персональных данных в ООО «Алтай-Сервис» выполняется с использованием средств автоматизации или без использования таких средств, с фиксацией персональных данных на материальных носителях, включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных субъектов, персональные данные которых обрабатываются в ООО «Алтай-Сервис»

2. ООО «Алтай-Сервис» в соответствии с Федеральным законом от 27.07.2006  № 152-ФЗ «О персональных данных» является оператором, осуществляющим обработку персональных данных, а также определяющий цели обработки персональных данных, перечень субъектов обрабатываемых персональных данных, состав (категории и перечень) персональных данных, подлежащих обработке, способ обработки персональных данных (автоматизированная или неавтоматизированная), а также действия (операции), совершаемые с персональными данными (далее – оператор персональных данных).

3. Положение разработано в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Федеральный закон), гл. 14 Трудового кодекса Российской Федерации от 13.12.2001  № 197-ФЗ.

4. К субъектам персональных данных, персональные данные которых обрабатываются оператором ООО «Алтай-Сервис» в соответствии с настоящим Положением относятся: работники, родственники работников, уволенные работники, соискатели, лица, выполняющие работы или оказывающих услуги Обществу по гражданско-правовым договорам в том объеме, в котором их персональные данные необходимы для заключения договоров и подачи установленной отчетности в государственные органы, клиенты, контрагенты, выгодоприобретатели по договорам, участники общества, посетители сайта, иные категории субъектов персональных данных, персональные данные которых обрабатываются Обществом.

5. Цели обработки персональных данных, категории и перечень обрабатываемых персональных данных, категории субъектов персональных данных, правовое основание персональных данных которые обрабатываются, а так же способы обработки персональных данных:

a) ведение кадрового и бухгалтерского учета персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; социальное положение; имущественное положение; доходы; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; данные водительского удостоверения; данные документа, содержащиеся в свидетельстве о рождении; реквизиты банковской карты; номер расчетного счета; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); отношение к воинской обязанности, сведения о воинском учете; сведения об образовании; место учебы, квалификация, сведения об инвалидности, сведения о состоянии здоровья. Категории субъектов, персональные данные которых обрабатываются: работники; родственники работников; уволенные работники; Правовое основание обработки персональных данных: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); блокирование; удаление; уничтожение; распространение.

б) подбор персонала (соискателей) на вакантные должности оператора Персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; семейное положение; пол; адрес электронной почты; номер телефона; гражданство; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); сведения об образовании; Категории субъектов, персональные данные которых обрабатываются: соискатели.
Правовое основание обработки персональных данных: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; блокирование; удаление; уничтожение;

в) подготовка, заключение и исполнение гражданско-правового договора Персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; доходы; пол; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; реквизиты банковской карты; номер расчетного счета; профессия. Категории субъектов, персональные данные которых обрабатываются: клиенты; выгодоприобретатели по договорам; иные категории субъектов персональных данных, персональные данные которых обрабатываются; участники общества. Правовое основание обработки персональных данных: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;; обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;; обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных. Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); блокирование; удаление; уничтожение;

г) осуществление деятельности розничной торговли Персональные данные: фамилия, имя, отчество; дата рождения; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; данные документа, удостоверяющего личность. Категории субъектов, персональные данные которых обрабатываются: клиенты; посетители сайта; выгодоприобретатели по договорам. Правовое основание обработки персональных данных: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных. Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); блокирование; удаление; уничтожение;

д) работа с банком в рамках зарплатного проекта Персональные данные: фамилия, имя, отчество; дата рождения; доходы; пол; адрес места жительства; адрес регистрации; номер телефона; гражданство; данные документа, удостоверяющего личность; номер расчетного счета. Категории субъектов, персональные данные которых обрабатываются: работники; уволенные работники. Правовое основание обработки персональных данных: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;; обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;; обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных. Перечень действий: сбор; запись; систематизация; накопление; хранение; извлечение; использование; передача (предоставление, доступ); блокирование; удаление; уничтожение.

е) Добровольное медицинское страхование Персональные данные: фамилия, имя, отчество; дата рождения; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; Категории субъектов, персональные данные которых обрабатываются: работники; родственники работников; Правовое основание обработки персональных данных: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;; обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных. Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; передача (предоставление, доступ); удаление; уничтожение;

ж) Оформление визитных карточек работникам Персональные данные: фамилия, имя, отчество; адрес электронной почты; номер телефона; должность. Категории субъектов, персональные данные которых обрабатываются: работники. Правовое основание обработки персональных данных: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; Перечень действий: сбор; запись; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); удаление; уничтожение;

з) ведение и хранение списка участников общества Персональные данные: фамилия, имя, отчество; дата рождения; адрес места жительства; адрес регистрации; данные документа, удостоверяющего личность; Категории субъектов, персональные данные которых обрабатываются: Иные категории субъектов персональных данных, персональные данные которых обрабатываются; участники общества с ограниченной ответственностью Правовое основание обработки персональных данных: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;; обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;; Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); удаление; уничтожение;

6. Процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных:

а) ознакомление Субъектов персональных данных, чьи данные обрабатываются с положениями законодательства Российской Федерации о персональных данных, с требованиями по защите персональных данных, с ЛНПА, с правом на получение информации, касающейся обработки их персональных данных: правовые основания и цели, обрабатываемые персональные данные, источник их получения, сроки обработки, в том числе сроки их хранения, сведения о лицах, которые имеют доступ к персональным данным.

б) осуществление внутреннего контроля соответствия обработки персональных данных Федеральному закону и принятым в соответствии с ним нормативными правовыми актами, требованиям к защите персональных данных;

в) оценка вреда, который может быть причинен Субъектам персональных данных в случае нарушения Федерального закона, соотношение указанного вреда и принимаемых ООО «Алтай-Сервис» мер, направленных на обеспечение выполнения обязанностей оператора персональных данных, предусмотренных Федеральным законом;

г) ограничение круга должностных лиц имеющих доступ к базе персональных данных;

д) использование паролей (кодов) доступа к ПЭВМ, к локальной вычислительной сети;

е) использование паролей доступа к базе персональных данных;

ж) использование специальных программ защиты персональных данных (антивирусные программы, межсетевой экран);
з) отсутствие доступа к базе персональных данных из внешней сети;

и) хранение информации на бумажных носителях в сейфах, специально оборудованных помещениях;
к) оборудование помещений автоматической пожарной сигнализацией;

л) сдача помещений под охрану во внерабочее время;
м) идентификация и проверка права доступа пользователя при входе в систему.

н) регистрация начала и окончания работы с базой персональных данных с указанием данных пользователя. о) регистрация попыток доступа или случаев несанкционированного доступа в систему.

<п) наличие и использование средств восстановления системы защиты персональных данных, их периодическое обновление и контроль работоспособности.

р) определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных.

7. Сроки обработки и хранения персональных данных в ООО «Алтай-Сервис» определяются в соответствие с Законодательством РФ . Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажном носителе. Хранение персональных данных должно осуществляться в форме, позволяющей определить Субъекта персональных данных, не дольше, чем этого требуют цели хранения персональных данных, если срок хранения персональных данных не установлен Федеральным законом.
8. Персональные данные подлежат уничтожению либо обезличиванию в следующих случаях:

а) при достижении целей такой обработки, а также по истечении срока, предусмотренного Законодательством РФ или согласия Субъекта персональных данных на обработку его персональных данных. Такие данные подлежат уничтожению в срок, не превышающий 30 рабочих дней с даты достижения цели обработки персональных данных. В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных оператор персональных данных обязан прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий три рабочих дня с даты получения указанного отзыва. Об уничтожении персональных данных оператор персональных данных в течение трех рабочих дней обязан уведомить субъекта персональных данных.

б) в случае выявления неправомерной обработки персональных данных, осуществляемой оператором персональных данных, оператор персональных данных в срок, не превышающий 3 рабочих дня с даты выявления неправомерной обработки персональных данных, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор персональных данных в срок, не превышающий 10 рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении неправомерной обработки персональных данных или об уничтожении персональных данных оператор персональных данных обязан уведомить субъекта персональных данных или его представителя.
г) при уничтожении документов, содержащих персональные данные с истекшим сроком хранения, комиссией организации ООО «Алтай-Сервис» составляется акт об уничтожении с описью уничтожаемых дел.

д) в случае отсутствия возможности уничтожения персональных данных в течение сроков, указанных в пункте 8 Положения, оператор персональных данных осуществляет блокирование таких персональных данных, обеспечивает уничтожение персональных данных в срок до 6 месяцев, если иной срок не установлен действующим законодательством Российской Федерации.
9. Обработка персональных данных в информационных системах ООО «Алтай-Сервис» (далее – информационные системы персональных данных) осуществляется в соответствии с постановлением Правительства Российской Федерации от 01.11. 2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

10. Обеспечение безопасности персональных данных в информационных системах персональных данных достигается путем исключения несанкционированного, в том числе случайного доступа к персональным данным, в том числе включает в себя:

а) определения угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

б) применения организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных;

в) применения прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

г) оценки эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационных систем персональных данных;

д) учета машинных носителей персональных данных;

е) обнаружения фактов несанкционированного доступа к персональным данным и принятием мер по прекращению несанкционированного доступа;

ж) восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

з) установления правил доступа (пароль, логин и др.) к персональным данным, обрабатываемым в информационных системах персональных данных, а также обеспечения регистрации и учета всех действий, совершаемых с персональными данными в информационных системах персональных данных.

11. Сотрудники ООО «Алтай-Сервис», имеющие доступ к информационным системам персональных данных, обязаны:

а) принимать меры, исключающие несанкционированный доступ к используемым программно-техническим средствам;

б) вести учет электронных носителей информации, содержащих персональные данные, и осуществлять их хранение в металлических шкафах или сейфах;

в) производить запись персональных данных (отдельных файлов, баз данных) на электронные носители только в случаях, регламентированных порядком работы с персональными данными;

г) соблюдать установленный порядок и правила доступа в информационные системы, не допускать передачу персональных кодов и паролей к информационным системам персональных данных;

д) принимать все необходимые меры к надежной сохранности кодов и паролей доступа к информационным системам персональных данных;

е) работать с информационными системами персональных данных в объеме своих полномочий, не допускать их превышения;

ж) обладать навыками работы с антивирусными программами в объеме, необходимом для выполнения функциональных обязанностей и требований по защите информации.
12. При работе сотрудников ООО «Алтай-Сервис» в информационных системах персональных данных запрещается:

а) записывать значения кодов и паролей доступа к информационным системам персональных данных;

б) передавать коды и пароли доступа к информационным системам персональных данных другим лицам;

в) пользоваться в работе кодами и паролями других пользователей доступа к информационным системам персональных данных;

г) производить подбор кодов и паролей доступа к информационным системам персональных данных других пользователей;

д) записывать на электронные носители с персональными данными посторонние программы и данные;

е) копировать информацию с персональными данными на неучтенные электронные носители информации;

ж) выносить электронные носители с персональными данными за пределы территории ООО «Алтай-Сервис»

з) покидать рабочее место с включенным персональным компьютером без применения аппаратных или программных средств блокирования, доступа к персональному компьютеру;

и) приносить, самостоятельно устанавливать и эксплуатировать на персональном компьютере любые программные продукты, не принятые к эксплуатации;

к) открывать, разбирать, ремонтировать персональные компьютеры, вносить изменения в конструкцию, подключать нештатные блоки и устройства;

б) передавать информацию, содержащую персональные данные, подлежащие защите, по открытым каналам связи (факсимильная связь, электронная почта и иное), а также использовать сведения, содержащие персональные данные, подлежащие защите, в открытой переписке и при ведении переговоров по телефону.

13. Предоставление доступа сотрудникам к обработке персональных данных осуществляется на основании приказа о включении соответствующего сотрудника в список лиц, имеющих доступ к персональным данным, обрабатываемым в информационных системах персональных данных и без использования средств автоматизации, и подписания должностной инструкции, с отображением соответствующей информации, а так же документов о неразглашении персональных данных, которые будут ему известны при исполнении служебных обязанностей, и о соблюдении требований локальных нормативных актов ООО «Алтай-Сервис», регулирующих порядок обращения с персональными данными.

14. Все персональные данные должны быть получены непосредственно от Субъекта персональных данных.

15. Документы, содержащие персональные данные, уничтожаются путем измельчения в бумагорезательной машине, на электронных носителях производится путем механического нарушения их целостности, не позволяющим произвести считывание и восстановление персональных данных, или удаления с электронных носителей методами и средствами гарантированного удаления остаточной информации.

16. При работе с документами на бумажном носителе, содержащими персональные данные, уполномоченные на обработку персональных данных сотрудники ООО «Алтай-Сервис» обязаны:

а) знакомиться только с теми документами, содержащими персональные данные, к которым получен доступ в соответствии со служебной необходимостью;

б) хранить в тайне ставшие известными им сведения, содержащие персональные данные, подлежащие защите, информировать непосредственного руководителя о фактах нарушения порядка работы с персональными данными и о попытках несанкционированного доступа к ним;

в) о допущенных нарушениях установленного порядка работы, учета и хранения документов, содержащих персональные данные, а также о фактах разглашения сведений, содержащих персональные данные, подлежащих защите, представлять непосредственным руководителям письменные объяснения.

17. Сотрудники, виновные в разглашении или утрате информации, содержащей персональные данные, несут ответственность в соответствии с законодательством Российской Федерации.

18. Контроль за исполнением сотрудниками ООО «Алтай-Сервис» требований настоящего Положения возлагается на руководителей структурных подразделений ООО «Алтай-Сервис» и назначенного приказом ООО «Алтай-Сервис» ответственного лица за организацию обработки персональных данных.