Политика обработки персональных данных

УТВЕРЖДАЮ

Генеральный директор ООО "ИНТЕЛБИО"

(наименование должности руководителя организации)

А.Л.Галин

«28» февраля 2023

Политика общества с ограниченной ответственностью "ИНТЕЛБИО"

в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика является локальным нормативным актом ООО "ИНТЕЛБИО" (далее - Общество), принятым с учетом требований, в частности, гл. 14 Трудового кодекса РФ, Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон о персональных данных).

1.2. В Политике устанавливаются:

цель, порядок и условия обработки персональных данных;
категории субъектов, персональные данные которых обрабатываются, категории (перечни) обрабатываемых персональных данных, способы, сроки их обработки и хранения, порядок уничтожения таких данных при достижении целей обработки или при наступлении иных законных оснований;
положения, касающиеся защиты персональных данных, процедуры, направленные на выявление и предотвращение нарушений законодательства РФ в области персональных данных, а также на устранение последствий таких нарушений.

1.3. В Политике используются термины и определения в соответствии с их значениями, определенными в Законе о персональных данных.

1.4. Политика вступает в силу с момента его утверждения генеральным директором и действует до его отмены приказом генерального директора или до введения новой Политики.

1.5. Внесение изменений в действующую Политику осуществляется в порядке, предусмотренном законодательством Российской Федерации.

2. КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. К субъектам, персональные данные которых обрабатываются в Обществе в соответствии с Политикой, относятся:

кандидаты для приема на работу в Общество;
работники Общества, в том числе бывшие работники;
физические лица, являющиеся медицинскими фармацевтическими или научными работниками
физические лица, выполняющие работы по договорам ГПХ, в том числе осуществляющие исследовательские функции,
практиканты,
посетители,
подписчики,
представители (работники) клиентов и контрагентов Оператора (юридических лиц),
члены семей работников Общества - в случаях, когда согласно законодательству сведения о них предоставляются работником;
иные лица, персональные данные которых Общество обязано обрабатывать в соответствии с законодательством Российской Федерации.

3. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ, КАТЕГОРИИ (ПЕРЕЧНИ) ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Согласно Политике, Обработка Обществом персональных данных осуществляется в следующих целях:

обеспечение соблюдения Конституции Российской Федерации, федеральных законов и иных нормативных правовых актов Российской Федерации;
осуществление своей деятельности в соответствии с уставом ООО "ИНТЕЛБИО";
ведение кадрового делопроизводства, выполнения обязанностей и обязательств работодателя;
содействие работникам в трудоустройстве, получении образования и продвижении по службе, обеспечение личной безопасности работников, контроль количества и качества выполняемой работы, обеспечение сохранности имущества;
привлечение и отбор кандидатов на работу у Оператора;
организация постановки на индивидуальный (персонифицированный) учет работников в системе обязательного пенсионного страхования, организация добровольного медицинского страхования и предоставления иных видов социального обеспечения;
заполнение и передача в органы исполнительной власти и иные уполномоченные организации требуемых форм отчетности;
осуществление гражданско-правовых отношений;
ведение бухгалтерского учета, оформление банковских карт;
осуществление пропускного режима.
проведения рекламных и маркетинговых акций, мероприятий и т.п.
проведение обучающих мероприятий
сбора и обработки информации для улучшения сервиса

3.2. В соответствии с целями, указанными в п. 3.1 Политики, в Обществе обрабатываются следующие персональные данные:

3.2.1. Кандидаты для приема на работу в Общество:

фамилия, имя, отчество;
пол;
гражданство;
дата и место рождения;
контактные данные;
сведения об образовании, опыте работы, квалификации;
иные персональные данные, сообщаемые кандидатами в резюме и сопроводительных письмах.

3.2.2. Работники и бывшие работники Общества:

фамилия, имя, отчество;
пол;
гражданство;
дата и место рождения;
изображение (фотография), видеоизображение;
паспортные данные;
адрес регистрации по месту жительства;
адрес фактического проживания;
контактные данные;
индивидуальный номер налогоплательщика;
страховой номер индивидуального лицевого счета (СНИЛС);
сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации;
семейное положение, наличие детей, родственные связи;
сведения о трудовой деятельности, в том числе наличие поощрений, награждений и (или) дисциплинарных взысканий;
данные о регистрации брака;
сведения о воинском учете;
сведения об инвалидности;
сведения об удержании алиментов;
сведения о доходе с предыдущего места работы;
банковские реквизиты, номер расчетного счета;
биометрические персональные данные;
IP-адрес
сведения о личном автомобиле.
иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства;

3.2.3. Члены семьи работников Общества:

фамилия, имя, отчество;
степень родства;
год рождения;
иные персональные данные, предоставляемые работниками в соответствии с требованиями трудового законодательства.

3.2.4. Клиенты и контрагенты Общества (физические лица):

фамилия, имя, отчество;
дата и место рождения;
паспортные данные;
адрес регистрации по месту жительства;
контактные данные;
замещаемая должность;
индивидуальный номер налогоплательщика;
номер расчетного счета;
иные персональные данные, предоставляемые клиентами и контрагентами (физическими лицами), необходимые для заключения и исполнения договоров.

3.2.5. Представители (работники) клиентов и контрагентов Общества (юридических лиц):

фамилия, имя, отчество;
паспортные данные;
контактные данные;
замещаемая должность;
иные персональные данные, предоставляемые представителями (работниками) клиентов и контрагентов, необходимые для заключения и исполнения договоров.

3.2.6. Физические лица, врачи, фармацевты, использующие информационно-рекламные ресурсы Общества, подписчики:

фамилия, имя, отчество;
паспортные данные;
контактные данные;
замещаемая должность
адрес и наименование места работы;

3.3. Общество не осуществляет обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, за исключением случаев, предусмотренных законодательством РФ.

4. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. До начала обработки персональных данных Общество обязано уведомить Роскомнадзор о намерении осуществлять обработку персональных данных.

4.2. Правовым основанием обработки персональных данных являются Трудовой кодекс РФ, иные нормативные правовые акты, содержащие нормы трудового права, Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Закон РФ от 19.04.1991 N 1032-1 "О занятости населения в Российской Федерации", Федеральный закон от 06.12.2011 N 402-ФЗ "О бухгалтерском учете».

4.3. Обработка персональных данных осуществляется с соблюдением принципов и условий, предусмотренных законодательством в области персональных данных и настоящей Политикой.

4.4. Обработка персональных данных в Обществе выполняется следующими способами:

смешанная обработка персональных данных, с передачей по внутренней сети юридического лица и с передачей по сети Интернет.

4.5. Обработка персональных данных в Обществе осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством в области персональных данных.

4.5.1. Обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных ст. 10.1 Закона о персональных данных.

Согласие на обработку таких персональных данных оформляется отдельно от других согласий на обработку персональных данных. Согласие предоставляется субъектом персональных данных лично либо в форме электронного документа, подписанного электронной подписью, с использованием информационной системы Роскомнадзора.

4.5.2. Обработка биометрических персональных данных допускается только при наличии письменного согласия субъекта персональных данных. Исключение составляют ситуации, предусмотренные ч.2 ст.11 Закона о персональных данных.

4.6. Общество не осуществляет трансграничную передачу персональных данных.

4.7. Обработка персональных данных осуществляется путем сбора, систематизации, накопления, хранения, уточнения (обновления, изменения), использования, распространения (в том числе передачи), обезличивания, уничтожения персональных данных, в том числе с помощью средств вычислительной техники.

4.7.1. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных в Обществе осуществляются посредством:

получения оригиналов документов либо их копий;
копирования оригиналов документов;
внесения сведений в учетные формы на бумажных и электронных носителях;
создания документов, содержащих персональные данные, на бумажных и электронных носителях;
внесения персональных данных в информационные системы персональных данных.

4.7.2. В Обществе используются следующие информационные системы:

корпоративная электронная почта;
система электронного документооборота;
система поддержки рабочего места пользователя;
система нормативно-справочной информации;
система управления персоналом;
система контроля удаленным доступом;
информационный портал.

4.8. Передача (распространение, предоставление, доступ) персональных данных субъектов персональных данных осуществляется в случаях и в порядке, предусмотренных законодательством в области персональных данных и Политикой.

5. СРОКИ ОБРАБОТКИ И ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Обработка персональных данных в Обществе прекращается в следующих случаях:

при выявлении факта неправомерной обработки персональных данных. Срок прекращения обработки - в течение трех рабочих дней с даты выявления такого факта;
при достижении целей их обработки (за некоторыми исключениями);
по истечении срока действия или при отзыве субъектом персональных данных согласия на обработку его персональных данных (за некоторыми исключениями), если в соответствии с Законом о персональных данных их обработка допускается только с согласия;
при обращении субъекта персональных данных к Обществу с требованием о прекращении обработки персональных данных (за исключением случаев, предусмотренных ч.5 ст.21 Закона о персональных данных). Срок прекращения обработки - не более десяти рабочих дней с даты получения требования (с возможностью продления не более чем на пять рабочих дней, если направлено уведомление о причинах продления).

5.2. Персональные данные хранятся в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки. Исключение - случаи, когда срок хранения персональных данных установлен федеральным законом, договором, стороной которого (выгодоприобретателем или поручителем, по которому) является субъект персональных данных.

5.3. Персональные данные на бумажных носителях хранятся в Обществе в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ (Федеральный закон от 22.10.2004 N 125-ФЗ "Об архивном деле в Российской Федерации").

5.4. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.

6. ПОРЯДОК УНИЧТОЖЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Порядок уничтожения персональных данных осуществляется в соответствии с законодательством Российской Федерации и Положением о порядке уничтожения персональных данных в ООО «ИНТЕЛБИО».

7. ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ. ПРОЦЕДУРЫ, НАПРАВЛЕННЫЕ НА ПРЕДОТВРАЩЕНИЕ И ВЫЯВЛЕНИЕ НАРУШЕНИЙ ЗАКОНОДАТЕЛЬСТВА, УСТРАНЕНИЕ ПОСЛЕДСТВИЙ ТАКИХ НАРУШЕНИЙ

7.1. «Внутренняя защита»

7.1.1. Для обеспечения внутренней защиты персональных данных Общество соблюдает ряд мер:

ограничивает и регламентирует состав работников, функциональные обязанности которых требуют конфиденциальных знаний;
рационально размещает рабочие места, таким образом, при котором исключалось бы бесконтрольное использование защищаемой информации;
знакомит работников с требованиями нормативно-методических документов по защите персональных данных и сохранении конфиденциальной информации;
обеспечивает необходимые условия в помещении для работы с конфиденциальными документами и базами данных;
своевременно выявляет и устраняет нарушения требований разрешительной системы доступа работниками подразделения;
не допускает выдачу личных дел сотрудников на рабочие места руководителей. Личные дела могут выдаваться на рабочие места только генеральному директору, менеджеру по персоналу и в исключительных случаях, по письменному разрешению генерального директора, - руководителю структурного подразделения (например, при подготовке материалов для аттестации работника).

7.1.2. Защита персональных данных сотрудника на электронных носителях. Все папки, содержащие персональные данные сотрудника, должны быть защищены паролем.

7.2."Внешняя защита"

7.2.1. Для обеспечения внешней защиты персональных данных Общество обеспечивает выполнение следующих мероприятий:

выполнение следующих мероприятий:
порядок приема и контроля деятельности посетителей;
пропускной режим организации;
учет и порядок выдачи персональных данных;
технические средства охраны, сигнализации;
порядок охраны территории, зданий, помещений, транспортных средств;
требования к защите информации при интервьюировании и собеседованиях.

7.2.2. По возможности, персональные данные обезличиваются.

7.2.3. Кроме мер защиты персональных данных, установленных законодательством, работодатели, работники и их представители могут вырабатывать совместные меры защиты персональных данных работников.

Без письменного согласия субъекта персональных данных Общество не раскрывает третьим лицам и не распространяет персональные данные, если иное не предусмотрено федеральным законом.

7.3. Запрещено раскрытие и распространение персональных данных субъектов персональных данных по телефону.

7.4. Работники, которые занимают должности, предусматривающие обработку персональных данных, допускаются к ней после подписания листа ознакомления со всеми локальными нормативными актами ООО «ИНТЕЛБИО», регулирующими работу с конфиденциальной информацией и персональными данными.

7.5. Материальные носители персональных данных хранятся в шкафах, запирающихся на ключ. Помещения Общества, в которых они размещаются, оборудуются запирающими устройствами. Выдача ключей от шкафов и помещений осуществляется под подпись.

7.6. Доступ к персональной информации, содержащейся в информационных системах Общества, осуществляется по индивидуальным паролям.

7.7. В Обществе используется сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами.

7.8. Работники Общества, обрабатывающие персональные данные, периодически проходят обучение требованиям законодательства в области персональных данных.

7.9. В Обществе проводятся внутренние расследования в следующих ситуациях:

при неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов персональных данных;
в иных случаях, предусмотренных законодательством в области персональных данных.

7.10. Работник, ответственный за организацию обработки персональных данных, осуществляет внутренний контроль:

за соблюдением работниками, уполномоченными на обработку персональных данных, требований законодательства в области персональных данных, локальных нормативных актов;
соответствием указанных актов, требованиям законодательства в области персональных данных.

Внутренний контроль проходит в виде внутренних проверок.

7.10.1. Внутренние плановые проверки осуществляются на основании ежегодного плана, который утверждается генеральным директором.

7.10.2. Внутренние внеплановые проверки осуществляются по решению работника, ответственного за организацию обработки персональных данных. Основанием для них служит информация о нарушении законодательства в области персональных данных, поступившая в устном или письменном виде.

7.10.3. По итогам внутренней проверки оформляется докладная записка на имя генерального директора. В случае выявления нарушений в документе приводятся перечень мероприятий по их устранению и соответствующие сроки.

7.11. Внутреннее расследование проводится, если выявлен факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных (далее - инцидент).

7.11.1. В случае инцидента Общество в течение 24 часов уведомляет Роскомнадзор:

об инциденте;
его предполагаемых причинах и вреде, причиненном правам субъекта (нескольким субъектам) персональных данных;
принятых мерах по устранению последствий инцидента;
представителе Общества, который уполномочен взаимодействовать с Роскомнадзором по вопросам, связанным с инцидентом.

При направлении уведомления нужно руководствоваться Порядком и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора от 14.11.2022 N 187.

7.11.2. В течение 72 часов Общество обязано сделать следующее:

уведомить Роскомнадзор о результатах внутреннего расследования;
предоставить сведения о лицах, действия которых стали причиной инцидента (при наличии).

При направлении уведомления также необходимо руководствоваться Порядком и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора от 14.11.2022 N 187.

7.12. В случае предоставления субъектом персональных данных (его представителем) подтвержденной информации о том, что персональные данные являются неполными, неточными или неактуальными, в них вносятся изменения в течение семи рабочих дней. Общество уведомляет в письменном виде субъекта персональных данных (его представителя) о внесенных изменениях и сообщает (по электронной почте) о них третьим лицам, которым были переданы персональные данные.

7.13. Общество уведомляет субъекта персональных данных (его представителя) об устранении нарушений в части неправомерной обработки персональных данных. Уведомляется также Роскомнадзор, если он направил обращение субъекта персональных данных (его представителя) либо сам сделал запрос.

8. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ НОРМ, РЕГУЛИРУЮЩИХ ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1. Лица, виновные в нарушении положений законодательства РФ в области персональных данных при обработке персональных данных, привлекаются к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом РФ и иными федеральными законами. Кроме того, они привлекаются к административной, гражданско-правовой или уголовной ответственности в порядке, установленном федеральными законами.

8.2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, а также несоблюдения требований к их защите, установленных Законом о персональных данных, подлежит возмещению в соответствии с законодательством РФ. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.