Политика в отношении обработки персональных данных

1. Общие положения

1.1. Назначение Политики

1.1.1. Настоящая Политика в отношении обработки персональных данных в АНО ДПО "АКАДЕМИЯ БИЗНЕСА АУДИТ ТД" (далее - Политика) разработана в соответствии с Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее - Федеральный закон «О персональных данных») и определяет принципы, условия и способы обработки ПДн, в том числе защиты ПДн в АНО ДПО "АКАДЕМИЯ БИЗНЕСА АУДИТ ТД".

1.1.2. Политика вступает в силу с момента ее утверждения Директором АНО ДПО "АКАДЕМИЯ БИЗНЕСА АУДИТ ТД".

1.1.3. Политика подлежит пересмотру в ходе периодического анализа со стороны Директора АНО ДПО "АКАДЕМИЯ БИЗНЕСА АУДИТ ТД" (далее - Организация, оператор), а также в случаях изменения законодательства Российской Федерации (далее - РФ) в области персональных данных.

1.1.4. Общество обязано опубликовать или иным образом обеспечить неограниченный доступ к Политике, в том числе путем публикации на сайте Общества « https://ab.audit-td.ru/ » в сети Интернет.

1.2. Цели Политики

1.2.1. Целью Политики является обеспечение необходимого и достаточного уровня информационной безопасности ПДн и процессов, связанных с их обработкой, а также для обеспечения защиты прав и свобод субъектов персональных данных при обработке их персональных данных Обществом.

1.3. Основные понятия

1.3.1. Для целей Политики используются следующие понятия:

• персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных);
• персональные данные, разрешенные субъектом персональных данных для распространения - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом «О персональных данных»;
• субъект персональных данных — физическое лицо, которое прямо или косвенно определено, или определяемо с помощью персональных данных;
• оператор персональных данных (оператор) — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
• распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
• конфиденциальность информации - обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя;
• внутренний нормативный документ (ВИД) - зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию, создаваемая в АНО ДПО "АКАДЕМИЯ БИЗНЕСА АУДИТ ТД" и используемая в его деятельности, а также содержащая нормы (правила) общего характера, рассчитанные на неоднократное применение;
• угрозы безопасности персональных данных - совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных;
• уровень защищенности персональных данных - комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах персональных данных.

1.4. Область действия

1.4.1. Положения Политики распространяются на все отношения, связанные с обработкой ПДн, осуществляемой Организацией:

• с использованием средств автоматизации, в том числе в информационно телекоммуникационных сетях, или без использования таких средств, если обработка ПДн без использования таких средств соответствует характеру действий (операций), совершаемых с персональными данными с использованием средств автоматизации, то есть позволяет осуществлять в соответствии с заданным алгоритмом поиск ПДн, зафиксированных на материальном носителе и содержащихся в картотеках или иных систематизированных собраниях ПДн, и (или) доступ к таким ПДи;
• без использования средств автоматизации;
• путем смешанной обработки ПДн.

1.4.2. Настоящей Политикой должны руководствоваться все сотрудники Организации, осуществляющие обработку ПДн или имеющие к ним доступ.

2. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Обработка ПДн осуществляется Обществом в следующих целях:

• ведение кадрового и бухгалтерского учета;
• обеспечение соблюдения трудового законодательства РФ;
• обеспечение соблюдения налогового законодательства РФ;
• обеспечение соблюдения пенсионного законодательства РФ;
• обеспечение соблюдения законодательства РФ в сфере образования;
• подбор персонала (соискателей) на вакантные должности оператора;
• подготовка, заключение и исполнение гражданско-правового договора.

2.2. Обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора ПДн.

3. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Основанием обработки ПДн в Обществе являются следующие нормативные акты и документы:

• Конституция Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 12.01.1996 N 7-ФЗ "О некоммерческих организациях";
• Федеральный закон от 1 апреля 1996 г. N 27-ФЗ "Об индивидуальном (персонифицированном) учете в системах обязательного пенсионного страхования и обязательного социального страхования";
• Федеральный закон от 15.12.2002 № 167-ФЗ "Об обязательном пенсионном страховании в Российской Федерации";
• Указ Президента Российской Федерации от 06 марта 1997 г. № 188 «Об утверждении Перечня сведений конфиденциального характера»;
• Постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• Приказ Роскомнадзора от 05 сентября 2013 г. № 996 «Об утверждении требований и методов по обезличиванию персональных данных»;
• уставные документы оператора;
• договоры, заключаемые между оператором и субъектом ПДн;
• согласие на обработку ПДн (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям оператора).

3.2. В случаях, прямо не предусмотренных законодательством РФ, но соответствующих полномочиям Общества, обработка ПДн осуществляется с согласия субъекта ПДн на обработку его ПДн.

3.3. Обработка ПДн прекращается при реорганизации или ликвидации, исключении Организации из ЕГРЮЛ.

4. ОБЪЕМ И КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ, КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки. Обрабатываемые ПДн не являются избыточными по отношению к заявленным целям их обработки.

4.2. Обработка ПДн допускается в следующих случаях:

• обработка ПДн в Организации осуществляется только с согласия субъекта ПДн на обработку его ПДн, если иное не предусмотрено законодательством;
• обработка ПДн необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом ПДп договор не может содержать положения, ограничивающие права и свободы субъекта ПДн, устанавливающие случаи обработки ПДн несовершеннолетних, если иное не предусмотрено законодательством РФ, а также положения, допускающие в качестве условия заключения договора бездействие субъекта ПДн;
• обработка ПДн необходима для достижения целей, предусмотренных международным договором РФ или законом, для осуществления и выполнения возложенных законодательством РФ на Общество функций, полномочий и обязанностей.

4.3. Обработка специальных категорий ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, допускается в следующих случаях:

• обработка ПДн в Обществе осуществляется только с согласия субъекта ПДн на обработку его ПДн, если иное не предусмотрено законодательством;

4.3.1. Обработка специальных категорий ПДн, осуществлявшаяся в случаях, предусмотренных пунктом 4 статьи 10 Закона ФЗ-152, должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась их обработка, если иное не установлено федеральным законом.

4.3.2. Обработка ПДн о судимости может осуществляться Организацией исключительно в случаях и в порядке, которые определяются в соответствии с федеральными законами.

4.3.3. В случае если обработка специальных категорий ПДн необходима по действующему законодательству или для осуществления деятельности Общества, то такая обработка осуществляется с письменного согласия субъекта ПДн, за исключением случаев, предусмотренных законодательством РФ в области ПДн.

4.4. Обработка сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические ПДн), Обществом не осуществляется.

4.5. Содержание и объем обрабатываемых в Обществе ПДн:

4.5.1. Цель обработки данных: Ведение кадрового и бухгалтерского учета

Обрабатываемые ПДн: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; социальное положение; доходы; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; данные водительского удостоверения; данные документа, содержащиеся в свидетельстве о рождении; реквизиты банковской карты; номер расчетного счета; номер лицевого счета; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); отношение к воинской обязанности, сведения о воинском учете; сведения об образовании; а также: данные документа, содержащиеся в свидетельстве о перемене имени, справке о заключении брака, свидетельстве о расторжении брака, свидетельстве о заключении брака.

4.5.1.1. Категории субъектов: Работники; Родственники работников; Уволенные работники.

4.5.1.2. Правовое основание: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

4.5.1.3. Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; передача (предоставление, доступ); блокирование; удаление; уничтожение.

4.5.1.4. Способы обработки: смешанная; с передачей по внутренней сети юридического лица; с передачей по сети Интернет.

4.5.2. Цель обработки данных: Обеспечение соблюдения налогового законодательства РФ

Обрабатываемые ПДн: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; социальное положение; доходы; пол; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации).

4.5.2.1. Категории субъектов: Работники; Контрагенты; Клиенты.

4.5.2.2. Правовое основание: обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

4.5.2.3. Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; передача (предоставление, доступ); блокирование; удаление; уничтожение.

4.5.2.4. Способы обработки: смешанная; без передачи по внутренней сети юридического лица; с передачей по сети Интернет.

4.5.3. Цель обработки данных: Обеспечение соблюдения законодательства РФ в сфере образования

Обрабатываемые ПДн: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); сведения об образовании; фото-видео изображение лица; а также: данные документа, содержащиеся в свидетельстве о перемене имени, справке о заключении брака, свидетельстве о заключении брака.

4.5.3.1. Категории субъектов: Клиенты; Учащиеся.

4.5.3.2. Правовое основание: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

4.5.3.3. Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; передача (предоставление, доступ); блокирование; удаление; уничтожение.

4.5.3.4. Способы обработки: смешанная; с передачей по внутренней сети юридического лица; с передачей по сети Интернет.

4.5.4. Цель обработки данных: Обеспечение соблюдения пенсионного законодательства РФ

Обрабатываемые ПДн: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; социальное положение; доходы; пол; адрес места жительства; адрес регистрации; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; реквизиты банковской карты; номер расчетного счета; номер лицевого счета; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой).

Специальные ПДн: сведения о состоянии здоровья.

4.5.4.1. Категории субъектов: работники; уволенные работники.

4.5.4.2. Правовое основание: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

4.5.4.3. Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; передача (предоставление, доступ); блокирование; удаление; уничтожение.

4.5.4.4. Способы обработки: смешанная; без передачи по внутренней сети юридического лица; с передачей по сети Интернет.

4.5.5. Цель обработки данных: Подбор персонала (соискателей) на вакантные должности оператора

Обрабатываемые ПДн: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; социальное положение; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; данные водительского удостоверения; профессия; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); отношение к воинской обязанности, сведения о воинском учете; сведения об образовании.

4.5.5.1. Категории субъектов: Соискатели.

4.5.5.2. Правовое основание: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.

4.5.5.3. Перечень действий: сбор; систематизация; уточнение (обновление, изменение); использование; блокирование; удаление; уничтожение.

4.5.5.4. Способы обработки: неавтоматизированная; без передачи по внутренней сети юридического лица; без передачи по сети Интернет.

4.5.6. Цель обработки данных: Подготовка, заключение и исполнение гражданско-правового договора

Обрабатываемые ПДн: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; реквизиты банковской карты; номер расчетного счета;

4.5.6.1. Категории субъектов: Контрагенты; Представители контрагентов; Клиенты.

4.5.6.2. Правовое основание: обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных.

4.5.6.3. Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; передача (предоставление, доступ); блокирование; удаление; уничтожение.

4.5.6.4. Способы обработки: смешанная; без передачи по внутренней сети юридического лица; с передачей по сети Интернет.

4.5.7. Цель обработки данных: Обеспечение соблюдения трудового законодательства РФ

Обрабатываемые ПДн: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; социальное положение; доходы; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; данные водительского удостоверения; данные документа, содержащиеся в свидетельстве о рождении; реквизиты банковской карты; номер расчетного счета; номер лицевого счета; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); отношение к воинской обязанности, сведения о воинском учете; сведения об образовании; а также: данные документа, содержащиеся в свидетельстве о перемене имени, справке о заключении брака, свидетельстве о расторжении брака, свидетельстве о заключении брак.

4.5.7.1. Категории субъектов: Работники; Родственники работников; Уволенные работники.

4.5.7.2. Правовое основание: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

4.5.7.3. Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; передача (предоставление, доступ); блокирование; удаление; уничтожение.

4.5.7.4. Способы обработки: смешанная; с передачей по внутренней сети юридического лица; с передачей по сети Интернет.

5. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Оператор осуществляет обработку ПДн - операции, совершаемые с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение ПДн.

5.2. Обработка ПДн осуществляется Организацией в соответствии со следующими принципами и правилами, предусмотренными Федеральным законом «О персональных данных»:

• обработка ПДн осуществляется на законной и справедливой основе;
• обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей; не допускается обработка ПДн, несовместимая с целями сбора ПДп;
• не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только ПДн, которые отвечают целям их обработки;
• содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки; обрабатываемые ПДн не избыточны по отношению к заявленным целям их обработки;
• при обработке ПДн обеспечиваются точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн; Организатор принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных, или неточных данных;
• хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн; обрабатываемые ПДн подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

5.3. При осуществлении хранения ПДн оператор использует базы данных, находящиеся на территории РФ, в соответствии с ч. 5 ст. 18 Федерального закона «О персональных данных».

5.3.1. ПДн при их обработке, осуществляемой без использования средств автоматизации, обособляются от иной информации, в частности путем фиксации их на отдельных материальных носителях ПДн (далее - материальные носители), в специальных разделах или на полях форм (бланков). При фиксации ПДн на материальных носителях не допускается фиксация на одном материальном носителе ПДн, цели обработки которых заведомо не совместимы. Для обработки различных категорий ПДн, осуществляемой без использования средств автоматизации, для каждой категории ПДн используется отдельный материальный носитель.

5.4. Условием прекращения обработки ПДн может являться достижение целей обработки ПДн, истечение срока действия согласия или отзыв согласия субъекта ПДн на обработку его ПДн, а также выявление неправомерной обработки ПДп.

5.5. Оператор вправе поручить обработку ПДн другому лицу на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта.

5.5.1. Лицо, осуществляющее обработку ПДн по поручению оператора, обязано соблюдать принципы и правила обработки ПДн, предусмотренные Федеральным законом «О персональных данных», соблюдать конфиденциальность ПДн, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных».

5.5.2. Оператор вправе передавать ПДн органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством РФ.

5.6. Оператор и иные лица, получившие доступ к ПДн, обязаны не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено действующим законодательством РФ.

5.6.1. Согласие на обработку ПДн, разрешенных субъектом ПДн для распространения, оформляется отдельно от иных согласий субъекта ПДн на обработку его ПДн. Оператор обязан обеспечить субъекту ПДн возможность определить перечень ПДн по каждой категории ПДи, указанной в согласии на обработку ПДн, разрешенных субъектом ПДн для распространения.

5.6.2. Передача (предоставление, доступ) ПДн, разрешенных субъектом ПДн прекращается в любое время по требованию субъекта ПДн. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта ПДн, а также перечень ПДн, обработка которых подлежит прекращению. Указанные в данном требовании ПДн обрабатываются только оператором, которому оно направлено.

5.7. Оператор принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами. Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, если иное не предусмотрено федеральными законами.

5.8. Оператор при обработке ПДн принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.

6. АКТУАЛИЗАЦИЯ, ИСПРАВЛЕНИЕ, УДАЛЕНИЕ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОТВЕТЫ НА ЗАПРОСЫ СУБЪЕКТОВ НА ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ

6.1. Права субъектов персональных данных

6.1.1. Право субъекта персональных данных на доступ к его персональным данным

6.1.1.1. Субъект ПДн имеет право на получение информации (далее - запрашиваемая субъектом информация), касающейся обработки его ПДн, в том числе содержащей:

• подтверждение факта обработки ПДн Организацией;
• правовые основания и цели обработки ПДн;
• цели и применяемые Обществом способы обработки ПДн;
• наименование и место нахождения Организации, сведения о лицах (за исключением сотрудников Общества), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Обществом или на основании федерального закона;
• обрабатываемые ПДн, относящиеся к соответствующему субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
• сроки обработки ПДн, в том числе сроки их хранения;
• порядок осуществления субъектом ПДн прав, предусмотренных Федеральным законом «О персональных данных»;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Общества, если обработка поручена или будет поручена такому лицу;
• иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.

6.1.1.2. Субъект ПДн имеет право на получение запрашиваемой субъектом информации, за исключением следующих случаев:

• обработка ПДн, включая ПДн, полученные в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;
• обработка ПДн осуществляется органами, осуществившими задержание субъекта ПДн по подозрению в совершении преступления, либо предъявившими субъекту ПДн обвинение по уголовному делу, либо применившими к субъекту ПДн меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством Российской Федерации случаев, если допускается ознакомление подозреваемого или обвиняемого с такими ПДн;
• обработка ПДн осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;
• доступ субъекта ПДн к его ПДн нарушает права и законные интересы третьих лиц.

6.1.1.3. Субъект ПДн вправе требовать от Общества уточнения его ПДн, их блокирования или уничтожения в случае, если ПДп являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

6.1.1.4. Запрашиваемая субъектом информация должна быть предоставлена субъекту ПДн Обществом в доступной форме, и в ней не должны содержаться ПДн, относящиеся к другим субъектам ПДн, за исключением случаев, если имеются законные основания для раскрытия таких ПДн.

6.1.1.5. Запрашиваемая информация предоставляется субъекту ПДн или его представителю Обществом при обращении либо при получении запроса субъекта ПДн или его представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта ПДн или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта ПДн в отношениях с Организацией (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Обществом, подпись субъекта ПДп или его представителя (далее - необходимая для запроса информация). Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

6.1.1.6. В случае если запрашиваемая субъектом информация, а также обрабатываемые ПДн были предоставлены для ознакомления субъекту ПДн по его запросу, субъект ПДн вправе обратиться повторно в Организацию или направить повторный запрос в целях получения запрашиваемой субъектом информации и ознакомления с такими ПДн не ранее чем через тридцать дней (далее нормированный срок запроса) после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн.

6.1.1.7. Субъект ПДн вправе обратиться повторно в Организацию или направить повторный запрос в целях получения запрашиваемой субъектом информации, а также в целях ознакомления с обрабатываемыми ПДн до истечения нормированного срока запроса в случае, если такие сведения и (или) обрабатываемые ПДн не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду с необходимой для запроса информацией должен содержать обоснование направления повторного запроса.

6.1.1.8. Организация вправе отказать субъекту ПДн в выполнении повторного запроса, не соответствующего условиям повторного запроса. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Общества.

6.1.2. Права субъектов персональных данных при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке

6.1.2.1. Обработка ПДн в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации Обществом не осуществляется.

6.1.3. Права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки

6.1.3.1. Принятие на основании исключительно автоматизированной обработки ПДн решений, порождающих юридические последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы, Обществом не осуществляется.

6.1.4. Право на обжалование действий или бездействия Организации

6.1.4.1. Если субъект ПДн считает, что Организация осуществляет обработку его ПДн с нарушением требований Федерального закона «О персональных данных» или иным образом нарушает его права и свободы, субъект ПДн вправе обжаловать действия или бездействие Общества в уполномоченный орган по защите прав субъектов ПДн или в судебном порядке.

6.1.4.2. Субъект ПДн имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

6.2. Обязанности оператора

6.2.1. Обязанности оператора при сборе персональных данных

6.2.1.1. При сборе ПДн Организация предоставляет субъекту ПДн по его просьбе запрашиваемую информацию, касающуюся обработки его ПДн в соответствии с частью 7 статьи 14 Федерального закона «О персональных данных».

6.2.1.2. Если предоставление ПДн является обязательным в соответствии с федеральным законом, Организация разъясняет субъекту ПДн юридические последствия отказа предоставить его ПДн.

6.2.1.3. Если ПДн получены не от субъекта ПДн, Организация до начала обработки таких ПДн предоставляет субъекту ПДн следующую информацию (далее — информация, сообщаемая при получении ПДн не от субъекта ПДн):

• наименование либо фамилия, имя, отчество и адрес оператора или представителя оператора;
• цель обработки ПДн и ее правовое основание;
• предполагаемые пользователи ПДн;
• установленные Федеральным законом «О персональных данных» права субъекта ПДн;
• источник получения ПДн.

6.2.1.4. Общество не предоставляет субъекту информацию, сообщаемую при получении ПДн не от субъекта ПДн, в случаях, если:

• субъект ПДн уведомлен об осуществлении обработки его ПДн Обществом;
• применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
• оценкой эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию информационной системы ПДн;
• учетом машинных носителей ПДн;
• обнаружением фактов несанкционированного доступа к ПДн и принятием мер;
• восстановлением ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установлением правил доступа к ПДн, обрабатываемым в информационной системе ПДн, а также обеспечением регистрации и учета всех действий, совершаемых с ПДн в информационной системе ПДн;
• контролем за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности информационных систем ПДн.

6.2.3. Обязанности оператора при обращении к нему субъекта персональных данных либо при получении запроса

6.2.3.1. Организация сообщает в установленном порядке субъекту ПДн или его представителю информацию о наличии ПДн, относящихся к соответствующему субъекту ПДн, а также предоставляет возможность ознакомления с этими ПДн при обращении субъекта ПДн или его представителя либо в течение десяти дней с даты получения запроса субъекта ПДн или его представителя.

6.2.3.2. В случае отказа в предоставлении информации о наличии ПДн о соответствующем субъекте ПДн или ПДн субъекту ПДн или его представителю при их обращении либо при получении запроса субъекта ПДн или его представителя Организация дает в письменной форме мотивированный ответ в срок, не превышающий десяти дней со дня обращения субъекта ПДн или его представителя либо с даты получения запроса субъекта ПДн или его представителя.

6.2.3.3. Организация предоставляет безвозмездно субъекту ПДн или его представителю возможность ознакомления с ПДн, относящимися к этому субъекту ПДн. В срок, не превышающий семи рабочих дней со дня предоставления субъектом ПДн или его представителем сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными, Организация вносит в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления субъектом ПДн или его представителем сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Общество уничтожает такие ПДн. Организация уведомляет субъекта ПДп или его представителя о внесенных изменениях и предпринятых мерах и принимает разумные меры для уведомления третьих лиц, которым ПДн этого субъекта были переданы.

6.2.3.4. Организация сообщает в уполномоченный орган по защите прав субъектов ПДп по запросу этого органа необходимую информацию в течение десяти дней с даты получения такого запроса.

6.2.4. Обязанности оператора по устранению нарушений законодательства

6.2.4.1. В случае выявления неправомерной обработки ПДн при обращении субъекта ПДн или его представителя либо по запросу субъекта ПДн или его представителя либо уполномоченного органа по защите прав субъектов ПДн Органзация осуществляет блокирование неправомерно обрабатываемых ПДн, относящихся к этому субъекту ПДн, или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Организации) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных ПДн при обращении субъекта ПДп или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов ПДн Организация осуществляет блокирование ПДн, относящихся к этому субъекту ПДн, или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) с момента такого обращения или получения указанного запроса на период проверки, если блокирование ПДи не нарушает права и законные интересы субъекта ПДн или третьих лиц.

6.2.4.2. В случае подтверждения факта неточности ПДн Организация на основании сведений, представленных субъектом ПДн или его представителем либо уполномоченным органом по защите прав субъектов ПДн, или иных необходимых документов уточняет ПДн либо обеспечивает их уточнение (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) в течение семи рабочих дней со дня представления таких сведений и снимает блокирование ПДн.

6.2.4.3. В случае выявления неправомерной обработки ПДн, осуществляемой Организацией или лицом, действующим по поручению Общества, Общество в срок, не превышающий трех рабочих дней с даты этого выявления, прекращает неправомерную обработку ПДн или обеспечивает прекращение неправомерной обработки ПДн лицом, действующим по поручению Общества. В случае если обеспечить правомерность обработки ПДн невозможно, Общество в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки ПДн, уничтожает такие ПДн или обеспечивает их уничтожение. Об устранении допущенных нарушений или об уничтожении ПДн Общество уведомляет субъекта ПДн или его представителя, а в случае, если обращение субъекта ПДн или его представителя либо запрос уполномоченного органа по защите прав субъектов ПДн были направлены уполномоченным органом по защите прав субъектов ПДн, также указанный орган.

6.2.4.4. В случае достижения цели обработки ПДн Организация прекращает обработку ПДн или обеспечивает ее прекращение (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) и уничтожает ПДн или обеспечивает их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) в срок, не превышающий тридцати дней с даты достижения цели обработки ПДн, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, иным соглашением между Организацией и субъектом ПДн либо если Общество не вправе осуществлять обработку ПДн без согласия субъекта ПДн на основаниях, предусмотренных Федеральным законом «О персональных данных» или другими федеральными законами.

6.2.4.5. В случае отзыва субъектом ПДн согласия на обработку его ПДн Организация прекращает их обработку или обеспечивает прекращение такой обработки (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) и в случае, если сохранение ПДн более не требуется для целей обработки ПДн, уничтожает ПДн или обеспечивает их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, иным соглашением между Обществом и субъектом ПДн либо если Организация не вправе осуществлять обработку ПДн без согласия субъекта ПДн на основаниях, предусмотренных Федеральным законом «О персональных данных» или другими федеральными законами.

6.2.4.6. В случае отсутствия возможности уничтожения ПДн в течение указанного срока, Организация блокирует такие ПДн или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Организации) и обеспечивает уничтожение ПДн в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

7. ОТВЕТСТВЕННОСТЬ

7.1. Лица, виновные в нарушении требований Федерального закона «О персональных данных», несут предусмотренную законодательством РФ ответственность.

7.2. Моральный вред, причиненный субъекту ПДн вследствие нарушения его прав, нарушения правил обработки ПДн, установленных Федеральным законом «О персональных данных», а также требований к защите ПДн, установленных в соответствии с Федеральным законом «О персональных данных», подлежит возмещению в соответствии с законодательством РФ. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом ПДн убытков.

8. ФОРМЫ САЙТА И ТЕХНИЧЕСКИЕ ЖУРНАЛЫ

8.1. При отправке формы обратной связи, заявки на обучение, заявки на корпоративное обучение или при начале общения в онлайн-консультанте Организация обрабатывает данные, которые субъект вводит самостоятельно: имя или ФИО, номер телефона, адрес электронной почты, сведения об организации, выбранном курсе или направлении, а также текст обращения.

8.2. Для подтверждения факта отправки, защиты сайта и предотвращения автоматических заявок дополнительно обрабатываются IP-адрес, User-Agent, тип устройства, операционная система, браузер, язык браузера, разрешение экрана, часовой пояс, адрес страницы, дата и время отправки, статус cookie-настроек, результат антиспам-проверки, версия и hash текста согласия.

8.3. Цели обработки: приём и обработка обращения; обратная связь; подбор программы и уточнение условий обучения; подтверждение факта отправки формы и предоставления согласия; предотвращение спама, злоупотреблений и обеспечение безопасности сайта.

8.4. Отправка формы допускается только после явного подтверждения согласия на обработку персональных данных и прохождения серверной антиспам-проверки. Обязательный чекбокс заранее не отмечается. Согласие на рекламные сообщения является отдельным и необязательным.

8.5. Для доказательства факта отправки Организация ведёт защищённый журнал заявок и попыток отправки. Доступ к журналу предоставляется только авторизованным сотрудникам, которым он необходим для исполнения должностных обязанностей.

8.6. Заявки и записи журнала хранятся не более трёх лет с даты отправки, если иной срок не установлен законодательством Российской Федерации или договором с субъектом ПДн. По истечении срока данные удаляются.

8.7. Аналитические cookie и Яндекс.Метрика подключаются только после выбора пользователем аналитических cookie в настройках сайта. Отказ от необязательных cookie не препятствует просмотру сайта и отправке формы.

8.8. Отдельный текст согласия размещён по адресу /privacy/personal-data-consent/. Отозвать согласие или направить запрос об уточнении, блокировании либо удалении данных можно по адресу ab@audit-td.ru.

8.9. При входе в личный кабинет и просмотре учебного видео Организация ведёт технический журнал безопасности: дата и время, IP-адрес, User-Agent, тип браузера и устройства, активные сессии, назначенный курс и сведения о ходе воспроизведения. Случайный идентификатор разрешённого устройства хранится в обязательном HttpOnly Cookie, а в базе данных хранится его односторонний SHA-256 hash. События локального видеоплеера могут связываться последовательной SHA-256 цепочкой, включающей предыдущий hash, дату, учётную запись, курс, урок, позицию и продолжительность просмотра, сведения о сессии, устройстве и IP-адресе. Такая цепочка предназначена для выявления последующего изменения технического журнала и не является электронной подписью или безусловным подтверждением личности находившегося перед экраном человека. Эти сведения используются для защиты учётной записи, ограничения передачи доступа третьим лицам, расследования ошибок видео и злоупотреблений. Администратор может завершить сессию или отключить устройство; записи относятся к техническому журналу, указанному в пунктах 8.5–8.6.

8.10. При добровольном подключении уведомлений в Telegram или MAX в личном кабинете Организация обрабатывает выбранный мессенджер, внешний идентификатор пользователя и чата, публичное имя и username (если они переданы провайдером), дату подключения и выбранные настройки. Эти сведения используются для отправки сервисных уведомлений об обучении. Согласие на новости и анонсы запрашивается отдельным необязательным переключателем для каждого канала и не следует из самого факта подключения сервисных уведомлений.

8.11. Пользователь может отключить Telegram или MAX в настройках личного кабинета. После отключения рабочие идентификаторы и временные коды подключения удаляются, дальнейшая доставка по этому каналу прекращается, а согласие на новости и анонсы считается отозванным. В журнале подтверждения действий сохраняются дата события, версия согласия и односторонние SHA-256 hash-значения идентификаторов, публичного имени, IP-адреса и User-Agent без сохранения текста переписки. Доступ к журналу имеют только авторизованные администраторы.

8.12. Telegram и MAX являются внешними сервисами и самостоятельно обрабатывают сведения в рамках собственных правил. Пользователь может не подключать мессенджеры и продолжать пользоваться личным кабинетом. Вопросы о предоставлении, блокировании или удалении данных можно направить по адресу ab@audit-td.ru.

8.13. При ручной отправке сообщения сотрудником через подключённого бота в техническом журнале сохраняются идентификатор пользователя сайта, идентификатор сотрудника, канал, тип сообщения, длина и односторонний SHA-256 hash текста, результат, код ответа сервиса и дата отправки. Текст сообщения в журнале не сохраняется. Сообщения с новостями и анонсами могут отправляться только при наличии отдельного действующего согласия для выбранного канала.