ПОЛОЖЕНИЕ
об обработке персональных данных
в обществе с ограниченной ответственностью
«Управляющая компания Камелия»

1. Назначение и область применения

1.1. Положение об обработке персональных данных (далее также – Положение)
в ООО «УК Камелия» (далее также – Оператор) определяет порядок обработки персональных данных (далее также – ПДн), обеспечение защиты прав и свобод субъектов персональных данных при обработке персональных данных, устанавливает общие требования к обеспечению безопасности персональных данных, обрабатываемых с использованием средств автоматизации или без использования таких средств а также процедуры, направленные на предотвращение нарушений требований законодательства Российской Федерации в области персональных данных.
Целью данного документа является обеспечение защиты прав и свобод субъекта персональных данных при обработке его персональных данных

1.2. Положение определяет политику ООО «УК Камелия» (далее – Оператор, Общество) в отношении обработки и защиты персональных данных.

1.3. Настоящее Положение вступает в силу с момента его утверждения Генеральным директором Общества.

1.4. Все работники Общества, допущенные к обработке персональных данных, должны быть ознакомлены с настоящим Положением под подпись.

1.5. Контроль за соблюдением настоящего Положения осуществляется лицами, ответственными за организацию обработки персональных данных и ответственными за обеспечение безопасности персональных данных.

2. Основные понятия и определения

Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.

Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Информация — сведения (сообщения, данные) независимо от формы их представления.

Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств (далее также ИСПДн).

Материальный носитель персональных данных (далее материальный носитель) – материальный объект, используемый для закрепления и хранения информации. В целях настоящего Положения под материальным носителем понимается бумажный документ, диск, дискета, флэш-карта и т.п.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

В настоящем случае Оператором является - Общество с ограниченной ответственностью «Управляющая компания Камелия» (сокращенное наименование ООО «УК Камелия»), ИНН 2319053628, КПП 231901001, ОГРН 1122367006409, юридический адрес: Российская Федерация, Краснодарский край, город Сочи, улица Курортный проспект, д. 89, стр. 1, имеющее лицензию на осуществление медицинской деятельности Л041-01126-23/00332985 от 17.07.2019 г., выданную Министерством здравоохранения Краснодарского края, уникальный номер реестровой записи о средстве размещения, присвоенный гостинице в реестре классифицированных средств размещения:С232024007324, ссылка в информационно-телекоммуникационной сети «Интернет» на запись в реестре классифицированных средств размещения, содержащую сведения о гостинице: https://tourism.fsa.gov.ru/ru/resorts/hotels/5490414d-c609-11ef-92da-354605de0ca2/about-resort?from=showcase.

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).

Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц

Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Субъект персональных данных – физическое лицо, персональные данные которого обрабатываются Оператором персональных данных.

Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

3. Законодательство Российской Федерации в области персональных данных

Настоящее Положение разработано в соответствии с законодательством Российской Федерации:

3.1. Федеральный закон от 08.02.1998 № 14-ФЗ «Об обществах с ограниченной ответственностью».

3.2. Федеральный закон от 30.12.2001 № 197 ФЗ «Трудовой кодекс Российской Федерации».

3.3. Федеральный закон от 30.12.2001 № 195-ФЗ «Кодекс Российской Федерации об административных правонарушениях».

3.4. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

3.5. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».

3.6. Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

3.7. Постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

3.8. Постановление Правительства Российской Федерации от 27.11.2025 № 1912 «Об утверждении Правил предоставления гостиничных услуг и услуг иных средств размещения в Российской Федерации».

3.9. Постановление Правительства Российской Федерации от 27.12.2024 № 1951 «Об утверждении Положения о классификации средств размещения».

3.10. Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 24.02.2021 № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения».

3.11. Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28.10.2022 № 179 «Об утверждении требований к подтверждению уничтожения персональных данных».

3.12. Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 14.11.2022 № 187 «Об утверждении Порядка и условий взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных».

3.13. Приказ ФАПСИ РФ от 13.06.2001 № 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну».

3.14. Приказ ФСБ России от 09.02.2005 № 66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)».

4. Субъекты, персональные данные которых обрабатываются в Обществе

4.1. Субъектами персональных данных, сведения о которых обрабатываются в Обществе, являются:

• пользователи сайта;
• кандидаты на вакантные должности Общества;
• близкие родственники кандидатов на вакантные должности Общества;
• индивидуальные предприниматели;
• самозанятые;
• представители контрагентов;
• контрагенты – физические лица (с которыми заключен договор гражданско-правового характера)
• работники Общества (в т.ч. уволенные);
• близкие родственники работников Общества;
• дети работников Общества;
• гости (граждане РФ);
• гости (граждане иностранных государств);
• собственники апартаментов.

4.2. При определении содержания обрабатываемых персональных данных Общество руководствуется целями получения и обработки персональных данных, указанными в настоящем Положении.

5. Права и обязанности Общества при обработке персональных данных

5.1. Общество обязано:

5.1.1. Принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, связанных с обработкой персональных данных, предусмотренных законодательством РФ. К таким мерам относятся:

• назначение в Обществе ответственного за организацию обработки персональных данных;
• издание Обществом документов, определяющих политику Общества в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, определяющих для каждой цели обработки персональных данных категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений; такие документы и локальные акты не могут содержать положения, ограничивающие права субъектов персональных данных, а также возлагающие на Операторов не предусмотренные законодательством РФ полномочия и обязанности;
• принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
• осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных действующему законодательству Российской Федерации и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Оператора в отношении обработки персональных данных, локальным актам Оператора;
• оценка вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных, который может быть причинен субъектам персональных данных в случае нарушения законодательства РФ, соотношение указанного вреда и принимаемых Обществом мер, направленных на обеспечение выполнения обязанностей, предусмотренных законодательством РФ;
• ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику Общества в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных;
• опубликовать на официальном сайте Общества в информационно-телекоммуникационной сети «Интернет» или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.

5.1.2. Предоставлять документы и локальные акты, разработанные в соответствии с п. 5.1.1, по запросу уполномоченного органа по защите прав субъектов персональных данных.

5.1.3. Осуществлять обработку персональных данных с соблюдением принципов и правил, предусмотренных федеральными законами.

5.1.4. Сообщать субъекту персональных данных или его законному представителю по его запросу информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных (форма ответа приведена в Приложении 1).

5.1.5. В случае отказа в предоставлении субъекту персональных данных запрашиваемой информации о соответствующем субъекте ПДн, дать в письменной форме мотивированный ответ в течение 30 дней со дня обращения или получения запроса.

5.1.6. Внести необходимые изменения персональных данных в срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки. О внесенных изменениях и предпринятых мерах Общество обязано уведомить субъекта персональных данных или его представителя, и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы (форма уведомления приведена в Приложении 2).

5.1.7. В случае достижения цели обработки персональных данных прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий 30 дней с даты достижения цели обработки персональных данных, если иное не предусмотрено законодательством или договором, а также если Общество не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных.

5.1.8. В случае отзыва согласия на обработку персональных данных прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий 30 дней с даты поступления отзыва, если иное не предусмотрено договором или не достигнута цель обработки персональных данных, связанная с исполнением требований законодательства РФ.

5.1.9. Сообщить в уполномоченный орган по защите прав субъектов персональных данных по его запросу информацию, необходимую для осуществления деятельности указанного органа, в течение 30 дней с даты получения такого запроса.

5.1.10. В случае если Общество не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных прекратить обработку персональных данных и уничтожить персональные данные.

5.1.11. Общество обязано назначить лицо, ответственное за организацию обработки персональных данных.

5.1.12. Лицо, ответственное за организацию обработки персональных данных, получает указания непосредственно Генерального директора Общества и подотчетно ему.

5.1.13. Общество обязано предоставлять лицу, ответственному за организацию обработки персональных данных, сведения, указанные в части 3 статьи 22 Закона о персональных данных.

5.1.14. Обязанности лица, ответственного за организацию обработки персональных данных, устанавливаются трудовым договором, должностной инструкцией, положениями, регламентами, иными локальными актами Общества, а также приказами Генерального директора Общества.

5.1.15. В обязанности лица, ответственного за организацию обработки персональных данных, в том числе, но, не ограничиваясь этим, входит:

• осуществление внутреннего контроля за соблюдением Обществом и его работниками законодательства Российской Федерации в области персональных данных, в том числе требований к защите персональных данных;
• доведение до сведения работников Общества положений законодательства Российской Федерации в области персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
• организация приема и обработки обращений и запросов субъектов персональных данных или их представителей и (или) осуществление контроля за приемом и обработкой таких обращений и запросов.

5.2. Общество имеет право:

5.2.1. Поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (далее - поручение Оператора). Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом «О персональных данных». В поручении на обработку должны быть определены, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных.

6. Права и обязанности субъектов персональных данных

Субъекты персональных данных имеют право:

6.1. Получать информацию, касающуюся обработки своих персональных данных, в порядке, форме и в сроки, установленные Федеральным законом № 152-ФЗ «О персональных данных».

Примечание: Форма направляемого в Общество запроса об обрабатываемых персональных данных (запроса о наличии персональных данных, на ознакомление с персональными данными) представлена в Приложении 3. В соответствии с требованиями 152-ФЗ запрос (обращение) субъекта ПДн или его законного представителя должен содержать следующую информацию:

• серию, номер документа, удостоверяющего личность субъекта ПДн (его представителя), сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта ПДн в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Оператором;
• подпись субъекта ПДн (его представителя);
• в случае, если запрос направлен представителем субъекта ПДн, он должен содержать документ (копию документа), подтверждающий полномочия данного представителя.

6.2. Требовать уточнения персональных данных, их блокирования в случае, еслиперсональные данные являются неполными, устаревшими, неточными.

Примечание: Типовая форма запроса об исключении из обработки или исправлении неверных персональных данных представлена в Приложении 4.

6.3. Отозвать согласие на обработку ПДн.

Примечание: Форма отзыва согласия приведена в Приложении 5.

6.4. Обжаловать в суде любые неправомерные действия или бездействие Общества при обработке и защите его персональных данных.

6.5. Субъект персональных данных может направить свой запрос (обращение) на адрес электронной почты: ha5c8-RE@accor.ru.

6.6.В целях исполнения Оператором гарантий, компенсаций и льгот, предусмотренных законодательством РФ, работникам Оператора необходимо своевременно предоставлять Оператору сведения об изменении персональных данных (в том числе, но не ограничиваясь, изменение Ф.И.О., смена паспорта), гражданского статуса (семейного положения), наличия несовершеннолетних детей и детей-инвалидов, наличие инвалидности у работника, об изменениях в военно-учетных документах.

7. Порядок и условия обработки персональных данных

7.1. В Обществе установлен следующий порядок обработки персональных данных кандидатов для приема на работу, работников и близких родственников работников:

7.1.1. Работники, отвечающие за кадровое производство в Обществе, могут получать персональные данные кандидатов для приема на работу из следующих источников:

• от агентств по подбору персонала, предоставляющих Обществу персональные данные кандидатов в соответствии с заключенными с Обществом договорами;
• из общедоступных источников персональных данных (интернет-сайты, социальные сети);
• непосредственно от кандидатов, самостоятельно направляющих резюме на адрес электронной почты Общества;
• лично от кандидатов, представивших анкету, заполненную непосредственно в Общество.

7.1.2. Обработка персональных данных кандидатов для приема на работу осуществляется до достижения цели обработки – принятия решения о приеме, либо об отказе в приеме кандидата на работу в Общество. По достижении цели обработки, работниками, отвечающими за кадровое делопроизводство, производится уничтожение ПДн кандидатов.

7.2. Обработка персональных данных работников в связи с заключением трудового договора включает в себя:

• получение заявления о приеме на работу, предоставляемое в подразделение, отвечающее за кадровое делопроизводство Обществе;
• получение оригиналов документов таких документов как паспорт, ИНН, СНИЛС, документы об образовании для заполнения сведений в кадровых документах и внесения данных в системы Оператора с возвратом указанных документов их владельцу;
• получение оригиналов документов трудовой книжки, документов воинского учета;
• формирование личного дела работника в соответствии с унифицированной формой № Т-2;
• получение согласия на обработку персональных данных.

7.2.1. Персональные данные близких родственников указываются работником Общества в унифицированной форме № Т-2, а также в случаях, установленных законодательством Российской Федерации (получение алиментов, оформление социальных выплат).

7.2.2. В отдельных случаях Трудовым кодексом, иными федеральными законами, указами Президента Российской Федерации и постановлениями Правительства Российской Федерации может предусматриваться необходимость предъявления при заключении трудового договора дополнительных документов.

7.2.3. Запрещается требовать от лица, поступающего на работу, документы помимо предусмотренных Трудовым кодексом, иными федеральными законами, указами Президента Российской Федерации и постановлениями Правительства Российской Федерации.

7.2.4. Личные дела работников Общества хранятся в металлических запираемых шкафах впомещении подразделения, отвечающего за кадровое производство в Обществе. Хранение трудовых книжек осуществляется в сейфе работника, отвечающего за кадровое делопроизводство в Обществе.

7.2.5. Персональные данные, внесенные в личные дела работников, иные сведения, содержащиеся в личных делах работников, относятся к сведениям конфиденциального характера.

7.2.6. Личное дело после увольнения работника хранится в течение срока, установленного законодательством РФ.

7.5. Правовыми основаниями обработки персональных данных Оператором являются:

• трудовой договор;
• договор гражданско-правового характера;
• выполнение требований законодательства (трудового, о воинском учете и т.д.) и исполнения запросов государственных органов;
• договор, стороной которого является субъект персональных данных;
• договор поручения на обработку персональных данных;
• согласие на обработку персональных данных.

7.6. Перечень действий, совершаемых Оператором с персональными данными субъектов включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение персональных данных.

7.7. Способы обработки персональных данных: с использованием средств автоматизации и без использования средств автоматизации (на бумажных носителях).

8. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных, цели сбора персональных данных

8.1. Оператор обрабатывает ПДн в следующих целях:

8.1.1. Оформление и исполнение заявки на бронирование столика:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: фамилия, имя, отчество, номер телефона, время и дата посещения.
• Категории субъектов ПДн: пользователи сайта.
• Способы обработки ПДн: автоматизированная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.2. Приобретение подарочного сертификата:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: фамилия, имя, отчество, адрес электронной почты, номер телефона.
• Категории субъектов ПДн: пользователи сайта.
• Способы обработки ПДн: автоматизированная.
• Сроки обработки и хранения: до достижения целей обработки ПДн (до истечения срока действия сертификата и завершения расчётов по нему, а при отсутствии необходимости в дальнейшем использовании — не более 3 лет с даты исполнения обязательств), либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.3. Обработка cookie-файлов и анализ статистики пользования сайтом для улучшения пользовательского опыта, формирования статистики посещаемости, оптимизации структуры и контента сайта:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: два байта IP-адреса системы пользователя; адрес посещаемой страницы сайта; страницы, на которые пользователь перешел с запрошенной страницы; время, проведенное на сайте; частота посещений сайта.
• Категории субъектов ПДн: пользователи сайта.
• Способы обработки ПДн: автоматизированная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.4. Публикация новостей на сайте ресторана БАО:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: фамилия, имя, должность, фотография.
• Категории субъектов ПДн: представители контрагентов.
• Способы обработки ПДн: автоматизированная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.5. Подбор кандидатов на вакантные должности:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: кандидаты на вакантные должности ООО «УК Камелия» - ФИО, паспортные данные, ИНН, СНИЛС, должность, номер мобильного телефона, адрес фактического места проживания, адрес постоянной регистрации, адрес электронной почты, сведения об образовании, сведения о трудовом стаже, данные о воинском учете, сведения о долговых обязательствах, сведения об отсутствии судимости, сведения о медицинской книжке;близкие родственники кандидатов на вакантные должности ООО «УК Камелия» - ФИО, дата рождения, контактный номер телефона, адрес фактического места проживания, адрес постоянной регистрации, текущее место работы, должность, иные сведения, которые кандидат на трудоустройство сообщает о себе добровольно в форме резюме или иных доступных формах (в т.ч. анкетирования).
• Категории субъектов ПДн: кандидаты на вакантные должности ООО «УК Камелия», близкие родственники кандидатов на вакантные должности ООО «УК Камелия».
• Способы обработки ПДн: смешанная.
• Сроки обработки и хранения: до достижения целей обработки ПДн (на срок, необходимый для рассмотрения кандидатуры и принятия решения о приеме либо об отказе в приеме на работу), либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.6. Учет контрагентов:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: индивидуальные предприниматели - ФИО, ИНН, ОГРНИП, наименование ИП, банковские реквизиты, адрес электронной почты; самозанятые - ФИО, ИНН, банковские реквизиты; представители контрагентов – юридических лиц - ФИО, должность, организация, паспортные данные, банковские реквизиты, адрес электронной почты; контрагенты – физические лица (с которыми заключен договор гражданско-правового характера) - ФИО, паспортные данные, СНИЛС, ИНН, контактный номер телефона.
• Категории субъектов ПДн: индивидуальные предприниматели, самозанятые, представители контрагентов – юридических лиц, контрагенты – физические лица (с которыми заключен договор гражданско-правового характера).
• Способы обработки ПДн: автоматизированная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.7. Кадровый учет и кадровое делопроизводство:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: работники ООО «УК Камелия» (в т.ч. уволенные) - ФИО, паспортные данные, ИНН, СНИЛС, должность, моб. телефон, адрес фактического места проживания, адрес постоянной регистрации, адрес электронной почты, сведения об образовании, сведения о трудовом стаже, данные о воинском учете, сведения о долговых обязательствах, сведения об отсутствии судимости, сведения о медицинской книжке; близкие родственники работников ООО «УК Камелия» - ФИО, дата рождения, контактный номер телефона, адрес фактического места проживания, адрес постоянной регистрации, текущее место работы, должность.
• Категории субъектов ПДн: работники ООО «УК Камелия» (в т.ч. уволенные), близкие родственники работников ООО «УК Камелия».
• Способы обработки ПДн: смешанная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.8. Оформление ДМС:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: ФИО, дата рождения, адрес места регистрации, даты приема и увольнения, контактный номер телефона.
• Категории субъектов ПДн: Работники ООО «УК Камелия».
• Способы обработки ПДн: смешанная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.9. Внутренний документооборот:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: ФИО, должность, подразделение.
• Категории субъектов ПДн: работники ООО «УК Камелия», контрагенты – физические лица (с которыми заключен договор гражданско-правового характера).
• Способы обработки ПДн: смешанная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.10. Заключение договоров с контрагентами:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: работники ООО «УК Камелия» - ФИО, должность, организация, адрес электронной почты, контактный номер телефона; представители контрагента - ФИО, должность, организация, паспортные данные, банковские реквизиты, адрес электронной почты.
• Категории субъектов ПДн: работники ООО «УК Камелия», представители контрагента.
• Способы обработки ПДн: смешанная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.11. Реализация пропускного режима на территорию отеля:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: работники ООО «УК Камелия», работники ООО «Пансионат «Камелия» - ФИО, должность, подразделение, организация, фото; контрагенты – физические лица (с которыми заключен договор гражданско-правового характера) - ФИО, организация, фото, представители контрагентов - ФИО, марка и гос. номер автомобиля, марка и гос.номер прицепа, должность, организация, паспортные данные, фото.
• Категории субъектов ПДн: работники ООО «УК Камелия», работники ООО «Пансионат «Камелия», контрагенты – физические лица (с которыми заключен договор гражданско-правового характера), представители контрагентов.
• Способы обработки ПДн: смешанная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.12. Оформление доверенностей:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: работники ООО «УК Камелия» - ФИО, должность, паспортные данные, СНИЛС, ИНН; представитель контрагента - ФИО, должность, паспортные данные, СНИЛС, ИНН.
• Категории субъектов ПДн: работники ООО «УК Камелия», представитель контрагента.
• Способы обработки ПДн: смешанная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.13. Организация мероприятий для несовершеннолетних детей работников ООО «УК Камелия»:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: ФИО, свидетельство о рождении.
• Категории субъектов ПДн: дети работников ООО «УК Камелия».
• Способы обработки ПДн: смешанная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.14. Начисление заработной платы и иных денежных выплат:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: ФИО, должность, моб. телефон, адрес электронной почты, паспортные данные, банковские реквизиты.
• Категории субъектов ПДн: работники ООО «УК Камелия», контрагенты – физические лица (с которыми заключен договор гражданско-правового характера).
• Способы обработки ПДн: автоматизированная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.15. Ведение бухгалтерской отчетности:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: работники ООО «УК Камелия» (в т.ч. уволенные) - ФИО, дата рождения, ИНН, СНИЛС, сведения о доходах, должность, подразделение, адрес электронной почты, контактный телефон; контрагенты – физические лица (с которыми заключен договор гражданско-правового характера) - ФИО, дата рождения, ИНН, СНИЛС, сведения о доходах.
• Категории субъектов ПДн: работники ООО «УК Камелия» (в т.ч. уволенные), контрагенты – физические лица (с которыми заключен договор гражданско-правового характера).
• Способы обработки ПДн: смешанная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.16. Техническая поддержка информационных ресурсов ООО «УК Камелия»:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: в объеме БД ИСПДн, к которой имеется доступ.
• Категории субъектов ПДн: работники ООО «УК Камелия», представители контрагентов.
• Способы обработки ПДн: автоматизированная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.17. Внесение данных гостей в системы управления отелем OPERA PMS, Контур.Отель:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: гости (граждане РФ) - фамилия, имя, отчество (при наличии), паспортные данные, адрес регистрации, контактный номер телефона, адрес электронной почты, даты въезда/выезда, номер, дата рождения, место рождения, пол, указание законного представителя (для несовершеннолетних гостей); гости (граждане иностранных государств) - фамилия, имя, отчество (при наличии), гражданство, дата рождения, место рождения, пол, адрес прежнего проживания в РФ (при наличии), контактный номер телефона, адрес электронной почты, документ, подтверждающий право пребывания в РФ, миграционная карта (при наличии), паспортные данные, указание законного представителя (для несовершеннолетних гостей), даты въезда/выезда в РФ/из РФ, даты въезда/выезда в средство размещения/из средства размещения, номер.
• Категории субъектов ПДн: гости (граждане РФ), гости (граждане иностранных государств).
• Способы обработки ПДн: автоматизированная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.18. Запись гостя на физкультурно-оздоровительные услуги фитнес и СПА-центра:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: ФИО, дата рождения, фото, противопоказания, паспортные данные, контактный номер телефона, адрес электронной почты, выбранные услуги, дата/время начала и окончания оказания услуг.
• Категории субъектов ПДн: гости.
• Способы обработки ПДн: смешанная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.19. Предоставление услуг обслуживания:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: собственники апартаментов - ФИО, паспортные данные, контактный номер телефона, адрес электронной почты, доля собственника в недвижимости: здании апарт-отеля «Камелия», Многофункционального апарт-отеля «Камелия», кадастровые номера помещений и/или машино-мест; работник ООО «УК Камелия» - ФИО, должность, организация.
• Категории субъектов ПДн: собственники апартаментов, работник ООО «УК Камелия».
• Способы обработки ПДн: смешанная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.20. Прохождение периодического медицинского осмотра:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: ФИО, должность, организация, возраст.
• Категории субъектов ПДн: работник ООО «УК Камелия».
• Способы обработки ПДн: смешанная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.21. Учет собственников апартаментов:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: ФИО, лицевой счет, адрес, кадастровый номер объекта недвижимого имущества, площадь помещения, информация о помещении (для расчета задолжностипо коммунальным услугам).
• Категории субъектов ПДн: собственники апартаментов.
• Способы обработки ПДн: автоматизированная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.22. Техническая поддержка информационных ресурсов ООО «УК Камелия» (1С: ЖКХ):

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: в объеме БД ИСПДн, к которой имеется доступ.
• Категории субъектов ПДн: работники ООО «УК Камелия», представители контрагентов.
• Способы обработки ПДн: автоматизированная.
• Сроки обработки и хранения: до достижения целей обработки ПДн, либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.23. Резервирование даты мероприятия:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: фамилия, имя, отчество, номер телефона, желаемая дата мероприятия.
• Категории субъектов ПДн: пользователи сайта.
• Способы обработки ПДн: автоматизированная.
• Сроки обработки и хранения: до достижения целей обработки ПДн (до даты проведения мероприятия либо его отмены/аннуляции бронирования), либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

8.1.24. Коллтрекинг:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: источник трафика (рекламная площадка, тип трафика, объявление), ключевые слова (поисковый запрос, по которому пользователь перешел на сайт), UTM-метки (полная аналитическая информация из меток utm_source, utm_medium, utm_campaign и др.), технические данные о звонке и клиенте, номер телефона (реальный номер, с которого позвонил пользователь), статус и тип звонка (уникальный или повторный вызов, пропущенный или принятый), длительность звонка (общая продолжительность и время ожидания на линии), запись разговора (аудиофайл с возможностью прослушивания из CRM), геоданные (город и регион абонента), данные о сессии на сайте, устройство и браузер, поведение на сайте (страницы входа, глубина просмотра и путь пользователя до звонка).
• Категории субъектов ПДн: пользователи сайта.
• Способы обработки ПДн: автоматизированная.
• Сроки обработки и хранения: записи разговоров — не более 6 месяцев с даты звонка, иные данные коллтрекинга — не более 1 года , либо до момента отзыва согласия.
• Порядок уничтожения ПДн: приведен в разделе 10.

Обработка записей разговоров осуществляется исключительно для контроля качества обслуживания, разрешения спорных ситуаций и обучения персонала Оператора.

8.1.25. Формирование внутренних общедоступных источников персональных данных:

• Категории обрабатываемых ПДн: иные.
• Перечень обрабатываемых ПДн: фамилия, имя, отчество, дата рождения, адрес электронной почты, номер телефона, должность.
• Категории субъектов ПДн: работники.
• Способы обработки ПДн: автоматизированная.
• Сроки обработки и хранения: до прекращения трудовых отношений с работником, до достижения цели обработки, истечение срока обработки, предусмотренного законом, договором или согласием субъекта персональных данных на обработку его персональных данных, отзыв субъектом персональных данных (или его представителя) согласия на обработку его персональных данных.
• Правовое основание для обработки ПДн в ИСПДн: договоры, заключаемые между оператором и субъектом персональных данных, Согласие субъекта персональных данных на обработку его персональных данных

8.1.26. Оформление командировочных проездных документов, покупка билетов, бронирование гостиниц:

• Категории обрабатываемых персональных данных: иные.
• Перечень обрабатываемых персональных данных: фамилия, имя, отчество, адрес электронной почты, адрес регистрации, номер телефона, данные документа, удостоверяющего личность, должность.
• Категории субъектов персональных данных: работники.
• Способы обработки персональных данных: автоматизированная.
• Сроки обработки и хранения: до достижения цели обработки прекращение деятельности Оператора, ликвидация Оператора, истечение срока обработки, предусмотренного законом, договором или согласием субъекта персональных данных на обработку его персональных данных, отзыв субъектом персональных данных (или его представителя) согласия на обработку его персональных данных с учетом достижения условий, предусмотренных ст. 21 ФЗ «О персональных данных».
• Правовое основание для обработки ПДн в ИСПДн: договоры, заключаемые между Оператором и субъектом персональных данных, Согласие субъекта персональных данных на обработку его персональных данных.

8.1.27. Организация процесса бронирования номерного фонда:

• Категории обрабатываемых персональных данных: иные.
• Перечень обрабатываемых персональных данных: фамилия, имя, отчество, адрес электронной почты, номер телефона.
• Категории субъектов персональных данных: посетители сайта.
• Способы обработки персональных данных: автоматизированная.
• Сроки обработки и хранения: до достижения цели обработки, прекращение деятельности Оператора, ликвидация Оператора, истечение срока обработки, предусмотренного законом, договором или согласием субъекта персональных данных на обработку его персональных данных, отзыв субъектом персональных данных (или его представителя) согласия на обработку его персональных данных с учетом достижения условий, предусмотренных ст. 21 ФЗ «О персональных данных».
• Правовое основание для обработки ПДн в ИСПДн: договоры, заключаемые между Оператором и субъектом персональных данных, Согласие субъекта персональных данных на обработку его персональных данных.

8.1.28. Объем и содержание персональных данных студентов в целях обеспечения прохождения ознакомительной, производственной или преддипломной практики на основании договора с учебным заведением, а также в целях закрепления и расширения знаний, полученных в период обучения:

• Перечень обрабатываемых персональных данных: фамилия, имя, отчество, год рождения, месяц рождения, дата рождения, место рождения, адрес места жительства, сведения о состоянии здоровья, семейное положение, сведения об образовании (в том числе форма обучения, курс, специальность), сведения о деловых и личных качествах, автобиографические данные, сведения о владении иностранными языками, профессия, данные документа, удостоверяющего личность, должность, номер телефона, адрес электронной почты, ИНН, СНИЛС, пол, адрес регистрации, гражданство, иные данные резюме, в том числе анкетирования на усмотрение студента, сообщаемые о себе добровольно в любых доступных формах.
• Категории обрабатываемых персональных данных: общедоступные, иные, специальные
• Способы обработки персональных данных: автоматизированная.
• Сроки обработки и хранения: до достижения цели обработки, прекращение деятельности Оператора, ликвидация Оператора, истечение срока обработки, предусмотренного законом, договором или согласием субъекта персональных данных на обработку его персональных данных, отзыв субъектом персональных данных (или его представителя) согласия на обработку его персональных данных с учетом достижения условий, предусмотренных ст. 21 ФЗ «О персональных данных».

Правовое основание для обработки персональных данных в информационной системе персональных данных: Федеральный закон от 29.12.2012 № 273-ФЗ «Об образовании в Российской Федерации», договоры, заключаемые между Оператором и субъектом персональных данных, согласие субъекта персональных данных на обработку его персональных данных.

9. Доступ к обработке персональных данных

9.1. Доступ к обработке персональных данных ограничивается в соответствии с федеральными законами и настоящим Положением.

9.2. Общество не вправе разглашать полученные им в результате своей деятельности персональные данные без согласия субъектов персональных данных.

9.3. Доступ к обработке персональных данных с использованием и/или без использования средств автоматизации, разрешен только уполномоченным работникам структурных подразделений в соответствии с Перечнем подразделений, в которых осуществляется обработка персональных данных, утверждаемым приказом Генерального директора Общества. Доступ к обработке персональных данных для выполнения служебных обязанностей предоставляется на основании заявки руководителя структурного подразделения при организации рабочего места работнику Общества.

9.4. Все изменения Перечня подразделений, в которых осуществляется обработка персональных данных, утверждается приказом Генерального директора Общества. Информация для изменения Перечня предоставляется руководителями подразделений, которым необходим доступ к персональным данным для выполнения должностных обязанностей.

9.5. Все работники Общества, получившие доступ к персональным данным, принимают обязательства по обеспечению конфиденциальности обрабатываемых персональных данных, которые определены:

• трудовым договором;
• должностными инструкциями в части обеспечения безопасности персональных данных.

9.6. Доступ к местам хранения носителей персональных данных определяется в соответствии с Перечнем мест хранения материальных носителей персональных данных, утверждаемых Генеральным директором Общества.

9.7. Предоставление доступа к персональным данным органам государственным власти.

9.7.1. Органам государственной власти, иным государственным органам, органам местного самоуправления, обладающим правом на получение информации, содержащей персональные данные в соответствии с действующим законодательством Российской Федерации, персональные данные передаются в пределах, необходимых для выполнения ими своих функций.

9.7.2. Доступ к персональным данным, обрабатываемым в Обществе, на основании и во исполнение нормативных правовых актов, предоставляется:

• Федеральной инспекции труда и федеральным органам исполнительной власти, осуществляющим функции по контролю и надзору в установленной сфере деятельности;
• Федеральной налоговой службе и межрегиональным инспекциям, и управлениям Федеральной налоговой службы по субъектам РФ;
• Федеральной службе государственной статистики и её территориальным органам;
• Федеральному фонду обязательного медицинского страхования и его территориальным органам;
• Министерству внутренних дел;
• военным комиссариатам;
• Фонду социального страхования РФ;
• Пенсионному фонду РФ;
• судам;
• органам прокуратуры и иным правоохранительным органам.

9.7.3. Общество предоставляет сведения, содержащие персональные данные работников, в Пенсионный фонд РФ, Федеральную налоговую службу, Министерству внутренних дел по телекоммуникационным каналам связи и, в соответствии с требованиями законодательства, использует криптографические средства для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных.

9.7.4. Обязательный доступ к персональным данным предоставляется в следующих случаях, предусмотренных федеральными законами:

• в целях предупреждения угрозы жизни и здоровью субъекта персональных данных;
• в целях защиты основ конституционного строя, нравственности, прав и законных интересов других лиц;
• в целях обеспечения обороны страны и безопасности государства, в том числе при поступлении официальных запросов в соответствии с положениями Федерального закона от 12.08.1995 № 144-ФЗ «Об оперативно-розыскной деятельности».

9.8. Предоставление доступа к персональным данным иным лицам.

9.8.1. Внешние организации для получения доступа к персональным данным работников Общества обязаны предоставить Обществу в письменной форме запрос (Приложение 6), подписанный руководителем организации и заверенный печатью и/или личной подписью.

9.8.2. Общество предоставляет персональные данные иным лицам только после получения письменного согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

9.8.3. В случаях, если при заключении договоров с юридическими и физическими лицами на основании заключенных договоров (либо иных оснований), они должны иметь доступ к ПДн, между Обществом и контрагентом подписывается Соглашение о конфиденциальности.

9.9. Обращения (запросы) на предоставление доступа к обрабатываемым персональным данным, с отметкой о предоставлении информации по запросу или отказе в предоставлении информации по запросу фиксируется в соответствующем Журнале учета обращений субъектов персональных данных (Приложение 7).

9. Доступ к обработке персональных данных

9.1. Доступ к обработке персональных данных ограничивается в соответствии с федеральными законами и настоящим Положением.

9.2. Общество не вправе разглашать полученные им в результате своей деятельности персональные данные без согласия субъектов персональных данных.

9.3. Доступ к обработке персональных данных с использованием и/или без использования средств автоматизации, разрешен только уполномоченным работникам структурных подразделений в соответствии с Перечнем подразделений, в которых осуществляется обработка персональных данных, утверждаемым приказом Генерального директора Общества. Доступ к обработке персональных данных для выполнения служебных обязанностей предоставляется на основании заявки руководителя структурного подразделения при организации рабочего места работнику Общества.

9.4. Все изменения Перечня подразделений, в которых осуществляется обработка персональных данных, утверждается приказом Генерального директора Общества. Информация для изменения Перечня предоставляется руководителями подразделений, которым необходим доступ к персональным данным для выполнения должностных обязанностей.

9.5. Все работники Общества, получившие доступ к персональным данным, принимают обязательства по обеспечению конфиденциальности обрабатываемых персональных данных, которые определены:

• трудовым договором;
• должностными инструкциями в части обеспечения безопасности персональных данных.

9.6. Доступ к местам хранения носителей персональных данных определяется в соответствии с Перечнем мест хранения материальных носителей персональных данных, утверждаемых Генеральным директором Общества.

9.7. Предоставление доступа к персональным данным органам государственным власти.

9.7.1. Органам государственной власти, иным государственным органам, органам местного самоуправления, обладающим правом на получение информации, содержащей персональные данные в соответствии с действующим законодательством Российской Федерации, персональные данные передаются в пределах, необходимых для выполнения ими своих функций.

9.7.2. Доступ к персональным данным, обрабатываемым в Обществе, на основании и во исполнение нормативных правовых актов, предоставляется:

• Федеральной инспекции труда и федеральным органам исполнительной власти, осуществляющим функции по контролю и надзору в установленной сфере деятельности;
• Федеральной налоговой службе и межрегиональным инспекциям, и управлениям Федеральной налоговой службы по субъектам РФ;
• Федеральной службе государственной статистики и её территориальным органам;
• Федеральному фонду обязательного медицинского страхования и его территориальным органам;
• Министерству внутренних дел;
• военным комиссариатам;
• Фонду социального страхования РФ;
• Пенсионному фонду РФ;
• судам;
• органам прокуратуры и иным правоохранительным органам.

9.7.3. Общество предоставляет сведения, содержащие персональные данные работников, в Пенсионный фонд РФ, Федеральную налоговую службу, Министерству внутренних дел по телекоммуникационным каналам связи и, в соответствии с требованиями законодательства, использует криптографические средства для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных.

9.7.4. Обязательный доступ к персональным данным предоставляется в следующих случаях, предусмотренных федеральными законами:

• в целях предупреждения угрозы жизни и здоровью субъекта персональных данных;
• в целях защиты основ конституционного строя, нравственности, прав и законных интересов других лиц;
• в целях обеспечения обороны страны и безопасности государства, в том числе при поступлении официальных запросов в соответствии с положениями Федерального закона от 12.08.1995 № 144-ФЗ «Об оперативно-розыскной деятельности».

9.8. Предоставление доступа к персональным данным иным лицам.

9.8.1. Внешние организации для получения доступа к персональным данным работников Общества обязаны предоставить Обществу в письменной форме запрос (Приложение 6), подписанный руководителем организации и заверенный печатью и/или личной подписью.

9.8.2. Общество предоставляет персональные данные иным лицам только после получения письменного согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

9.8.3. В случаях, если при заключении договоров с юридическими и физическими лицами на основании заключенных договоров (либо иных оснований), они должны иметь доступ к ПДн, между Обществом и контрагентом подписывается Соглашение о конфиденциальности.

9.9. Обращения (запросы) на предоставление доступа к обрабатываемым персональным данным, с отметкой о предоставлении информации по запросу или отказе в предоставлении информации по запросу фиксируется в соответствующем Журнале учета обращений субъектов персональных данных (Приложение 7).

10. Порядок хранения и уничтожения персональных данных

10.1. При автоматизированной обработке не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

10.2. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельные носители персональных данных.

10.3. При разработке типовых форм документов для фиксации персональных данных необходимо соблюдать следующие требования:

10.3.1. Типовая форма или связанные с ней документы, содержащие персональные данные субъекта, должны содержать сведения о цели обработки персональных данных, адрес Общества, источник получения персональных данных, сроки обработки персональных данных, перечень действий и способов обработки персональных данных.

10.3.2. Типовая форма должна содержать поле, в котором субъект персональных данныхможет поставить отметку о своем согласии на обработку персональных данных при условии необходимости получения письменного согласия на обработку персональных данных в соответствии с п. 5.1.5. настоящего Положения.

10.3.3. В типовой форме должно быть исключено объединение полей, предназначенных для внесения персональных данных, если цели их обработки несовместимы.

10.3.4. В типовой форме не должны содержаться, поля для фиксации персональных данных, не предназначенных для заявленных целей обработки персональных данных.

10.4. Уточнение (изменение, обновление) персональных данных осуществляется путем фиксации таких персональных данных на новый носитель.

10.5. Общество устанавливает следующий режим хранения носителей персональных данных:

10.5.1. Структурные подразделения Общества обеспечивают раздельное хранение носителейперсональных данных, обработка которых осуществляется в различных целях в соответствии с «Перечнем мест хранения материальных носителей персональных данных Общества». Перечень утверждается приказом Генерального директора Общества.

10.5.2. На все указанные места хранения распространяются следующие правила:

• носители персональных данных хранятся в запираемых шкафах или в сейфах.
• ключи от запираемых шкафов хранятся у уполномоченного лица структурного подразделения.

10.6. Общество обеспечивает сохранность персональных данных путем установления мер, исключающих несанкционированный доступ к персональным данным. К таким мерам относятся:

• ограничение круга лиц, имеющих право доступа к местам хранения носителей персональных данных, резервным копиям баз данных информационных систем персональных данных Общества (далее – ИСПДн);
• регистрация съемных носителей персональных данных, учет их выдачи в соответствующем Журнале учета регистрации, контроль уничтожения персональных данных – дискет, компакт-дисков, flash-накопителей (Приложение 8).

10.7. Общество обеспечивает хранение носителей персональных данных в течение сроков, установленных Приказом Росархива от 20.12.2019 № 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения» ииными требованиями законодательства Российской Федерации.

10.8. Сроки хранения персональных данных, обрабатываемых в ИСПДн Общества, соответствуют срокам хранения носителей персональных данных.

10.9. Персональные данные, обрабатываемые в ИСПДн, а также носители персональных данных должны быть уничтожены по достижении целей их обработки или в случае утраты необходимости в достижении цели обработки, в случае получения отзыва согласия субъекта на обработку персональных данных, если Общество не вправе продолжить обработку соответствующих персональных данных без согласия субъекта.

10.10. Уничтожение либо обезличивание персональных данных должно производиться в соответствии с Регламентом уничтожения персональных данных Общества и Приказом Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных».

11. Взаимодействие с регулирующими органами

11.1. При получении правомерного запроса уполномоченного органа по защите прав субъектовперсональных данных Общество обязано представить мотивированный ответ в течение 30 (тридцати) дней с даты получения запроса.

11.2. В случае проведения проверок Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций за соответствием обработки персональных данных требованиям законодательства РФ в области персональных данных, сведения о результатах проверки вносятся в журнал учета проверок (Приложение 9).

12. Ответственность

12.1.1. Лица, виновные в нарушении требований Закона о персональных данных, несут предусмотренную законодательством Российской Федерации ответственность.

12.1.2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, а также требований к защите персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков.

12.1.3. За нарушение требований, относящихся к обработке персональных данных, установленных трудовым договором, должностной инструкцией, положениями, регламентами, иными локальными актами Общества, а также приказами Генерального директора Общества Работники Общества несут ответственность, установленную локальными актами Общества.

13. Порядок внесения изменений

13.1. Общество имеет право вносить изменения в настоящее Положение, а также утверждать Положение в новой редакции. Настоящее Положение пересматривается регулярно и в случае изменения законодательства Российской Федерации в области обработки персональных данных.

13.2. Все изменения отражаются в Листе изменений.

13.3. Измененное Положение утверждается в установленном порядке.

14. Безопасность персональных данных

14.1. У Оператора должны быть назначены лица, ответственные за организацию обработки персональных данных и обеспечение безопасности персональных данных.

14.2. Безопасность персональных данных Оператора обеспечивается с помощью системы защиты персональных данных, включающей организационные и технические меры.

14.3. В целях обеспечения безопасности персональных данных должны выполняться следующие мероприятия:

• систематическая оценка угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• оценка причинения вреда и (или) нанесения ущерба субъектам персональных данных в случае нарушения законодательства о персональных данных;
• определение необходимого уровня защищенности персональных данных, обрабатываемых в информационных системах Оператора, в соответствии с Постановлением Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• разграничение доступа к информационным системам персональных данных, материальным носителям (документам), съемным (машинным) носителям персональных данных;
• регистрация и учет действий пользователей и администраторов информационных систем персональных данных, программными средствами обработки, передачи и защиты информации;
• предотвращение внедрения в информационные системы Оператора вредоносных программ;
• использование защищенных каналов связи;
• резервирование и восстановление работоспособности технических средств и программного обеспечения, баз данных и средств защиты информационных систем;
• исключение возможности бесконтрольного прохода в помещения Оператора, где размещены технические средства, позволяющие осуществлять обработку персональных данных, а также хранятся носители персональных данных;
• выявление инцидентов, связанных с нарушением требований по обработке и обеспечению безопасности персональных данных, и реагирование на них;
• повышение уровня знаний работников Оператора в сфере обработки и обеспечения безопасности персональных данных;
• проведение внутренних и внешних проверок (аудитов) соответствия безопасности персональных данных требованиям настоящей Политики, требованиям Федерального закона № 152-ФЗ «О персональных данных»;
• оценка эффективности принимаемых мер по обеспечению безопасности персональных данных и совершенствование системы защиты персональных данных.

15. Уведомление уполномоченного органа по защите прав субъектов персональных данных

15.1. В случаях, установленных Федеральным законом № 152-ФЗ «О персональных данных», Оператор направляет уведомление об обработке персональных данных в уполномоченный орган по защите прав субъектов персональных данных.

15.2. В случае изменений сведений об обработке персональных данных Оператор уведомляет об этом уполномоченный орган по защите прав субъектов персональных данных в порядке и сроки, установленные частью 7 статьи 22 Федерального закона № 152-ФЗ «О персональных данных».

15.3. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Оператор с момента выявления такого инцидента, уведомляет уполномоченный орган по защите прав субъектов персональных данных:

15.4. в течение 24 (двадцати четырех) часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;

15.5. в течение 72 (семидесяти двух) часов о результатах внутреннего расследования выявленного инцидента, а также о лицах, действия которых стали причиной выявленного инцидента (при наличии).

15.6. Оператор сообщает по запросу уполномоченного органа по защите прав субъектов персональных данных необходимую информацию в течение 10 (десяти) рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Оператором в адрес уполномоченного органа по защите прав субъектов персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

16. Обработка персональных данных, осуществляемая без использования средств автоматизации

16.1. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, для каждой категории персональных данных используется отдельный материальный носитель.

16.2. Лица, осуществляющие обработку персональных данных без использования средств автоматизации, должны быть проинформированы о факте неавтоматизированной обработки ими персональных данных, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки в соответствии с настоящим Положением.

16.3. При ведении журналов (реестров, книг), содержащих персональные данные, необходимые для однократного пропуска субъекта персональных данных на территорию, на которой находится Оператор, или в иных аналогичных целях, должны соблюдаться следующие условия:

• необходимость ведения такого журнала (реестра, книги) предусмотрена актом Общества, содержащим сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, способы фиксации и состав информации, запрашиваемой у субъектов персональных данных, перечень лиц (поименно или по должностям), имеющих доступ к материальным носителям и ответственных за ведение и сохранность журнала (реестра, книги), сроки обработки персональных данных, а также сведения о порядке пропуска субъекта персональных данных на территорию, на которой находится Общества, без подтверждения подлинности персональных данных, сообщенных субъектом персональных данных;
• копирование содержащейся в таких журналах (реестрах, книгах) информации не допускается;
• персональные данные каждого субъекта персональных данных могут заноситься в такой журнал (книгу, реестр) не более одного раза в каждом случае пропуска субъекта персональных данных на территорию, на которой находится Общество.

16.4. При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных, должны быть приняты меры по обеспечению раздельной обработки персональных данных, в частности:

• при необходимости использования или распространения определенных персональных данных отдельно от находящихся на том же материальном носителе других персональных данных осуществляется копирование персональных данных, подлежащих распространению или использованию, способом, исключающим одновременное копирование персональных данных, не подлежащих распространению и использованию, и используется (распространяется) копия персональных данных;
• при необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.

17. Меры по обеспечению безопасности персональных данных при их обработке, осуществляемой без использования средств автоматизации

17.1. Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ. Типовая форма «Перечня мест хранения материальных носителей персональных данных» приведена в Приложении 10 к настоящему Положению.

17.2. Необходимо обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.

17.3. При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.

18. Уничтожение материальных носителей персональных данных

18.1. Уничтожение материальных носителей персональных данных осуществляет комиссия по уничтожению персональных данных из состава работников Общества, создаваемая приказом.

18.2. Материальные носители персональных данных (документы, их копии, выписки), уничтожаются путем измельчения на мелкие части (шредирование), исключающие возможность последующего восстановления информации, или сжигаются.

18.3. Уничтожение части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).

18.4. По окончании уничтожения материальных носителей персональных данных комиссией составляется Акт об уничтожении персональных данных.

18.5. Акт об уничтожении персональных данных подлежит хранению в течение 3 лет с момента уничтожения персональных данных.

19. Заключительные положения

19.1. Настоящая Политика подлежит пересмотру и совершенствованию в случаях изменения законодательства Российской Федерации или внутренних нормативных документов Оператора, определяющих порядок обработки и защиты персональных данных.

19.2. Контроль исполнения требований настоящей Политики осуществляется лицами, ответственными за организацию обработки персональных данных и ответственными обеспечение безопасности персональных данных.

19.3. Ответственность должностных лиц Оператора, имеющих доступ к персональным данным, за невыполнение требований и норм, регулирующих обработку и защиту персональных данных, определяется в соответствии с законодательством Российской Федерации и внутренними нормативным документами Оператора.