Политика в отношении обработки персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ

Индивидуальный предприниматель Бареева Ирина Анатольевна, адрес местонахождения: 450015, Российская Федерация, Республика Башкортостан, г. Уфа, бульвар Ибрагимова, д. 32, кв. 97, далее – Оператор) при осуществлении своей деятельности уделяет приоритетное внимание вопросам обеспечения информационной безопасности. У Оператора принят комплекс правовых, организационных и технических мер, направленных на защиту информации о клиентах, работниках, контрагентах и других субъектов персональных данных.

Настоящая политика Оператора в отношении обработки персональных данных (далее – политика) предоставляет информацию об основных принципах обработки персональных данных (далее – ПДн) и реализуемых требованиях к защите ПДн. Политика разработана в соответствии с требованиями федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – ФЗ-152) и принятых в соответствии с ним подзаконных нормативных актов.

В Политике используются следующие основные понятия:

персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

Положения Политики распространяются на отношения по обработке и защите ПДн, полученных Оператором как до, так и после утверждения Политики, за исключением случаев, когда по причинам правового, организационного и иного характера положения Политики не могут быть распространены на отношения по обработке и защите ПДн, полученных до ее утверждения.

Настоящая политика является общедоступным документом и подлежит к неограниченному распространению.

2. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Обработка персональных данных у Оператора осуществляется на основе принципов:

законности и справедливости основы обработки ПДн, законности целей и способов обработки ПДн;
соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе ПДн, а также полномочиям Оператора;
соответствия содержания и объема обрабатываемых ПДн, способов обработки ПДн заявленным целям обработки ПДн;
обеспечения точности, достаточности и актуальности ПДн по отношению к целям их обработки, недопустимости избыточности обрабатываемых ПДн по отношению к заявленным целям их обработки;
недопустимости объединения созданных для несовместимых между собой целей баз данных ПДн.
комплексности, в соответствии с которым защита ПДн строится с использованием функциональных возможностей информационных технологий, реализованных в информационных системах Оператора и других имеющихся у Оператора систем и средств защиты;
непрерывности обеспечения защиты ПДн на всех этапах их обработки и во всех режимах функционирования систем обработки ПДн, в том числе при проведении ремонтных и регламентных работ;
своевременности мер, обеспечивающих надлежащий уровень безопасности ПДн, принимающиеся до начала их обработки;
персональной ответственности за обеспечение безопасности ПДн, возложенной на Работников в пределах их обязанностей, связанных с обработкой и защитой ПДн.

Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

При определении состава обрабатываемых персональных данных субъектов персональных данных Оператор руководствуется минимально необходимым составом персональных данных для достижения целей получения персональных данных.

3. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор осуществляет обработку ПДн для достижения следующих целей:

Обеспечение соблюдения трудового законодательства РФ;
Ведение кадрового и бухгалтерского учета;
Обеспечение пропускного режима на территорию оператора;
Продвижение товаров, работ, услуг на рынке;
Подготовка, заключение и исполнение гражданско-правового договора;
Проведение мероприятий по урегулированию заявлений, претензий, сообщений клиентов по вопросам качества обслуживания;
Оформление карты в клуб ФИТНЕС-АРЕНА 3000, организация и проведение физкультурных, физкультурно-оздоровительных мероприятий в ФИТНЕС-АРЕНЕ 3000;
Подбор персонала (соискателей) на вакантные должности оператора;
Осуществление функций, полномочий и обязанностей, возложенных на Оператора действующим законодательством Российской Федерации;
Контроль качества использования Сайтов и иных сервисов, а также сбор статистики и осуществление прочей аналитики в отношении Сайтов.

Содержание и объем обрабатываемых персональных данных соответствует заявленным целям обработки:

1)Обеспечение соблюдения трудового законодательства РФ.

Обрабатываемые персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; социальное положение; доходы; пол; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; данные документа, содержащиеся в свидетельстве о рождении; номер лицевого счета; профессия; должность; сведения о трудовой деятельности; отношение к воинской обязанности, сведения о воинском учете; сведения об образовании, государственные награды, иные награды и знаки отличия; сведения о профессиональной переподготовке и (или) повышении квалификации; информация о ежегодных оплачиваемых отпусках, учебных отпусках и отпусках без сохранения денежного содержания; сведения о владении иностранными языками и языками народов Российской Федерации; сведения об ученой степени, ученом звании; сведения о льготах, на которые работник имеет право в соответствии с законодательством. Специальные категории персональных данных: сведения о состоянии здоровья, сведения о судимости.

Категории субъектов, персональные данные которых обрабатываются: работники, родственники работников, уволенные работники.

Правовое основание обработки персональных данных: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; передача (предоставление, доступ); обезличивание; блокирование; удаление; уничтожение.

Способы обработки: смешанная, с передачей по внутренней сети юридического лица, с передачей по сети Интернет.

2)Ведение кадрового и бухгалтерского учета.

Категории субъектов, персональные данные которых обрабатываются: работники, соискатели, родственники работников, уволенные работники.

3)Обеспечение пропускного режима на территорию оператора.

Обрабатываемые персональные данные: фамилия, имя, отчество; данные документа, удостоверяющего личность. Биометрические персональные данные: данные изображения лица полученные с помощью фото-видео устройств, позволяющие установить личность субъекта персональных данных.

Категории субъектов, персональные данные которых обрабатываются: работники, клиенты.

Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; удаление; уничтожение.

Способы обработки: смешанная, с передачей по внутренней сети юридического лица, без передачи по сети Интернет.

4)Продвижение товаров, работ, услуг на рынке.

Категории субъектов, персональные данные которых обрабатываются: клиенты, работники, посетители сайта.

Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; обезличивание; блокирование; удаление; уничтожение; распространение.

5)Подготовка, заключение и исполнение гражданско-правового договора.

Обрабатываемые персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; данные документа, удостоверяющего личность; номер расчетного счета; номер лицевого счета; сведения об образовании, полис ОМС. Специальные категории персональных данных: сведения о состоянии здоровья, сведения о судимости.

Категории субъектов, персональные данные которых обрабатываются: соискатели, исполнители, клиенты.

Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; передача (предоставление); обезличивание; блокирование; удаление; уничтожение.

6)Проведение мероприятий по урегулированию заявлений, претензий, сообщений клиентов по вопросам качества обслуживания.

Обрабатываемые персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; адрес электронной почты; почтовый адрес; адрес места жительства; адрес регистрации; номер телефона; данные документа, удостоверяющего личность; данные документа, содержащиеся в свидетельстве о рождении. Специальные категории персональных данных: сведения о состоянии здоровья.

Категории субъектов, персональные данные которых обрабатываются: клиенты.

7)Оформление карты в клуб ФИТНЕС-АРЕНА 3000, организация и проведение физкультурных, физкультурно-оздоровительных мероприятий в ФИТНЕС-АРЕНЕ 3000.

Обрабатываемые персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; адрес электронной почты; почтовый адрес; адрес места жительства; адрес регистрации; номер телефона; гражданство; должность; данные документа, удостоверяющего личность; данные документа, содержащиеся в свидетельстве о рождении; сведения о трудовой деятельности, полис ОМС, место работы. Специальные категории персональных данных: сведения о состоянии здоровья.

Категории субъектов, персональные данные которых обрабатываются: клиенты, дети клиентов.

8)Подбор персонала (соискателей) на вакантные должности оператора.

Обрабатываемые персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; адрес электронной почты; адрес места жительства; номер телефона; профессия; сведения об образовании.

Категории субъектов, персональные данные которых обрабатываются: соискатели.

Перечень действий: сбор; систематизация; хранение; использование; удаление; уничтожение.

Способы обработки: смешанная, с передачей по внутренней сети юридического лица; с передачей по сети Интернет.

9)Осуществление функций, полномочий и обязанностей, возложенных на Оператора действующим законодательством Российской Федерации.

Обрабатываемые персональные данные: фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; данные документа, удостоверяющего личность; сведения об образовании. Специальные категории персональных данных: сведения о состоянии здоровья, сведения о судимости.

Категории субъектов, персональные данные которых обрабатываются: работники.

Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; передача (предоставление, доступ), обезличивание; блокирование; удаление; уничтожение.

10) Контроль качества использования Сайтов и иных сервисов, а также сбор статистики и осуществление прочей аналитики в отношении Сайтов.

Обрабатываемые персональные данные: Сведения, собираемые посредством метрических программ.

Категории субъектов, персональные данные которых обрабатываются: посетители сайта.

Перечень действий: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; блокирование; удаление; уничтожение.

Способы обработки: автоматизированная, без передачи по внутренней сети юридического лица, с передачей по сети Интернет.

4. ИСПОЛЬЗОВАНИЕ ФАЙЛОВ COOKIE И СЕРВИСОВ ВЕБ-АНАЛИТИКИ

На сайте Оператора используются технологии файлов cookie и сервисы веб-аналитики третьих лиц, в том числе «Яндекс.Метрика» и «top.mail.ru» (далее — «Сервисы аналитики»).

Файлы cookie и Сервисы аналитики позволяют Оператору получать обезличенную информацию о пользовании Сайтом и улучшать работу Сайта и качество предоставляемых услуг.

С помощью файлов cookie и Сервисов аналитики могут обрабатываться следующие категории данных пользователей:

идентификаторы файлов cookie, иные технические идентификаторы пользователя;
данные о действиях на Сайте (просмотренные страницы, время посещения, последовательность переходов, клики по элементам интерфейса);
информация об источнике перехода на Сайт (поисковые системы, рекламные материалы, ссылки с других ресурсов);
техническая информация об устройстве и программном обеспечении (тип устройства, операционная система, тип и версия браузера, разрешение экрана);
приблизительные данные о местоположении (город, регион).

Цели обработки указанных данных:

анализ посещаемости Сайта и поведения пользователей;
повышение удобства пользования Сайтом, оптимизация его структуры и содержания;
улучшение качества обслуживания и предоставляемых услуг;
оценка эффективности рекламных и маркетинговых кампаний.

Правовым основанием обработки данных, собираемых с использованием файлов cookie и Сервисов аналитики, является:

согласие субъекта персональных данных на обработку его персональных данных, выраженное путем продолжения использования Сайта после отображения информационного сообщения (баннера) о применении файлов cookie и Сервисов аналитики и возможности ознакомиться с настоящей Политикой;
законные интересы Оператора по анализу работы Сайта и улучшению предоставляемых услуг при условии, что при этом не нарушаются права и свободы субъекта персональных данных (в части, допустимой действующим законодательством Российской Федерации).

Пользователь вправе в любой момент:

настроить параметры обработки файлов cookie в используемом браузере (вплоть до полного запрета использования cookie);
удалить ранее сохранённые файлы cookie через настройки браузера;
при прекращении использования Сайта прекратить дальнейшую обработку данных, связанной с его посещением.

Ограничение использования и/или удаление файлов cookie может повлиять на корректность работы отдельных функций и разделов Сайта.

5. УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Обработка персональных данных Оператором осуществляется на основании пунктов 1, 2 части 1 статьи 6 ФЗ-152 с согласия субъекта персональных данных на обработку его персональных данных, а также для осуществления и выполнения, возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей.

Обработка персональных данных осуществляется в соответствии с целями, заранее определенными и заявленными при сборе персональных данных, а также полномочиями Оператора, определенными действующим законодательством Российской Федерации, соглашениями о взаимодействии, договорными отношениями с клиентами Оператора.

Получение и обработка персональных данных в случаях, предусмотренных ФЗ-152, осуществляется Оператором с письменного согласия субъекта персональных данных. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено ФЗ-152.

Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, Оператором не осуществляется.

Обработка сведений о состоянии здоровья осуществляется в соответствии с тру-довым кодексом, ФЗ «Об обязательном медицинском страховании в РФ», а также п.2.3 ч.2 ст.10 ФЗ-152.

Сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность (биометрические персональные данные), могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, если иное не установлено действующим законодательством.

Персональные данные субъекта могут быть получены Оператором от лица, не являющегося субъектом персональных данных, при условии предоставления Опера-тору подтверждения наличия оснований, указанных в п.п. 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 ФЗ-152 или иных оснований, предусмотренных федеральным законодательством.

Право доступа к персональным данным субъектов персональных данных на бумажных и электронных носителях имеют работники Оператора в соответствии с их должностными обязанностями.

Передача персональных данных субъектов персональных данных третьим лицам осуществляется Оператором в соответствии с требованиями действующего законодательства.

Оператор вправе поручить обработку ПДн третьей стороне с согласия субъекта ПДн и в иных случаях, предусмотренных действующим законодательством Российской Федерации, на основании заключаемого с этой стороной договора, (далее – поручение). Третья сторона, осуществляющая обработку ПДн по поручению Оператора, обязана соблюдать принципы и правила обработки персональных данных, предусмотренные ФЗ-152, обеспечивая конфиденциальность и безопасность ПДн при их обработке.

6. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

подтверждение факта обработки персональных данных Оператором;
правовые основания и цели обработки персональных данных;
цели и применяемые Оператором способы обработки персональных данных;
наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании ФЗ-152;
обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен ФЗ-152;
сроки обработки персональных данных, в том числе сроки их хранения;
порядок осуществления субъектом персональных данных прав, предусмотренных ФЗ-152;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
иные сведения, предусмотренные ФЗ-152 или другими федеральными законами.

6. СВЕДЕНИЯ О РЕАЛИЗУЕМЫХ ТРЕБОВАНИЯХ К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

Меры по обеспечению безопасности персональных данных при их обработке, применяемые Оператором, планируются и реализуются в целях обеспечения соответствия требованиям, приведенным в статье 19 ФЗ-152.

В соответствии со статьей 18.1 ФЗ-152 Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения требований законодательства. Оператор, в частности, принял следующие меры:

назначен ответственный за организацию обработки ПДн;
разработаны и внедрены локальные акты по вопросам обработки ПДн, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений установленных процедур по обработке ПДн и устранение последствий таких нарушений;
применяются правовые, организационные и технические меры по обеспечению безопасности ПДн в соответствии со статьей 19 ФЗ-152;
осуществляется внутренний контроль соответствия обработки ПДн ФЗ-152 и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, политике Оператора в отношении обработки ПДн, локальным актам Оператора;
проводится оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения ФЗ-152, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных ФЗ-152;
работники Оператора, непосредственно осуществляющие обработку ПДн, ознакомлены с положениями законодательства Российской Федерации о ПДн, в том числе требованиями к защите ПДн, документами, определяющими политику Оператора в отношении обработки ПДн, локальными актами по вопросам обработки ПДн.

В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектом персональных данных или его представителем или иных необходимых документов обязано уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.

В случае выявления неправомерной обработки персональных данных, осуществляемой Оператором или лицом, действующим по поручению Оператора, Оператор в срок, не превышающий трех рабочих дней с даты этого выявления, прекращает неправомерную обработку персональных данных или обеспечивает прекращение неправомерной обработки персональных данных лицом, действующим по поручению Оператора. В случае, если обеспечить правомерность обработки персональных данных не-возможно, Оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, уничтожает такие персональные данные или обеспечивает их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Оператор уведомляет субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.

В случае достижения цели обработки персональных данных Оператор прекращает обработку персональных данных или обеспечивает ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и уничтожает персональные данные или обеспечивает их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных, либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами.

Сотрудники Оператора, виновные в нарушении требований ФЗ-152 и принятых в соответствии с ним нормативных правовых актов, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном законодательством Российской Федерации.

В дополнение к требованиям 152-ФЗ, у Оператора осуществляется комплекс мероприятий, направленных на защиту информации о клиентах, работниках и контрагентах.