2.1. Принципы обработки персональных данныхОбработка ПДн у Оператора осуществляется на основе следующих принципов:
- законности целей и способов обработки персональных данных, их соответствие требованиям нормативных правовых актов;
- соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных;
- недопущения обработки ПДн, несовместимой с целями сбора ПДн;
- соответствия объема и содержания обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных;
- достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
- обеспечения конфиденциальности обрабатываемых персональных данных;
- недопустимости объединения созданных для несовместимых между собой целей баз данных, содержащих персональные данные;
- хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки;
- уничтожения по достижении целей обработки персональных данных или в случае утраты необходимости в их достижении.
Оператор осуществляет обработку персональных данных следующих категорий субъектов:
- работники Оператора;
- кандидаты на вакантные должности;
- физические лица - участники организованных Оператором программ, где Оператор является оператором персональных данных;
- посетители Сайта, а также Сайтов программ, организованных Оператором;
- представители юридических лиц - клиентов и поставщиков Оператора.
Оператор осуществляет обработку персональных данных с использованием средств автоматизации и без использования средств автоматизации в сроки, установленные договорными обязательствами с клиентами и поставщиками Оператора, и требованиями ФЗ-152.
2.2. Условия и цели обработки персональных данныхОператор производит обработку ПДн при наличии хотя бы одного из следующих условий:
- обработка ПДн осуществляется с согласия субъекта ПДн на обработку его ПДн;
- обработка ПДн необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
- обработка ПДн необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
- обработка ПДн необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем;
- обработка ПДн необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПДн.
В качестве целей обработки персональных данных Оператор выделяет следующее:
- подбор кандидатов на вакантные должности;
- заключение, сопровождение, изменение, расторжение договоров ( в т. ч. трудовых);
- предоставление доступа физическим лицам к регистрации и участию в программах, где Оператор является оператором персональных данных;
- предоставление сотрудникам Оператора доступа к внутренней и внешней коммуникации, права проводить переговоры и заключать сделки от имени Оператора.
Оператор также обрабатывает обезличенные агрегированные или статистические обезличенные сведения, которые не позволяют идентифицировать конкретных лиц и не связывают конкретных людей с какими-либо заболеваниями или состояниями, партнерами Оператора или третьим лицам.
В качестве систем обработки персональных данных Оператор использует следующее:
- CRM Битрикс - сервис для автоматизации работы компании и управления бизнесом;
- UIS - сервис звонков через интернет;
- Яндекс - почтовый клиент;
- ПО собственной разработки для решения задач, для которых нет эффективных общедоступных инструментов.
Оператор разработал соответствующие процедуры и меры для целей защиты информации, в том числе персональных данных, и предотвращения несанкционированного доступа к ним, а также для целей корректного использования получаемой на Сайте информации в соответствии с действующим Федеральным законом РФ от 27.07.2006 г. № 152-ФЗ «О персональных данных».
Оператор использует специальные технологии, а также у Оператора приняты специальные политики, правила и меры для целей защиты получаемой персональной информации от несанкционированного доступа, неправомерного использования, изменения, неправомерных или случайных уничтожения, утери.
Один из способов защиты информации — наличие требования ко всем сотрудникам и иным лицам, имеющим доступ или участвующим в обработке персональных данных, соблюдать Политику. Оператор использует методы защиты в целях идентификации личности посетителей, регистрируемых на сайтах программ, организованных Оператором, для обеспечения применимости соответствующих прав и ограничений к таким пользователям.
2.3. Конфиденциальность персональных данныхОператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта ПДн, если иное не предусмотрено федеральным законом.
2.4. Файлы-маркеры, веб-маякиФайлы-маркеры, веб-маяки — технологии, используемые на Сайте и Сайтах, организованных Оператором (далее «Сайты»). Файлы-маркеры (cookies) — это небольшие информационные сообщения, которые Сайты могут отправлять браузеру субъекта и которые используются Сайтами только тогда, когда субъект на нём находится. Сайты отправляют браузеру субъекта файлы-маркеры, содержащие уникальный идентификатор, что помогает Оператору лучше понять, как используются ресурсы Сайтов в целом, и увидеть, какие области Сайтов предпочитают пользователи (например, на основании числа посещений таких зон). Оператор сможет прочитать содержимое только тех файлов-маркеров, которые были размещены Оператором; Оператор не можем получить доступ или прочесть содержимое файлов-маркеров других сайтов. Кроме того, Оператор может использовать данные файлов-маркеров в совокупности, отслеживая навигацию по Сайтам и потоки трафика. Такие кумулятивные и анонимные данные помогут Оператору улучшить информационное наполнение Сайтов, и Оператор может предоставлять эти данные своим партнерам или третьим лицам.
Если субъект является зарегистрированным пользователем на Сайтах, то в процессе идентификации на Сайтах Оператор может отправить субъекту файл-маркер, который будет сохранен браузером субъекта и содержать идентификатор субъекта. Файлы-маркеры такого типа используются, чтобы идентифицировать субъекта и предоставлять субъекту доступ к зонам Сайтов, пользование которыми разрешено только зарегистрированным пользователям, например, к страницам для просмотра и администрирования учетных данных на Сайтах.
Если субъект просто желает просматривать содержимое Сайтов, то субъект не обязан принимать файл-маркер от него. Однако если субъект захочет зарегистрироваться и входить в особые зоны Сайтов, и при этом субъект изменил настройки браузера таким образом, что он не будет принимать файлы-маркеры, субъекту придется перенастроить браузер так, чтобы он принимал файлы-маркеры, отправляемые от Оператора. Иначе субъект не сможет участвовать в работе определенных зон Сайтов. Большинство браузеров по умолчанию принимают и сохраняют файлы-маркеры.
Для измерения эффективности работы и/или трафика на Сайтах, могут также использоваться так называемые «пиксельные тэги» (их также называют GIF-ы, веб-маяки или веб-жучки). Пиксельный тэг — это тип графического элемента веб-страницы, который часто представляется невидимым, поскольку его размер равен 1×1 пиксель. Этот тэг используется для отслеживания числа посетителей Сайтов и того, как они перемещаются по нему. Например, Оператор может использовать такой тэг для подсчета числа посетителей Сайтов или конкретных страниц со статистическими целями.
Иногда Оператор включает пиксельные тэги в электронные письма с HTML-форматированием, отправляемые Оператором (или от имени Оператора), чтобы знать, было ли открыто отправленное письмо и были ли предприняты какие-либо действия по нему. Субъект может сделать некоторые пиксельные тэги или веб-маяки бесполезными, если откажется получить привязанные к ним файлы-маркеры. Оператор не использует технологию файлов-маркеров или пиксельных тэгов для сбора персональных данных.
2.5. Общедоступные источники персональных данныхСогласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных согласился с распространением персональных данных, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без права распространения.
В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ оператора в установлении субъектом персональных данных запретов и условий, предусмотренных настоящей статьей, не допускается.
2.6. Специальные категории персональных данныхОбработка Оператором специальных категорий ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, допускается в случаях, если:
- субъект ПДн дал согласие в письменной форме на обработку своих ПДн;
- обработка ПДн осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях;
- обработка ПДн необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПДн либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта ПДн невозможно;
- обработка ПДн осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка ПДн осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;
- обработка ПДн необходима для установления или осуществления прав субъекта ПДн или третьих лиц, а равно и в связи с осуществлением правосудия;
- обработка ПДн осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством.
Обработка специальных категорий ПДн, осуществлявшаяся в случаях, предусмотренных пунктом 4 статьи 10 ФЗ-152 должна быть незамедлительно прекращена, если устранены причины, вследствие которых осуществлялась их обработка, если иное не установлено федеральным законом.
Обработка ПДн о судимости может осуществляться Оператором исключительно в случаях и в порядке, которые определяются в соответствии с федеральными законами.
2.7. Биометрические персональные данныеСведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность - биометрические персональные данные - могут обрабатываться Оператором только при наличии согласия субъекта ПДн в письменной форме.
2.8. Поручение обработки персональных данных другому лицуОператор вправе поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку ПДн по поручению Оператора, обязано соблюдать принципы и правила обработки ПДн, предусмотренные ФЗ-152 и настоящей Политикой.
2.9. Обработка персональных данных граждан Российской ФедерацииВ соответствии со статьей 2 Федерального закона от 21 июля 2014 года N 242-ФЗ О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки ПДн в информационно-телекоммуникационных сетях при сборе ПДн, в том числе посредством информационно-телекоммуникационной сети Интернет, оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев:
- обработка ПДн необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
- обработка ПДн необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве (далее - исполнение судебного акта);
- обработка ПДн необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года N 210-ФЗ Об организации предоставления государственных и муниципальных услуг, включая регистрацию субъекта ПДн на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;
- обработка ПДн необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта ПДн.
2.10. Трансграничная передача персональных данныхТрансграничная передача персональных данных осуществляется в соответствии с ФЗ-152 и международными договорами Российской Федерации.
Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных.
После направления вышеуказанного уведомления, оператор вправе осуществлять трансграничную передачу персональных данных на территории указанных в таком уведомлении иностранных государств, являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных или включенных в предусмотренный частью 2 Статьи 12 Федерального закона N 152-ФЗ перечень, до принятия решения уполномоченным органом по защите прав субъектов персональных данных.
После направления уведомления, предусмотренного частью 3 настоящей статьи, оператор до истечения сроков, указанных в части 9 Статьи 12 Федерального закона N 152-ФЗ, не вправе осуществлять трансграничную передачу персональных данных на территории указанных в уведомлении иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и не включенных в предусмотренный частью 2 Статьи 12 Федерального закона N 152-ФЗ перечень, за исключением случая, если такая трансграничная передача персональных данных необходима для защиты жизни, здоровья, иных жизненно важных интересов субъекта персональных данных или других лиц.
В случае принятия уполномоченным органом по защите прав субъектов персональных данных решения о запрещении или об ограничении трансграничной передачи персональных данных, оператор обязан обеспечить уничтожение органом власти иностранного государства, иностранным физическим лицом, иностранным юридическим лицом ранее переданных им персональных данных.