7.9. Цель обработки персональных данных № 9: обеспечение соблюдения страхового законодательства РФ. Категории обрабатываемых данных: обрабатываемые в рамках указанной цели персональные данные не относятся к специальным категориям или биометрическим в соответствии со ст. 10–11 Закона о персональных данных.
Перечень обрабатываемых данных:
- Фамилия, имя, отчество;
- Дата рождения;
- Доходы;
- Пол;
- Адрес электронной почты;
- Адрес регистрации;
- Номер телефона;
- СНИЛС;
- ИНН;
- Гражданство;
- Данные документа, удостоверяющие личность;
- Номер расчетного счета;
- Профессия;
- Должность;
- Сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации).
Способы обработки персональных данных: смешанная обработка персональных данных без передачи по внутренней сети юридического лица; с передачей по сети интернет.
Категория Субъектов персональных данных: работники, уволенные работники.
Перечень действий по обработке персональных данных работников, в том числе уволенных: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление доступа), блокирование, удаление, уничтожение.
Срок обработки и хранения персональных данных работников, в том числе уволенных: - Персональные данные хранятся в форме, позволяющей обеспечивать сохранность документов, необходимых для исчисления и уплаты страховых взносов в течение шести лет (подп. 6 п. 3.4. ст. 23 НК РФ).
Порядок уничтожения персональных данных: Оператор производит уничтожение персональных данных самостоятельно путем совершения действий, в результате которых нельзя восстановить содержание персональных данных в информационной системе персональных данных (стирание/удаление из базы данных Оператора) и (или) в результате которых уничтожены материальные носители персональных данных, что подтверждается актом об уничтожении персональных данных и (или) выгрузкой из журнала регистрации событий в информационной системе персональных данных.
Условия и сроки уничтожения персональных данных Оператором:
Обрабатываемые персональные данные подлежат уничтожению:
- при представлении субъектом персональных данных сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, - в течение 7 рабочих дней со дня представления таких сведений (ч. 1 ст. 14, ч. 3 ст. 20 Закона об обработке персональных данных);
- при выявлении неправомерной обработки персональных данных, если невозможно обеспечить ее правомерность, - в течение 10 рабочих дней с даты выявления неправомерной обработки персональных данных (ч. 3 ст. 21 Закона об обработке персональных данных);
- при достижении цели обработки персональных данных, истечении срока действия согласия, при достижении максимальных сроков хранения документов, содержащих персональные данные - в течение 30 дней с даты достижения цели обработки персональных данных/окончания срока дачи согласия или сроков хранения (ч. 4 ст. 21 Закона об обработке персональных данных);
- при отзыве субъектом персональных данных согласия на обработку его персональных данных, если их сохранение более не требуется для целей обработки персональных данных, - в течение 30 дней с даты поступления указанного отзыва (ч. 5 ст. 21 Закона об обработке персональных данных);
- при обращении субъекта персональных данных с требованием о прекращении обработки персональных данных - в срок не более 10 рабочих дней со дня получения такого требования, за исключением отдельных случаев. Данный срок может быть продлен, но не более чем на 5 рабочих дней (ч. 5.1 ст. 21 Закона об обработке персональных данных).
Иные сроки для уничтожения персональных данных субъекта при достижении цели обработки персональных данных и при отзыве субъектом персональных данных согласия на обработку его персональных данных может применяться, если он предусмотрен договором, стороной/ выгодоприобретателем по которому является субъект персональных данных (ч. 4, 5 ст. 21 Закона о персональных данных).
8. Процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных, устранение последствий таких нарушений8.1. Оператор устанавливает следующие процедуры, направленные на выявление и
предотвращение нарушений законодательства Российской Федерации в сфере персональных данных:
1) издание локальных актов Оператора по вопросам обработки персональных данных;
2) назначение лица, ответственного за организацию обработки персональных данных;
3) получение персональных данных непосредственно у субъекта персональных данных;
4) определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
5) применение правовых, организационных и технических мер по обеспечению безопасности персональных данных;
6) опубликование на официальном сайте Оператора в информационно-телекоммуникационной сети Интернет https://всеплюсы.рф/ документов, определяющих политику Оператора в отношении обработки персональных данных;
7) осуществление внутреннего контроля соответствия обработки персональных данных Закону о персональных данных и принятым в соответствии с ним локальным нормативным актам, требованиям к защите персональных данных Оператора;
8) оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения Закона о персональных данных, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных указанным Законом;
9) оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
10) учет машинных носителей (компьютеров) персональных данных;
11) обнаружение фактов несанкционированного доступа к персональным данным и
принятие мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
12) установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
13) контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных;
14) организация рассмотрения запросов субъектов персональных данных или их представителей и ответов на такие запросы;
15) разъяснение прав субъектам персональных данных в вопросах обработки и обеспечения безопасности персональных данных.
8.2. Оператор
устанавливает следующие процедуры, направленные на устранение
последствий нарушений законодательства Российской Федерации в сфере персональных данных:
1) прекращение неправомерной обработки персональных данных или обеспечение прекращения неправомерной обработки персональных данных лицом, действующим по поручению Оператора, в случае выявления неправомерной обработки персональных данных, осуществляемой Оператором или лицом, действующим по поручению Оператора, в срок, не превышающий трех рабочих дней с момента такого выявления;
в случае если обеспечить правомерность обработки персональных данных невозможно – уничтожение таких персональных данных или обеспечение их уничтожения, в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных;
2) уведомление субъекта персональных данных об устранении допущенных нарушений или об уничтожении персональных данных, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанного органа;
3) в случае отсутствия возможности уничтожения персональных данных в течение установленного срока, Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами;
4) уведомление о факте уничтожения субъекта персональных данных и, в случае если уничтожение произведено по запросу уполномоченного органа, указанного органа, после уничтожения персональных данных;
5) восстановление персональных данных, модифицированных или уничтоженных
вследствие несанкционированного доступа к ним;
6) информирование федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности (ФСБ России), о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных;
7) уведомление уполномоченного органа по защите прав субъектов персональных
данных (Роскомнадзор) в случае установления Оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, в установленные законом сроки:
- в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
- в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
9.Взаимодействие между Оператором и Субъектом персональных данных9.1. Субъект персональных данных может реализовать права по получению информации, касающейся обработки его персональных данных, а также права по уточнению его персональных данных, их блокированию или уничтожению, удалению, обратившись к Оператору с соответствующим запросом по электронной почте
vseplusifr@yandex.ru или путем письменного запроса на бумажном носителе по следующему адресу: 625000, Тюменская область, г.о. город Тюмень, г. Тюмень, ул. Герцена, д. 64, офис 321.
10. Заключительные положения10.1. Оператор имеет право вносить изменения в настоящую Политику. При внесении изменений в актуальной редакции Политики указывается дата последнего обновления. Новая редакция Политики вступает в силу с момента ее размещения, если иное не предусмотрено новой редакцией Политики.