ПОЛИТИКА ООО «ГРАНАТУМ» В ОТНОШЕНИИ ОБРАБОТКИ

<p>Приложение № 1 к Приказу № 01 – ПДн от «1» июня 2024 г.</p>
<h1>ПОЛИТИКА ООО «ГРАНАТУМ» В ОТНОШЕНИИ ОБРАБОТКИ</h1>
<h1>ПЕРСОНАЛЬНЫХ ДАННЫХ</h1>
<p>Версия 1.1 от «1» июня 2024 г.</p>
<p>Саратовская обл., 2024 г.</p>
<h1>Термины и определения</h1>
<p><strong>Автоматизированная обработка персональных данных</strong> <span class="p">– обработка персональных данных с помощью средств вычислительной техники.</span></p>
<p><strong>Блокирование персональных данных</strong> <span class="p">– временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных).</span></p>
<p><strong>Информационная система персональных данных</strong> <span class="p">– совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.</span></p>
<p><strong>Обезличивание персональных данных</strong> <span class="p">– действия, в результате которых невозможно определить без использования дополнительной информации принадлежность персональных данных конкретному субъекту персональных данных.</span></p>
<p><strong>Обработка персональных данных</strong> <span class="p">– любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.</span></p>
<p><strong>Оператор</strong> – <span class="p">государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.</span></p>
<p><strong>Персональные данные</strong> <span class="p">– любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).</span></p>
<p><strong>Предоставление персональных данных</strong> <span class="p">– действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.</span></p>
<p><strong>Распространение персональных данных</strong> <span class="p">– действия, направленные на раскрытие персональных данных неопределенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно–телекоммуникационных сетях или предоставление доступа к персональным данным каким–либо иным способом.</span></p>
<p><strong>Уничтожение персональных данных</strong> <span class="p">– действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.</span></p>
<h1>1. ОБЩИЕ ПОЛОЖЕНИЯ</h1>
<p>Настоящий документ определяет политику ООО «ГРАНАТУМ» (далее – Оператор) в отношении обработки персональных данных и раскрывает сведения о реализованных мерах по обеспечению безопасности персональных данных у Оператора с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.</p>
<p>Настоящий документ «Политика ООО «ГРАНАТУМ» в отношении обработки персональных данных» (далее – Политика) разработан в соответствии с Конституцией Российской Федерации, Федеральным законом № 160–ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных», Трудовым кодексом Российской Федерации № 197–ФЗ, Федеральным законом № 152–ФЗ «О персональных данных» (далее – ФЗ–152), иными федеральными законами и подзаконными актами Российской Федерации, определяющими случаи и особенности обработки персональных данных и обеспечения безопасности и конфиденциальности такой информации.</p>
<p>Положения настоящей Политики являются обязательными для исполнения всеми работниками Оператора, осуществляющими обработку персональных данных, в т. ч. работающих в филиалах и обособленных подразделениях Оператора.</p>
<p>Положения настоящей Политики являются основой для организации работы по обработке персональных данных у Оператора, в том числе для разработки внутренних нормативных документов, регламентирующих обработку и защиту персональных данных у Оператора.</p>
<p>В случае если отдельные положения настоящей Политики войдут в противоречие с действующим законодательством о персональных данных, применяются положения действующего законодательства.</p>
<p>Запросы субъектов персональных данных в отношении обработки их персональных данных Оператором принимаются по адресам: 410012, обл. Саратовская, г. Саратов, ул. им. Рахова В.Г., д. 61/71, литер а1, пом. 3.</p>
<p><a class="a" href="mailto:info@granatum.solutions" target="_blank" rel="noopener">Также субъекты персональных данных могут направить свой запрос, подписанный усиленной квалицированной электронной подписью на адрес электронной почты </a><a href="mailto:info@granatum.solutions" target="_blank" rel="noopener">info@granatum.solutions.</a></p>
<p>Срок рассмотрения обращений не превышает 30 (тридцати) дней со дня обращения.</p>
<p>Настоящая Политика является документом, к которому обеспечивается неограниченный доступ. Для обеспечения неограниченного доступа Политика, в частности, опубликована на официальных сайтах Оператора по адресам: granatum.solutions; next.granatum.solutions.</p>
<h1>2. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ</h1>
<h2>2.1 Какие данные мы собираем</h2>
<p>Учетная запись на Granatum.solutions может быть создан с помощью адреса электронной почты или через одного из поддерживаемых OAuth-провайдеров (Google, Apple, VK). При всех способах регистрации мы собираем следующие персональные данные:</p>
<p>&#8212; имя;</p>
<p>&#8212; адрес электронной почты;</p>
<p>&#8212; аватар;</p>
<p>&#8212; язык пользователя по умолчанию;</p>
<h2>2.2 Принципы обработки персональных данных</h2>
<p>Обработка персональных данных у Оператора осуществляется на основе следующих принципов:</p>
<ul>
<li style="list-style-type: none;">
<ul id="l5">
<li data-list-text="">законности и справедливой основы;</li>
<li data-list-text="">ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;</li>
<li data-list-text="">недопущения обработки персональных данных, несовместимой с целями сбора персональных данных;</li>
<li data-list-text="">недопущения объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;</li>
<li data-list-text="">обработки только тех персональных данных, которые отвечают целям их обработки;</li>
<li data-list-text="">соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки;</li>
<li data-list-text="">недопущения обработки персональных данных, избыточных по отношению к заявленным целям их обработки;</li>
<li data-list-text="">обеспечения точности, достаточности и актуальности персональных данных по отношению к целям обработки персональных данных;</li>
<li data-list-text="">уничтожения либо обезличивания персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, при невозможности устранения Оператором допущенных нарушений персональных данных, если иное не предусмотрено федеральным законом.</li>
</ul>
</li>
</ul>
<h2>2.3 Условия обработки персональных данных</h2>
<p>Оператор производит обработку персональных данных при наличии хотя бы одного из следующих условий:</p>
<ul>
<li style="list-style-type: none;">
<ul id="l6">
<li data-list-text="">обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;</li>
<li data-list-text="">обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;</li>
<li data-list-text="">обработка персональных данных необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;</li>
<li data-list-text="">обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;</li>
<li data-list-text="">обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;</li>
<li data-list-text="">осуществляется обработка персональных данных, доступ неограниченному кругу лиц, к которым предоставлен субъектом персональных данных либо по его просьбе (далее – общедоступные персональные данные);</li>
<li data-list-text="">осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.</li>
</ul>
</li>
</ul>
<h2>2.4 Конфиденциальность персональных данных</h2>
<p>Оператор и иные лица, получившие доступ к персональным данным, не раскрывают третьим лицам и не распространяют персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.</p>
<h2>2.5 Общедоступные источники персональных данных</h2>
<p>В целях информационного обеспечения у Оператора могут создаваться общедоступные источники персональных данных субъектов персональных данных, в том числе справочники и адресные книги. В общедоступные источники персональных данных с письменного согласия субъекта персональных данных могут включаться его фамилия, имя, отчество, дата и место рождения, должность, номера контактных телефонов, адрес электронной почты и иные персональные данные, сообщаемые субъектом персональных данных.</p>
<p>Сведения о субъекте персональных данных в любое время исключаются из общедоступных источников персональных данных по требованию субъекта персональных данных, уполномоченного органа по защите прав субъектов персональных данных либо по решению суда.</p>
<h2>2.6 Специальные категории персональных данных</h2>
<p>Обработка Оператором специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, допускается в случаях, если:</p>
<ul id="l7">
<li data-list-text="">субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных;</li>
<li data-list-text="">персональные данные сделаны общедоступными субъектом персональных данных;</li>
<li data-list-text="">обработка персональных данных осуществляется в соответствии с законодательством о государственной социальной помощи, трудовым законодательством, законодательством Российской Федерации о пенсиях по государственному пенсионному обеспечению, о трудовых пенсиях;</li>
<li data-list-text="">обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц и получение согласия субъекта персональных данных невозможно;</li>
<li data-list-text="">обработка персональных данных осуществляется в медико–профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико–социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну;</li>
<li data-list-text="">обработка персональных данных необходима для установления или осуществления прав субъекта персональных данных или третьих лиц, равно как и в связи с осуществлением правосудия;</li>
<li data-list-text="">обработка персональных данных осуществляется в соответствии с законодательством об обязательных видах страхования, со страховым законодательством.</li>
</ul>
<p>Обработка специальных категорий персональных данных, осуществлявшаяся в случаях, предусмотренных п. 4 ст. 10 ФЗ–152, должна быть незамедлительно прекращается, если устранены причины, вследствие которых осуществлялась их обработка, если иное не установлено федеральными законами.</p>
<p>Обработка персональных данных о судимости может осуществляться Оператором исключительно в случаях и в порядке, которые определяются в соответствии с федеральными законами.</p>
<h2>2.7 Биометрические персональные данные</h2>
<p>Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность – биометрические персональные данные, – могут обрабатываться Оператором только при наличии согласия субъекта персональных данных в письменной форме.</p>
<h2>2.8 Поручение обработки персональных данных другому лицу</h2>
<p>Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные ФЗ–152 и настоящей Политикой.</p>
<h2>2.9 Обработка персональных данных граждан Российской Федерации</h2>
<p>Оператор обеспечивает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пп. 2, 3, 4, 8 ч. 1 ст. 6 ФЗ–152.</p>
<h1>3. ПРАВА И ОБЯЗАННОСТИ</h1>
<p>В рамках обработки персональных данных для Оператора и субъектов персональных данных определены следующие права.</p>
<p>Субъект персональных данных имеет право:</p>
<ul>
<li style="list-style-type: none;">
<ul id="l8">
<li data-list-text="">получать информацию, касающуюся обработки его персональных данных, в порядке, форме и сроки, установленные законодательством о персональных данных;</li>
<li data-list-text="">требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для заявленной цели обработки или используются в целях, не заявленных ранее при предоставлении субъектом персональных данных согласия на обработку персональных данных;</li>
<li data-list-text="">принимать предусмотренные законом меры по защите своих прав;</li>
<li data-list-text="">отозвать свое согласие на обработку персональных данных;</li>
<li data-list-text="">иные права, предусмотренные законодательством о персональных данных.Оператор имеет право:</li>
<li data-list-text="">обрабатывать персональные данные субъекта персональных данных в соответствии с заявленной целью;</li>
<li data-list-text="">требовать от субъекта персональных данных предоставления достоверных персональных данных, необходимых для исполнения договора, идентификации субъекта персональных данных, а также в иных случаях, предусмотренных законодательством о персональных данных;</li>
<li data-list-text="">ограничить доступ субъекта персональных данных к его персональным данным в случае, если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц, а также в иных случаях, предусмотренных законодательством Российской Федерации;</li>
<li data-list-text="">обрабатывать общедоступные персональные данные физических лиц;</li>
<li data-list-text="">осуществлять обработку персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;</li>
<li data-list-text="">поручить обработку персональных данных другому лицу с согласия субъекта персональных данных;</li>
<li data-list-text="">иные права, предусмотренные законодательством о персональных данных.</li>
<li data-list-text="">удалить учетную запись на платформе Granatum.solutions, зарегистрированный через социальные сети Google, Apple, VK, а также по электронной почте используя интерфейс на странице настроек профиля на платформе.</li>
</ul>
</li>
</ul>
<h1>4. ОБЕСПЕЧЕНИЕ ВЫПОЛНЕНИЯ ОБЯЗАННОСТЕЙ ОПЕРАТОРА И МЕР ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ</h1>
<p>Безопасность персональных данных, обрабатываемых Оператором, обеспечивается реализацией правовых, организационных и технических мер, необходимых для обеспечения требований федерального законодательства в области защиты персональных данных.</p>
<p>Для предотвращения несанкционированного доступа к персональным данным Оператором применяются следующие организационно–технические меры:</p>
<ul>
<li style="list-style-type: none;">
<ul id="l9">
<li data-list-text="">назначение ответственного за организацию обработки персональных данных;</li>
<li data-list-text="">назначение ответственных за обеспечение мер по сохранности персональных данных и исключению несанкционированный к ним доступа;</li>
<li data-list-text="">назначение ответственного за обеспечение безопасности персональных данных в информационных системах;</li>
<li data-list-text="">ограничение состава лиц, допущенных к обработке персональных данных;</li>
<li data-list-text="">ознакомление субъектов с требованиями федерального законодательства и нормативных документов Оператора по обработке и защите персональных данных;</li>
<li data-list-text="">организация учета, хранения и обращения носителей, содержащих информацию с персональными данными;</li>
<li data-list-text="">определение угроз безопасности персональных данных при их обработке, формирование на их основе моделей угроз;</li>
<li data-list-text="">разработка на основе модели угроз системы защиты персональных данных;</li>
<li data-list-text="">проверка готовности и эффективности использования средств защиты информации;</li>
<li data-list-text="">разграничение доступа пользователей к информационным ресурсам и программно– аппаратным средствам обработки информации;</li>
<li data-list-text="">регистрация и учет действий пользователей информационных систем персональных данных;</li>
<li data-list-text="">использование антивирусных средств и средств восстановления системы защиты персональных данных;</li>
<li data-list-text="">применение в необходимых случаях средств межсетевого экранирования, обнаружения вторжений, анализа защищенности и средств криптографической защиты информации;</li>
<li data-list-text="">организация пропускного режима на территорию Оператора, охраны помещений с техническими средствами обработки персональных данных.</li>
</ul>
</li>
</ul>
<h1>5. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ</h1>
<p>Иные права и обязанности Оператора в связи с обработкой персональных данных определяются законодательством Российской Федерации в области персональных данных.</p>
<p>Работники Оператора, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут материальную, дисциплинарную, административную, гражданско–правовую или уголовную ответственность в порядке, установленном федеральными законами.</p>