Политика обработки персональных данных

УТВЕРЖДЕНО
Приказом Генерального директора
ООО «УК «Династия»
от «15» августа 2024 г. № 14/1
Вступает в действие с 15 августа 2024 г.

Политика обработки персональных данных ООО «УК «Династия»

2024

1. Общие положения

1.1. Настоящая Политика обработки персональных данных в Обществе с ограниченной ответственностью «Управляющая компания «Династия» (далее - Политика), разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - Закон 152-ФЗ) и иными нормативными правовыми актами в области обработки персональных данных (далее совместно - законодательство Российской Федерации).

1.2. Настоящая Политика в Обществе с ограниченной ответственностью «Управляющая компания «Династия» (далее - Организация) определяет основные принципы, цели, условия и способы обработки персональных данных, субъектов персональных данных, права и обязанности Организации и субъектов персональных данных, сведения о реализуемых требованиях к защите персональных данных при их обработке, а также порядок осуществления внутреннего контроля соответствия обработки персональных данных требованиям, установленным законодательством Российской Федерации в области персональных данных.

1.3. Настоящая Политика применяется ко всей информации, относящейся согласно законодательству Российской Федерации к персональным данным.

1.4. Действие настоящей Политики распространяется на любое действие (операцию) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных в Организации.

1.5. Организация в своей деятельности исходит из того, что при взаимодействии с Организацией субъект персональных данных предоставляет точную и достоверную информацию о своих персональных данных, и своевременно извещает Организацию об изменении своих персональных данных. Организация не проводит дополнительные проверки, кроме случаев, предусмотренных Законом 152-ФЗ, другими нормативными правовыми актами и внутренними документами Организации.

1.6. Приказом Генерального директора Организации назначается лицо, ответственное за организацию обработки персональных данных.

2. Термины и определения

Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.

Безопасность персональных данных - состояние защищенности персональных данных, при котором обеспечены их конфиденциальность, доступность и целостность.

Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Клиент - юридическое или физическое лицо, заключившее с Организацией договор доверительного управления, в том числе владелец инвестиционных паев паевого инвестиционного фонда.

Конфиденциальность персональных данных – обязательное для выполнения лицом, получившим доступ к персональным данным, требование не раскрывать третьим лицам и не распространять такие персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.

Несанкционированный доступ – доступ к персональным данным или действия с персональными данными, нарушающие правила разграничения доступа, в том числе с использованием средств, предоставляемых информационной системой персональных данных.

Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Получатель финансовых услуг - клиент, а также физическое лицо, намеренное заключить с Организацией договор доверительного управления, в том числе путем приобретения инвестиционных паев паевого инвестиционного фонда.

Работник - лицо, осуществляющее свою деятельность в Организации на основании трудового или гражданского-правового договора, и имеющее возможность получить доступ к персональным данным, обрабатываемым как с применением автоматизированных средств обработки персональных данных, так и без таковых.

Субъект персональных данных - физические лица:

работники;
члены органа управления Организации, Генеральный директор Организации;
клиенты; ;
получатели финансовых услуг;
являющиеся представителями юридических лиц и индивидуальных предпринимателей, состоящих в договорных отношениях с Организацией (далее – «представители»).

Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Уполномоченный орган по защите прав субъектов персональных данных - федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации.

3. Принципы обработки персональных данных

3.1. Обработка персональных данных Организацией осуществляется на основе следующих принципов:

законности и справедливости обработки персональных данных;
ограничения обработки достижением конкретных, заранее определенных и законных целей;
недопущения обработки персональных данных, не совместимой с целями сбора персональных данных;
соответствия объема и содержания обрабатываемых персональных данных заявленным целям обработки;
обеспечения точности персональных данных, их достаточности и актуальности по отношению к целям обработки персональных данных;
недопустимости обработки персональных данных, избыточных по отношению к заявленным целям их обработки;
недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
хранения персональных данных в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен законодательством Российской Федерации, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
уничтожения или обезличивания персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации.

4. Условия обработки персональных данных

4.1. Обработка персональных данных в Организации осуществляется смешанным способом: с применением автоматизированных средств обработки персональных данных и без таковых, с передачей по внутренней сети, а также по информационно-телекоммуникационной сети «Интернет».

4.2. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных. Такое согласие должно быть дано свободно, своей волей и в своем интересе. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено Законом 152-ФЗ.

4.3. Организация вправе обрабатывать персональные данные без согласия субъекта персональных данных в случае, если:

обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Организацию функций, полномочий и обязанностей;
обработка персональных данных необходима для исполнения договора, стороной которого, либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
обработка персональных данных необходима для осуществления прав и законных интересов Организации или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
обработка персональных данных осуществляется в статистических или иных исследовательских целях, за исключением случаев, установленных в статье 15 Закона 152-ФЗ, при условии обязательного обезличивания персональных данных;
осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством Российской Федерации;
осуществляется обработка персональных данных, полученных из общедоступных источников;
в иных случаях, установленных законодательством Российской Федерации.

4.4. Организация осуществляет передачу персональных данных государственным органам и уполномоченным лицам по основаниям, предусмотренным законодательством Российской Федерации.

4.5. Организация включает персональные данные субъектов в общедоступные источники персональных данных в случае получения письменного согласия субъекта персональных данных.

4.6. Организация осуществляет обработку специальных категорий персональных данных (расовая, национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь, информация о судимости) только в случае получения письменного согласия субъекта персональных данных или без его согласия в случаях, установленных законодательством Российской Федерации.

4.7. Организация осуществляет обработку биометрических персональных данных (сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность) в случае получения письменного согласия субъекта персональных данных, или без его согласия в случаях, установленных законодательством Российской Федерации.

4.8. Персональные данные, обрабатываемые в целях продвижения услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, обрабатываются Организацией только при условии получения предварительного согласия субъекта персональных данных.

4.9. Организация не осуществляет трансграничную (на территорию иностранного государства, органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу) передачу персональных данных.

4.10. Организация не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных, за исключением случаев наличия письменного согласия субъекта персональных данных или в случаях, предусмотренных законодательством Российской Федерации, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных.

4.11. Если иное не предусмотрено Законом 152-ФЗ, Организация вправе поручить обработку персональных данных другому лицу на основании заключаемого с этим лицом договора, при условии наличия согласия субъекта персональных данных.

4.12. В случае если Организация поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Организация. Лицо, осуществляющее обработку персональных данных по поручению Организации, несет ответственность перед Организацией.

4.13. Организация прекращает обработку или обеспечивает прекращение обработки персональных данных (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) и (или) удаляет персональные данные или обеспечивает их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Организации) в следующих случаях:

после получения требования субъекта персональных данных (или его представителя либо уполномоченного органа по защите прав субъектов персональных данных) об уничтожении его персональных данных в случае, если персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
при выявлении неправомерной обработки персональных данных, если невозможно обеспечить ее правомерность;
при достижении целей обработки персональных данных, если Организация не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом или другими федеральными законами, или если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Организацией и субъектом персональных данных;
в случае утраты необходимости в достижении целей обработки, если иное не предусмотрено Федеральным законом;
при отзыве субъектом персональных данных согласия на обработку его персональных данных, если их сохранение более не требуется для целей обработки персональных данных, если Организация не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом или другими федеральными законами, или если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Организацией и субъектом персональных данных.

4.14. Организация прекращает передачу (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения после получения требования субъекта персональных данных.

4.15. Уничтожение персональных данных субъекта осуществляется комиссией, созданной на основании распоряжения Генерального директора Организации. По результату уничтожения персональных данных оформляется Акт об уничтожении персональных данных.

5. Цели обработки персональных данных, субъекты персональных данных

5.1. Организация осуществляет обработку персональных данных следующих категорий субъектов персональных данных в связи с целями обработки персональных данных:

в целях обеспечения соблюдения трудового законодательства Российской Федерации и ведения кадрового учета – персональные данные Работников, бывших Работников;
в целях ведения бухгалтерского учета – персональные данные Работников, бывших Работников;
в целях обеспечения соблюдения налогового законодательства – персональные данные Работников, бывших Работников, Клиентов, бывших Клиентов;
в целях обеспечения соблюдения пенсионного законодательства – персональные данные Работников, бывших Работников;
в целях обеспечения страхования Работников (по программе добровольного медицинского страхования, обязательного медицинского, обязательного социального страхования) – персональные данные Работников, бывших Работников;
в целях содействия в трудоустройстве – персональные данные лиц, претендующих на занятие вакантной должности в Организации;
в целях предложения услуг, предоставляемых или планируемых к предоставлению Организацией, проведения рекламных и (или) маркетинговых акций, опросов, анкетирования, маркетинговых исследований в отношении услуг, оказываемых Организацией - распространения; персональные данные, разрешенные Работниками для − в целях оказания услуг на финансовом рынке, предусмотренных Уставом и лицензией Организации - персональные данные получателей финансовых услуг (и их представителей), а также физических лиц - представителей получателей финансовых услуг, являющихся юридическими лицами, в рамках программ, реализуемых в целях противодействия легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения;
персональные данные получателей финансовых услуг и других физических лиц, данные которых обрабатываются в связи с получением финансовых услуг (физическим либо юридическим лицом), а также бенефициарных владельцев Организации;
в целях заключения, исполнения, прекращения гражданско-правовых договоров с юридическими лицами, физическими лицами, индивидуальными предпринимателями - персональные данные представителей контрагентов, оказывающих услуги и/или поставляющих товары Организации, физических лиц и индивидуальных предпринимателей, предоставивших свои персональные данные в связи с оказанием услуг и/или поставкой товаров Организации;
в целях исполнения специальных требований законодательства в отношении участников, Работников, и других лиц при осуществлении лицензируемых видов деятельности - персональные данные Работников, участников (владельцев долей в уставном капитале) Организации, аффилированных лиц Организации или руководителей, участников/акционеров юридического лица, являющегося аффилированным лицом или зависимым обществом по отношению к Организации;
в целях обеспечения взаимодействия с корреспондентами - персональные данные лиц, обратившихся в Организацию с просьбой, жалобой, предложением или заявлением любого характера, и предоставивших, в связи с этим, свои персональные данные;
в целях оформления пропуска на территорию Организации - персональные данные посетителей и Работников.

5.2. Организация обрабатывает персональные данные Клиента, необходимые для осуществления уставной деятельности:

деятельность по управлению инвестиционными фондами, паевыми инвестиционными фондами и негосударственными пенсионными фондами;
деятельность по управлению ценными бумагами;
деятельность по управлению страховыми резервами страховых компаний;
иные виды деятельности, не запрещенные законодательством Российской Федерации.

6. Права и обязанности

6.1. Организация вправе:

6.1.1. Отстаивать свои интересы в суде.

6.1.2. Предоставлять персональные данные субъектов персональных данных третьим лицам, если это предусмотрено законодательством Российской Федерации (правоохранительные, налоговые органы и др.).

6.1.3. Отказывать в предоставлении персональных данных за исключением случаев, предусмотренных законодательством Российской Федерации.

6.1.4. Обрабатывать персональные данные субъекта персональных данных без его согласия в случаях, предусмотренных Законом 152-ФЗ.

6.2. Организация обязана:

6.2.1. Обеспечивать конфиденциальность в отношении персональных данных, ставших известными Организации в ходе осуществления ею своей деятельности.

6.2.2. Не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации .

6.2.3. Предоставлять субъекту персональных данных или его представителю при обращении либо по его запросу информацию, касающуюся обработки персональных данных соответствующего субъекта, либо на законных основаниях предоставить отказ.

6.2.4. Сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу необходимую информацию.

6.2.5. Осуществлять или обеспечивать осуществление блокирования, уточнения персональных данных, прекращения обработки, уничтожения персональных данных в случаях и в порядке, установленных Законом 152-ФЗ.

6.2.6. Уведомлять субъекта персональных данных об обработке персональных данных в том случае, если персональные данные были получены не от субъекта персональных данных.

Исключение составляют следующие случаи:

субъект персональных данных уведомлен об осуществлении обработки его персональных данных Организацией;
персональные данные получены Организацией на законном основании или в связи с исполнением договора, стороной которого, либо выгодоприобретателем или поручителем, по которому является субъект персональных данных;
обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных статьей 10.1 Закона 152-ФЗ;
предоставление субъекту персональных данных сведений, содержащихся в уведомлении об обработке персональных данных, нарушает права и законные интересы третьих лиц.

6.2.7. При обработке персональных данных принять необходимые меры по обеспечению безопасности персональных данных и обеспечить их защиту.

6.2.8. Принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных законодательством Российской Федерации в области персональных данных.

6.2.9. Если в соответствии с законодательством Российской Федерации предоставление персональных данных и (или) получение Организацией согласия на обработку персональных данных являются обязательными, Организация обязана разъяснить субъекту персональных данных юридические последствия отказа предоставить свои персональные данные и (или) дать согласие на их обработку.

6.3. Права субъектов персональных данных:

6.3.1. Субъект персональных данных в соответствии с Законом 152-ФЗ имеет право получать от Организации информацию, касающуюся обработки своих персональных данных, на основании запроса и в порядке, установленном Законом 152-ФЗ, в том числе:

подтверждение факта обработки персональных данных Организацией;
правовые основания и цели обработки персональных данных;
цели и применяемые Организацией способы обработки персональных данных;
наименование и место нахождения Организации, сведения о лицах (за исключением Работников), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Организацией или на основании Закона 152-ФЗ;
обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен законодательством Российской Федерации;
сроки обработки персональных данных, в том числе сроки их хранения;
порядок осуществления прав, предусмотренных Законом 152-ФЗ;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Организации, если обработка поручена или будет поручена такому лицу;
информацию о способах исполнения Организацией обязанностей, установленных статьей 18.1 Закона 152-ФЗ;
иные сведения, предусмотренные законодательством Российской Федерации.

Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с законодательством Российской Федерации, в том числе, если:

обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения;
доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.

6.3.2. Требовать от Организации уточнения персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные Законом 152-ФЗ меры по защите своих прав и интересов.

6.3.3. Отозвать согласие на обработку своих персональных данных.

6.3.4. Если субъект персональных данных считает, что Организация осуществляет обработку его персональных данных с нарушением требований Закона 152-ФЗ или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействие Организации при обработке его персональных данных. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

6.3.5. Работники Организации также имеют право:

6.3.5.1. На свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные Работника, за исключением случаев ограничения доступа к персональным данным, предусмотренных законодательством Российской Федерации.

6.3.5.2. На определение своих представителей для защиты своих персональных данных.

6.3.5.3. Требовать исключения (удаления) или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением требований законодательства Российской Федерации. При отказе Организации исключить (удалить) или исправить неверные или неполные персональные данные Работника он имеет право заявить Организации в письменной форме о своем несогласии с соответствующим обоснованием такого несогласия. Персональные данные оценочного характера Работник имеет право дополнить заявлением, выражающим его собственную точку зрения.

6.3.5.4. Требовать об извещении Организацией всех лиц, которым ранее были сообщены неверные или неполные персональные данные Работника, обо всех произведенных в них исключениях, исправлениях или дополнениях.

6.4. Обязанности Работников и иных субъектов персональных данных в целях обеспечения достоверности их персональных данных:

6.4.1. Работник передает Организации документы, содержащие достоверные сведения о себе, перечень которых установлен Правилами внутреннего трудового распорядка Организации, квалификационным требованиям и требованиям к деловой репутации кандидатов на должность, должностных лиц и Работников, а также другие документы, предусмотренные законодательством Российской Федерации, в том числе Трудовым кодексом и нормативными актами Банка России.

6.4.2. Субъекты персональных данных предоставляют Организации документы, содержащие достоверные сведения о себе, с целью надлежащего исполнения своих прав и обязанностей во взаимоотношениях с Организацией, а также извещают Организацию об изменении своих персональных данных в случаях и в порядке, установленном законодательством Российской Федерации и/или договором с субъектом персональных данных.

7. Обеспечение безопасности персональных данных, сведения о реализуемых требованиях к защите персональных данных при их обработке

7.1. При обработке персональных данных Организация принимает необходимые правовые, организационные и технические меры для защиты персональных данных субъектов персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, включающие, в том числе:

определение угроз безопасности персональных данных при их обработке в информационной системе персональных данных;
применение организационных и технических мер по обеспечению безопасности персональных данных при обработке персональных данных в информационной системе персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по устранению несанкционированного доступа к персональным данным;
восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
обработку персональных данных без средств автоматизации таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения и установить перечень лиц, осуществляющих обработку персональных данных или имеющих к ним доступ;
раздельное хранение персональных данных на материальных носителях, обработка которых осуществляется в различных целях без средств автоматизации;
соблюдение порядка хранения документов на бумажных носителях и применение мер защиты информации, установленных, в том числе, внутренними документами Организации.

7.2. Для обеспечения безопасности персональных данных Организация реализует следующие требования к защите персональных данных в соответствии с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, установленными постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»:

назначает Приказом Генерального директора Организации лицо, ответственное за организацию обработки персональных данных;
организует режим обеспечения безопасности помещений, в которых размещена информационная система, препятствующий возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
обеспечивает режим сохранности носителей персональных данных;
утверждает перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе персональных данных, необходим для выполнения ими служебных (трудовых) обязанностей;
обеспечивает использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

8. Осуществление внутреннего контроля соответствия обработки персональных данных требованиям, установленным законодательством Российской Федерации в области персональных данных

8.1. В рамках осуществления внутреннего контроля, реализуемого в целях предотвращения и выявления нарушений Организацией и ее работниками требований законодательства Российской Федерации в области персональных данных, в Организации предусматривается проведение проверок условий обработки персональных данных на предмет соответствия требованиям Федерального закона, принятых в соответствии с ним нормативных правовых актов, настоящей Политики и других внутренних документов Организации в области персональных данных (далее - проверки).

8.2. Проверки осуществляются должностным лицом, ответственным за организацию обработки персональных данных в Организации, в следующем порядке и в следующие сроки:

8.2.1. Ежегодная проверка - осуществляется не реже 1 (Одного) раза в календарный год.

8.2.2. Внеплановая проверка - осуществляется на основании поступившего обращения субъекта персональных данных или его законного представителя или запроса уполномоченного органа по защите прав субъектов персональных данных (далее - заявитель) о нарушении законодательства/возможном нарушении законодательства Российской Федерации.

8.3. По результатам Ежегодной проверки лицом, ответственным за организацию обработки персональных данных, составляется Отчет внутреннего контроля соответствия обработки персональных данных требованиям, установленным Законом 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами (далее – Отчет), который включает в себя следующую информацию:

о мерах, принятых Организацией для определения угроз безопасности персональных данных при их обработке, о количестве выявленных фактов несанкционированного доступа к персональным данным и принятых мерах, в том числе мерах по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных (при наличии указанных атак);
о мерах, принятых Организацией для восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
о нарушениях, выявленных в ходе осуществления внутреннего контроля соответствия обработки персональных данных требованиям, Закона 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами (при наличии указанных нарушений);
предложения по повышению эффективности принимаемых мер обеспечению безопасности персональных данных (при наличии указанных предложений).

8.4. Отчет утверждается Генеральным директором ежегодно не позднее 30 июня года, следующего за отчетным.

8.5. Внеплановая проверка осуществляется в срок не более 10 (Десяти) рабочих дней со дня поступления в Организацию обращения или запроса.

8.6. Внеплановая проверка, связанная с возможной неправомерной или случайной передачей (предоставлением, распространением, доступом) персональных данных, повлекшей нарушение прав субъектов персональных данных, осуществляется в срок не более 2 (Двух) рабочих дней со дня выявления такого инцидента Организацией, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом.

8.7. Отчет по результатам внеплановой проверки включает в себя следующую информацию:

основания для проведения проверки;
сроки проведения проверки;
подтвержденные и иные обнаруженные в ходе проверки нарушения требований, установленных Законом 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами;
причины совершения нарушения;
лица, виновные в совершении нарушения;
меры, необходимые для устранения выявленного нарушения и рекомендации по недопущению подобных нарушений в дальнейшей деятельности Организации.

8.8. По результатам проведенной внеплановой проверки Генеральный директор Организации в течение 5 (Пяти) рабочих дней со дня окончания проверки дает заявителю письменный ответ.

9. Заключительные положения

9.1. Настоящая Политика утверждается приказом Генерального директора Организации и подлежит размещению на официальном сайте Организации в сети «Интернет».

9.2. В случае противоречия положений настоящей Политики законодательству Российской Федерации, приоритет имеют нормы законодательства Российской Федерации.

9.3. Контроль за исполнением положений настоящей Политики осуществляется лицом, ответственным за организацию обработки и обеспечения безопасности персональных данных в Организации.

9.4. Генеральный директор Организации несет ответственность за общую организацию обработки персональных данных в Организации.

9.5. Ответственность за выполнение необходимых мероприятий по организации режима конфиденциальности персональных данных в структурных подразделениях возлагается на руководителей структурных подразделений.

9.6. Ответственность Работников, имеющих доступ к персональным данным и/или осуществляющих обработку персональных данных, а также лиц, ответственных за организацию обработки и обеспечения безопасности персональных данных, за невыполнение требований норм, регулирующих обработку и защиту персональных данных, определяется в соответствии с законодательством Российской Федерации и внутренними документами Организации.

ПРИЛОЖЕНИЕ № 1

к Политике обработки персональных данных

СОГЛАСИЕ

на обработку персональных данных

Я,

____________________________________________________________________________

(ФИО соискателя)

зарегистрированный (ая) по адресу:

___________________________________________________

паспорт ____________ серия ___________ № __________________,

выдан

____________________________________________________________________________

в соответствии с пунктом 1 статьи 9 Федерального закона от 27 июля 2006 года № 152-ФЗ «О защите персональных данных» предоставляю согласие на обработку своих персональных данных Обществу с ограниченной ответственностью «Управляющая компания «Династия», далее «Оператор», расположенному по адресу: Российская Федерация, г. Санкт-Петербург, ул. Кропоткина, д.1 лит. А, помещ. 1-Н, ком.123, любым законодательно разрешенным способом.

Согласие относится к обработке следующих персональных данных, необходимых для трудоустройства (фамилию, имя, отчество, пол, дату и место рождения, гражданство, телефон (домашний, мобильный, служебный), адрес электронной почты, семейное положение, наличие/отсутствие судимости, воинская обязанность, наличие водительского удостоверения и транспортного средства, опыт работы (должность, отрасль, даты работы, компания, обязанности, контакты, заработная плата, бонусы, социальный пакет), образование (даты, учебное заведение, профессия, наличие/отсутствие диплома), полные сведения о дополнительном образовании, сведения о владении компьютерными программами и иностранными языками.

Я выражаю свое согласие на осуществление со всеми указанными персональными данными следующих действий: сбор, систематизация, накопление, хранение, уточнение (обновление или изменение), использование, распространение, обезличивание, блокирование, уничтожение. Оператор вправе обрабатывать мои персональные данные также посредством внесения их в информационную базу данных.

Данное согласие действует бессрочно.

Оператор обязан прекратить обработку моих персональных данных в течение 3 (трёх) рабочих дней с момента получения моего письменного заявления об отзыве настоящего согласия на обработку моих персональных данных.

Дата _____________ Подпись ______________ Расшифровка _____________________

ПРИЛОЖЕНИЕ № 2

к Политике обработки персональных данных

СОГЛАСИЕ

на обработку персональных данных

Я, ____________________________________________________________________________

(ФИО клиента)

зарегистрированный (ая) по адресу: ________________________________________________________

паспорт ____________ серия ___________ № __________________,

выдан

____________________________________________________________________________

Согласие также дано нижеперечисленным лицам для целей исполнения ими функций, возложенных законодательством о паевых инвестиционных фондах и на период исполнения ими этих функций: регистратор; специализированный депозитарий.

Согласие относится к обработке следующих персональных данных, необходимых для использования продуктов и услуг, предоставляемых Компанией, (включает в себя фамилию, имя, отчество, пол, дату и место рождения, гражданство, телефон (домашний, мобильный, служебный), место регистрации и проживания, адрес электронной почты, семейное положение, наличие/отсутствие судимости, воинскую обязанность, опыт работы (должность, отрасль, даты работы, компания, обязанности, контакты, заработная плата, бонусы, социальный пакет), образование (даты, учебное заведение, профессия, наличие/отсутствие диплома), сведения о дополнительном образовании.

Оператор вправе обрабатывать мои персональные данные также посредством внесения их в информационную базу данных.

Данное согласие действует бессрочно.

Дата _____________ Подпись ______________ Расшифровка _____________________

ПРИЛОЖЕНИЕ № 3

к Политике обработки персональных данных

На бланке Организации

АКТ № __

об уничтожении персональных данных

г. Санкт-Петербург
«__»_________20__г.

Комиссия в составе: председателя - _________________________________________________________________,

(должность, ФИО)

членов комиссии -

_________________________________________________________________________________,

(должность, ФИО)

на основании Приказа генерального директора от [дата] № ___, руководствуясь Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», составила настоящий акт о том, что отобраны и уничтожены персональные данные в следующем объеме:

№ п/п	Субъект персональных данных 1	Перечень категорий уничтоженных персональных данных	Тип, наименование носителя 2	Кол-во листов	Причина уничтожения
1
2

Перечисленные персональные данные уничтожены «___» ____________ 20__ г. путем ______________.

Председатель комиссии должность _____________/_____________/

Член комиссии должность _____________/_____________/

1 Фамилия, имя, отчество (при наличии) субъекта (субъектов) или иная информация, относящаяся к определенному (определенным) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены.

2 В случае уничтожения персональных данных, обрабатываемых без использования средств автоматизации – наименование уничтоженного материального (материальных) носителя (носителей), содержащего (содержащих) персональные данные субъекта (субъектов) персональных данных.

В случае уничтожения персональных данных, обрабатываемых с использованием средств автоматизации – наименование информационной (информационных) системы (систем) персональных данных, из которой (которых) были уничтожены персональные данные субъекта (субъектов) персональных данных.

При уничтожении персональных данных, обрабатываемых с использованием средств автоматизации, к Акту прилагается выгрузка из журнала регистрации событий в информационной системе персональных данных.

Актуальный текст документа «Политика обработки персональных данных ООО «УК «Династия»