Политика обработки персональных данных

Настоящая Политика обработки персональных данных определяет порядок обработки и защиты персональных данных, осуществляемой ООО «Центр финансового восстановления».

Политика применяется ко всем персональным данным, которые Оператор получает через сайт, формы обратной связи, обращения, заявки, договорные отношения, трудовые отношения и иные законные способы взаимодействия с субъектами персональных данных.

Открыть Политику обработки персональных данных в PDF

1. Сведения об Операторе

2. Общие положения

Настоящая Политика разработана в соответствии с законодательством Российской Федерации о персональных данных, включая Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».

Политика определяет:

• цели обработки персональных данных;
• категории субъектов персональных данных;
• состав обрабатываемых персональных данных;
• правовые основания обработки;
• порядок и условия обработки персональных данных;
• меры защиты персональных данных;
• порядок рассмотрения обращений субъектов персональных данных.

Политика является общедоступным документом и размещается на официальном сайте Оператора.

3. Основные термины

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.

Оператор — ООО «Центр финансового восстановления», самостоятельно или совместно с другими лицами организующее и/или осуществляющее обработку персональных данных.

Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.

Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Инцидент персональных данных — неправомерная или случайная передача, предоставление, распространение, доступ к персональным данным, а также иные неправомерные действия, повлекшие нарушение прав субъектов персональных данных.

4. Принципы обработки персональных данных

Оператор обрабатывает персональные данные на следующих принципах:

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определенных и законных целей;
• не допускается обработка персональных данных, несовместимая с целями их сбора;
• не допускается объединение баз данных, если цели обработки несовместимы;
• обрабатываются только те персональные данные, которые соответствуют целям обработки;
• содержание и объем обрабатываемых данных соответствуют заявленным целям обработки;
• не обрабатываются избыточные персональные данные;
• обеспечивается точность, достаточность и актуальность персональных данных;
• хранение данных осуществляется не дольше, чем этого требуют цели обработки или закон;
• по достижении целей обработки персональные данные уничтожаются или обезличиваются, если иное не предусмотрено законом.

5. Цели обработки персональных данных

Оператор обрабатывает персональные данные в следующих целях:

1. Заключение, исполнение, изменение и прекращение договоров.
2. Прием и обработка обращений, заявок и сообщений через сайт.
3. Ведение кадрового, бухгалтерского, налогового учета и исполнение требований законодательства.
4. Подбор персонала.
5. Обеспечение работы сайта, аналитики, безопасности и работоспособности интернет-ресурсов.
6. Информационная безопасность и контроль доступа.
7. Претензионная, судебная и правовая работа.
8. Публикация сведений на сайте и в информационных материалах при наличии правового основания.
9. Направление информационных и рекламных сообщений при наличии согласия либо иного законного основания.

6. Категории субъектов персональных данных

Оператор может обрабатывать персональные данные следующих категорий лиц:

• клиенты;
• потенциальные клиенты;
• пользователи сайта;
• заявители;
• представители клиентов и контрагентов;
• контрагенты;
• подрядчики и исполнители;
• работники;
• бывшие работники;
• кандидаты на должности;
• члены семей работников в случаях, предусмотренных законом;
• иные физические лица, взаимодействующие с Оператором.

7. Категории обрабатываемых персональных данных

В зависимости от цели обработки Оператор может обрабатывать следующие категории персональных данных:

7.1. Общие персональные данные

• фамилия, имя, отчество;
• дата и место рождения;
• гражданство;
• пол;
• контактные данные;
• адрес;
• паспортные данные;
• ИНН;
• СНИЛС;
• реквизиты договора;
• платежные сведения;
• сведения переписки и обращений.

7.2. Кадровые данные

• сведения об образовании;
• квалификация;
• опыт работы;
• сведения о трудовой деятельности;
• сведения о воинском учете;
• семейное положение;
• сведения о социальных льготах и выплатах;
• сведения о заработной плате;
• банковские реквизиты;
• иные данные, необходимые для исполнения трудового законодательства.

7.3. Данные кандидатов

• ФИО;
• контактные данные;
• сведения об образовании;
• сведения о квалификации;
• опыт работы;
• резюме;
• иные сведения, предоставленные кандидатом.

7.4. Технические данные

При использовании сайта Оператор может обрабатывать:

• IP-адрес;
• cookie-файлы;
• сведения о браузере;
• сведения об устройстве;
• действия на сайте;
• дата и время посещения;
• технические логи;
• сведения, необходимые для обеспечения безопасности и работоспособности сайта.

7.5. Данные обращений

• содержание заявок;
• обращения;
• претензии;
• ответы;
• переписка;
• приложенные документы;
• сведения, необходимые для рассмотрения обращения.

8. Специальные и биометрические персональные данные

Оператор не осуществляет обработку специальных категорий персональных данных, касающихся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, за исключением случаев, прямо предусмотренных законодательством Российской Федерации.

Оператор не осуществляет обработку биометрических персональных данных, используемых для установления личности субъекта, если такая обработка не введена отдельным локальным актом, не обеспечена необходимыми мерами защиты и не оформлена отдельным письменным согласием субъекта либо иным законным основанием.

Фотографическое изображение работника, представителя Оператора или иного лица само по себе не всегда является биометрическими персональными данными. Если изображение используется для идентификации личности, Оператор оценивает правовой режим такой обработки отдельно.

9. Правовые основания обработки персональных данных

Оператор обрабатывает персональные данные на следующих правовых основаниях:

• согласие субъекта персональных данных;
• заключение и исполнение договора;
• исполнение требований законодательства Российской Федерации;
• осуществление прав и законных интересов Оператора;
• исполнение трудового, налогового, бухгалтерского, архивного и иного законодательства;
• преддоговорные отношения;
• иные основания, предусмотренные законодательством Российской Федерации.

10. Обработка персональных данных через сайт, cookies и интернет-сервисы

При сборе персональных данных через сайт Оператор обеспечивает субъекту доступ к настоящей Политике и при необходимости получает отдельные согласия:

• на обработку персональных данных;
• на получение рекламных сообщений;
• на распространение персональных данных;
• на использование cookie-файлов, если такое согласие требуется законом.

При использовании сайта, форм обратной связи, виджетов, онлайн-чатов, мессенджеров, CRM и иных сервисов Оператор определяет состав собираемых данных, цели обработки, правовые основания, получателей, сроки хранения и необходимость получения согласия субъекта.

Технические cookies, необходимые для работы сайта, могут обрабатываться в пределах технической необходимости. Аналитические, рекламные, маркетинговые и иные необязательные cookies применяются с учетом требований законодательства и выбранной Оператором модели получения согласия.

11. Порядок и условия обработки персональных данных

Оператор осуществляет обработку персональных данных с использованием средств автоматизации, без использования средств автоматизации, а также смешанным способом.

Обработка персональных данных может включать:

• сбор;
• запись;
• систематизацию;
• накопление;
• хранение;
• уточнение;
• извлечение;
• использование;
• передачу;
• предоставление;
• доступ;
• обезличивание;
• блокирование;
• удаление;
• уничтожение.

К обработке персональных данных допускаются только лица, которым такой доступ необходим для выполнения трудовых, должностных, договорных или иных обязанностей.

Лица, допущенные к обработке персональных данных, обязаны соблюдать конфиденциальность и требования локальных актов Оператора.

Оператор не принимает решения, порождающие юридические последствия для субъекта персональных данных или иным образом затрагивающие его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных, если иное не предусмотрено законом или отдельным согласием субъекта.

12. Передача персональных данных третьим лицам

Оператор вправе передавать персональные данные третьим лицам только при наличии законного основания и в объеме, необходимом для достижения конкретной цели обработки.

Передача персональных данных может осуществляться:

• государственным органам и организациям в случаях, предусмотренных законом;
• налоговым органам;
• Социальному фонду России;
• судам;
• правоохранительным органам;
• органам дознания и следствия;
• банкам;
• нотариусам;
• операторам электронного документооборота;
• почтовым и курьерским службам;
• аудиторам;
• бухгалтерам;
• IT-подрядчикам;
• хостинг-провайдерам;
• CRM-провайдерам;
• иным лицам при наличии законного основания.

Если обработка персональных данных поручается другому лицу, Оператор заключает с таким лицом договор или иное соглашение, определяющее:

• перечень действий с персональными данными;
• цели обработки;
• обязанности по соблюдению конфиденциальности;
• меры защиты персональных данных;
• порядок уведомления об инцидентах;
• порядок возврата или уничтожения персональных данных после прекращения обработки.

Лицо, осуществляющее обработку персональных данных по поручению Оператора, не обязано получать отдельное согласие субъекта, если такое согласие получено Оператором. При этом указанное лицо обязано соблюдать принципы и правила обработки персональных данных.

13. Трансграничная передача персональных данных

Трансграничная передача персональных данных осуществляется только при соблюдении требований законодательства Российской Федерации.

До начала такой передачи Оператор оценивает:

• страну передачи;
• получателя персональных данных;
• цели передачи;
• состав передаваемых данных;
• меры защиты;
• необходимость уведомления уполномоченного органа.

14. Локализация баз данных и использование сервисов

При сборе персональных данных граждан Российской Федерации, в том числе через сеть Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение таких данных с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, прямо предусмотренных законодательством.

До подключения CRM, хостинга, облачного сервиса, email-сервиса, мессенджера, устной речевой системы, телефонии или иного подрядчика Оператор оценивает:

• место хранения данных;
• условия договора;
• наличие поручения обработки персональных данных;
• меры защиты;
• порядок удаления или возврата данных;
• риски трансграничной передачи.

Использование иностранных сервисов, облачных хранилищ и программного обеспечения для обработки персональных данных допускается только после оценки соответствия требованиям законодательства Российской Федерации.

15. Права субъектов персональных данных

Субъект персональных данных имеет право:

• получать информацию об обработке своих персональных данных;
• требовать уточнения персональных данных;
• требовать блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отзывать согласие на обработку персональных данных;
• требовать прекращения обработки персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзор или суд;
• осуществлять иные права, предусмотренные законодательством Российской Федерации.

Для реализации своих прав субъект персональных данных может направить обращение Оператору по юридическому адресу или по иному контактному каналу, указанному на сайте Оператора.

Запрос должен позволять идентифицировать субъекта персональных данных и подтверждать его связь с Оператором либо факт обработки его персональных данных.

16. Порядок рассмотрения обращений субъектов персональных данных

Оператор рассматривает обращения и запросы субъектов персональных данных, их представителей, а также запросы Роскомнадзора в сроки, установленные законодательством Российской Федерации.

Подтверждение факта обработки персональных данных, правовые основания, цели обработки и иные сведения предоставляются субъекту персональных данных или его представителю в течение 10 рабочих дней с момента обращения или получения запроса.

Указанный срок может быть продлен не более чем на 5 рабочих дней при направлении мотивированного уведомления.

Если в обращении отсутствуют сведения, необходимые для идентификации субъекта или подтверждения полномочий представителя, Оператор вправе запросить уточняющую информацию либо направить мотивированный отказ.

При выявлении неточных персональных данных Оператор блокирует такие данные на период проверки, если блокирование не нарушает права и законные интересы субъекта или третьих лиц, и уточняет данные в течение 7 рабочих дней со дня предоставления подтверждающих сведений.

При выявлении неправомерной обработки Оператор прекращает неправомерную обработку и принимает меры к уничтожению персональных данных, если обеспечить правомерность обработки невозможно.

17. Хранение и уничтожение персональных данных

Персональные данные хранятся в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом, договором, архивным законодательством или иным законным основанием.

Персональные данные, содержащиеся в кадровых, бухгалтерских, налоговых, договорных и иных документах, хранятся в течение сроков, установленных законодательством Российской Федерации.

Персональные данные уничтожаются или обезличиваются при:

• достижении целей обработки;
• утрате необходимости в достижении целей обработки;
• отзыве согласия субъектом персональных данных;
• требовании субъекта о прекращении обработки;
• выявлении незаконного получения данных;
• истечении сроков хранения;
• прекращении обработки по иным законным основаниям.

Уничтожение персональных данных осуществляется комиссией или уполномоченным лицом Оператора. Факт уничтожения подтверждается актом об уничтожении персональных данных, а при уничтожении данных из информационных систем — также выгрузкой из журнала регистрации событий, если применимо.

18. Меры защиты персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от:

• неправомерного доступа;
• случайного доступа;
• уничтожения;
• изменения;
• блокирования;
• копирования;
• предоставления;
• распространения;
• иных неправомерных действий.

К мерам защиты относятся:

• назначение лица, ответственного за организацию обработки персональных данных;
• принятие локальных актов по обработке и защите персональных данных;
• ведение реестра процессов обработки персональных данных;
• ведение перечня информационных систем персональных данных и матрицы доступа;
• ограничение доступа по принципу минимально необходимых полномочий;
• индивидуальные учетные записи и запрет общих аккаунтов;
• использование паролей, двухфакторной аутентификации и иных средств защиты при необходимости;
• учет лиц, допущенных к обработке персональных данных;
• обязательство о неразглашении персональных данных;
• инструктаж и обучение работников;
• антивирусная защита;
• резервное копирование;
• обновление программного обеспечения;
• контроль использования личных устройств, съемных носителей, личной почты, мессенджеров и облачных хранилищ;
• регистрация и расследование инцидентов;
• внутренние проверки соблюдения требований законодательства и локальных актов;
• прекращение доступа при увольнении или изменении должностных обязанностей.

Конкретный состав мер защиты определяется Оператором с учетом характера обработки, уровня защищенности информационных систем, актуальных угроз, объема и категорий персональных данных, а также обязательных требований законодательства Российской Федерации.

19. Инциденты, связанные с персональными данными

При выявлении факта неправомерной или случайной передачи, предоставления, распространения, доступа к персональным данным, повлекших нарушение прав субъектов персональных данных, Оператор принимает меры по локализации инцидента, устранению последствий, сохранению доказательств и проведению внутреннего расследования.

Оператор уведомляет Роскомнадзор:

• в течение 24 часов — о произошедшем инциденте, предполагаемых причинах, предполагаемом вреде и принятых мерах;
• в течение 72 часов — о результатах внутреннего расследования и лицах, действия которых стали причиной инцидента, при наличии таких сведений.

Порядок действий работников, регистрации инцидентов, уведомления руководства, Роскомнадзора и субъектов персональных данных определяется локальными документами Оператора.

20. Заключительные положения

Контроль за исполнением настоящей Политики осуществляет лицо, ответственное за организацию обработки персональных данных у Оператора.

Политика подлежит пересмотру не реже одного раза в год, а также при изменении законодательства Российской Федерации, целей обработки, состава персональных данных, категорий субъектов, информационных систем, подрядчиков, каналов сбора данных, факта трансграничной передачи, выявлении инцидента или изменении деятельности Оператора.

В случае противоречия настоящей Политики законодательству Российской Федерации применяются требования законодательства Российской Федерации. Оператор обязан внести необходимые изменения в Политику и связанные локальные акты.

Настоящая Политика вступает в силу с даты ее утверждения Оператором и действует до ее отмены или утверждения новой редакции.