Согласие на обработку персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) составлена во исполнение Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее — Закон) и иных нормативных правовых актов РФ.
1.2. Политика определяет принципы, права и обязанности Оператора и субъектов персональных данных, порядок обработки и защиты таких данных.
1.3. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её публикации.
1.4. Политика действует в отношении всех персональных данных, которые Оператор получает в рамках своей деятельности.

2. Основные определения и понятия

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
Обработка персональных данных — любое действие (операция) или совокупность действий с использованием автоматизированных или неавтоматизированных средств: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение и др.
Оператор — организация или ИП, самостоятельно или совместно с другими лицами организующие обработку персональных данных.
Субъект персональных данных — физическое лицо, чьи персональные данные обрабатываются.
Конфиденциальность персональных данных — требование, согласно которому Оператор и иные лица обязаны не допускать их разглашения без согласия субъекта, если такое разглашение не допускается законом.

3. Цели, основания и основания обработки

3.1. Оператор обрабатывает персональные данные для следующих целей (примерный перечень):

выполнение договоров с субъектами (или контрагентами)
исполнение обязанностей перед государственными органами
кадровое делопроизводство (для работников)
статистический анализ, маркетинг, рассылки (при наличии согласия)
иные цели, прямо указанные субъекту при сборе данных

3.2. Правовыми основаниями обработки персональных данных являются (в зависимости от ситуации):

согласие субъекта (ст. 9 Закона)
исполнение договора, стороной которого является субъект
исполнение обязанностей, предусмотренных законом
защита жизни, здоровья субъекта или третьих лиц
исполнение функций государственного органа
иные основания, предусмотренные статьями 6, 10, 11 Закона

3.3. Оператор обрабатывает только те персональные данные, которые нужны для достижения целей обработки, и не обрабатывает избыточные данные.

4. Категории персональных данных, сроки обработки

4.1. Оператор может обрабатывать разные категории данных: ФИО, дата рождения, контактные данные, паспортные данные, сведения о доходах, биометрические данные и т.д.
4.2. Для специальных категорий (например, биометрия) требуется отдельное согласие и специальные меры защиты.
4.3. Срок хранения персональных данных определяется целями обработки и законодательством. По завершении целей данные подлежат уничтожению или обезличиванию, если иное не предусмотрено законом.
4.4. Например, согласие, связанное с подпиской на рассылку, может действовать до момента отзыва, если не установлен иной срок.

5. Права субъектов персональных данных

Субъект персональных данных имеет право:

получать информацию об обработке своих данных
вносить изменения в свои персональные данные
требовать прекращения обработки и (или) удаления данных, если нет законных оснований для их дальнейшего хранения
отзывать данное согласие
требовать передачи данных в машиночитаемом формате
обжаловать действия (бездействие) Оператора в уполномоченном органе

Оператор обязан рассмотреть такие запросы в сроки, предусмотренные законодательством.

6. Передача персональных данных третьим лицам и трансграничная передача

6.1. Передача данных третьим лицам допускается только в случаях, предусмотренных законодательством или с согласия субъекта.
6.2. При передаче персональных данных за пределы РФ оператор обязан убедиться, что в стране получателя обеспечен адекватный уровень защиты данных, либо получить согласие субъекта.
6.3. Оператор заключает договоры с контрагентами, когда те осуществляют обработку данных по поручению (вторичные операторы), и требует от них соблюдения конфиденциальности и мер защиты.

7. Охрана персональных данных и меры безопасности

7.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от несанкционированного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий.
7.2. Примеры мер: шифрование данных, контроль доступа, резервное копирование, протоколы аудита, обучение сотрудников и др.
7.3. Контроль за соблюдением мер безопасности возлагается на ответственного за обработку персональных данных.

8. Ответственность и изменения законодательства

8.1. За нарушение требований законодательства о персональных данных предусмотрена административная, гражданско-правовая и иная ответственность. С 30 мая 2025 года штрафы будут значительно увеличены.
8.2. Оператор обязуется учитывать изменения в законодательстве и вносить корректировки в Политику.

9. Порядок вступления в силу

9.1. Политика вступает в силу с момента её утверждения приказом руководителя Организации и обязателен к применению всеми подразделениями и сотрудниками.
9.2. Публикация Политики для субъектов данных (например, размещение на сайте) должна обеспечивать неограниченный доступ.