Примечание: Данная Политика разработана в соответствии с Федеральным законом №152-ФЗ «О персональных данных» и подлежит применению с момента размещения на сайте.
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика в отношении обработки персональных данных (далее – «Политика») определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных в СРО «Союзпроект» (далее – «Оператор», «СРО»).
1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Гражданским кодексом Российской Федерации, Трудовым кодексом Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – «152-ФЗ»), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 01.12.2007 № 315-ФЗ «О саморегулируемых организациях», Градостроительным кодексом Российской Федерации, Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», Постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», Приказом Федеральной службы по техническому и экспортному контролю от 18.02.2013 № 21, иными нормативными правовыми актами Российской Федерации, регулирующими отношения в области обработки персональных данных.
1.3. Политика устанавливает обязательные для исполнения работниками Оператора требования и распространяется на все процессы обработки персональных данных, осуществляемые Оператором, в том числе на обработку персональных данных в автоматизированной информационной системе «Личный кабинет члена саморегулируемой организации» (далее – «Личный кабинет», «ЛК»), особенности которой определены разделом 13 настоящей Политики. Политика также определяет порядок обработки и защиты персональных данных пользователей Сайта sro-krasproekt.ru (далее – Сайт).
1.4. Действие Политики распространяется на все персональные данные, обрабатываемые Оператором с использованием средств автоматизации и без использования таких средств.
1.5. В соответствии с частью 2 статьи 18.1 152-ФЗ Политика подлежит размещению в свободном доступе на официальном сайте Оператора и в интерфейсе Личного кабинета. Доступ к Политике предоставляется неограниченному кругу лиц без необходимости прохождения авторизации.
2. ОСНОВНЫЕ ПОНЯТИЯ
2.1. В настоящей Политике используются понятия в значениях, определённых 152-ФЗ. Для целей настоящей Политики применяются также следующие специальные понятия:
«Член СРО» – юридическое лицо или индивидуальный предприниматель, являющийся членом СРО.
«Личный кабинет», «ЛК» – автоматизированная информационная система, используемая Оператором для электронного взаимодействия с членами СРО, их представителями, сотрудниками и иными уполномоченными пользователями.
«ИСПДн» – информационная система персональных данных Оператора, представляющая собой совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
«Лицо, осуществляющее обработку по поручению Оператора» – третье лицо, которому Оператор поручил обработку персональных данных в соответствии с частью 3 статьи 6 152-ФЗ.
«Суб-обработчик» – третье лицо, привлекаемое Лицом, осуществляющим обработку по поручению Оператора, для обработки персональных данных по поручению Оператора (в том числе оператор центра обработки данных, хостинг-провайдер).
«УКЭП» – усиленная квалифицированная электронная подпись в значении, определённом Федеральным законом от 06.04.2011 № 63-ФЗ «Об электронной подписи».
«Журналы» – записи событий ИСПДн (в том числе сведения о входе в систему, действиях пользователей, IP-адресах, идентификаторах сессий, фактах подписания документов УКЭП).
3. СВЕДЕНИЯ ОБ ОПЕРАТОРЕ
3.1. Полное наименование: Саморегулируемый союз проектировщиков.
3.2. Сокращённое наименование: СРО «Союзпроект».
3.3. ИНН: 2463090478 ОГРН:1082400002013
3.4. Регистрационный номер в государственном реестре саморегулируемых организаций: П-018.
3.5. Юридический адрес:660017, г. Красноярск, ул. Урицкого 125, пом.161.
3.6. Адрес для направления почтовой корреспонденции: 660017, г. Красноярск, а/я 358.
3.7. Контактные данные: телефон (391)268-17-17, 268-05-68, адрес электронной почты: npsrproekt@mail.ru, официальный сайт: sro-krasproekt.ru
3.8. Сведения об Операторе включены в реестр операторов, осуществляющих обработку персональных данных, ведущийся Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).
3.9. Информация о компании, предоставляющей услуг хостинга:
ООО “Бегет” (ИНН: 7801451618, ОГРН: 1077847645590)
195112, г. Санкт-Петербург, площадь Карла Фаберже, д. 8, литер Б, офис 726А.
ЦОД расположен по адресу: 196084, г. Санкт-Петербург, ул. Цветочная, д. 21, литер А.
Тел.: 8 (800) 700-06-08, e-mail: support@beget.com.
4. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. Правовыми основаниями обработки персональных данных Оператором являются:
а) Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
б) Градостроительный кодекс Российской Федерации (в том числе статьи 55.1–55.20);
в) Федеральный закон от 01.12.2007 № 315-ФЗ «О саморегулируемых организациях»;
г) Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»;
д) Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;
е) подзаконные нормативные правовые акты, принятые в соответствии с указанными федеральными законами (в том числе приказы Минстроя России, регулирующие порядок ведения реестра членов саморегулируемой организации и состав сведений, размещаемых в нём);
ж) Устав Оператора, внутренние документы Оператора (положения, регламенты, инструкции);
з) договоры, заключаемые Оператором с членами СРО, контрагентами и работниками;
и) согласия субъектов персональных данных в случаях, когда такие согласия требуются в соответствии с законодательством Российской Федерации.
4.2. Обработка персональных данных без согласия субъекта персональных данных осуществляется в случаях, предусмотренных пунктами 2–11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 152-ФЗ, в том числе:
а) обработка необходима для осуществления функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Оператора;
б) обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
в) обработка необходима для осуществления прав и законных интересов Оператора или третьих лиц либо для достижения общественно значимых целей, при условии, что не нарушаются права и свободы субъекта персональных данных.
4.3. Согласие субъекта персональных данных оформляется отдельно от иных информации и документов, которые подтверждает или подписывает субъект персональных данных, в случаях и форме, предусмотренных 152-ФЗ. Согласие может предоставляться в письменной форме либо в электронной форме посредством отдельного интерфейсного элемента Личного кабинета, позволяющего подтвердить факт его получения. В случаях, когда законодательством Российской Федерации требуется согласие в письменной форме, согласие в форме электронного документа подписывается электронной подписью в соответствии с законодательством Российской Федерации.
4.4. Большая часть обработки персональных данных, осуществляемой Оператором, производится не на основании согласия субъекта персональных данных, а в связи с исполнением обязанностей, возложенных на Оператора законодательством Российской Федерации (в том числе в области саморегулирования и градостроительной деятельности), исполнением договоров, осуществлением прав и законных интересов Оператора, ведением реестра членов СРО и осуществлением иных функций саморегулируемой организации.
4.5. Отзыв согласия субъекта персональных данных не прекращает обработку персональных данных в случаях, когда обработка необходима Оператору для исполнения обязанностей, установленных законодательством Российской Федерации, осуществления прав и законных интересов Оператора, хранения документов, подтверждения юридически значимых действий, рассмотрения споров, претензий и обращений, а также исполнения функций саморегулируемой организации.
5. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Оператор обрабатывает персональные данные в следующих целях:
5.1.1. Ведение реестра членов СРО в соответствии со статьёй 7.1 Федерального закона от 01.12.2007 № 315-ФЗ и применимыми требованиями Градостроительного кодекса Российской Федерации.
5.1.2. Осуществление функций саморегулируемой организации, в том числе: контроль за деятельностью членов СРО; рассмотрение жалоб и обращений; применение мер дисциплинарного воздействия; формирование, поддержание и контроль за компенсационными фондами; организация информационной открытости СРО.
5.1.3. Учёт сведений о специалистах, включённых в Национальный реестр специалистов в области строительства (НРС) и осуществляющих трудовую деятельность у членов СРО.
5.1.4. Учёт уведомлений членов СРО о заключении, изменении, исполнении и расторжении договоров подряда, а также об исках о возмещении вреда (в случаях, предусмотренных законодательством Российской Федерации).
5.1.5. Мониторинг обязательств членов СРО, контроль страхования ответственности членов СРО.
5.1.6. Обеспечение электронного документооборота между Оператором и членами СРО, в том числе: обмен обращениями, направление уведомлений, обмен документами с применением УКЭП.
5.1.7. Предоставление членам СРО, их сотрудникам, специалистам НРС и иным уполномоченным лицам доступа к Личному кабинету и его функциональности.
5.1.8. Информирование членов СРО и их представителей о деятельности СРО, мероприятиях, изменениях в законодательстве Российской Федерации, имеющих отношение к деятельности членов СРО.
5.1.9. Исполнение трудовых, гражданско-правовых и иных договоров, заключённых Оператором с работниками и контрагентами; ведение кадрового учёта; обеспечение бухгалтерского и налогового учёта.
5.1.10. Исполнение требований законодательства Российской Федерации, в том числе законодательства о бухгалтерском учёте, налогового законодательства, законодательства о воинском учёте, архивном деле и иных обязательных требований, применимых к деятельности Оператора.
5.1.11. Защита прав и законных интересов Оператора, в том числе при участии в судебных, административных и иных юрисдикционных процедурах.
5.1.12. Обеспечение информационной безопасности ИСПДн, расследование инцидентов информационной безопасности.
6. КАТЕГОРИИ СУБЪЕКТОВ И СОСТАВ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Оператор обрабатывает персональные данные следующих категорий субъектов:
а) единоличные исполнительные органы (руководители), иные представители и индивидуальные предприниматели – члены СРО;
б) сотрудники организаций – членов СРО, в том числе специалисты, включённые в Национальный реестр специалистов (НРС);
в) работники Оператора;
г) кандидаты на трудоустройство в Оператор;
д) физические лица – представители контрагентов Оператора;
е) физические лица, обращающиеся к Оператору с заявлениями, жалобами, запросами, в том числе субъекты персональных данных, реализующие права, предусмотренные 152-ФЗ;
ж) иные физические лица, чьи персональные данные обрабатываются Оператором в случаях, предусмотренных законодательством Российской Федерации.
6.2. В отношении представителей организаций – членов СРО и индивидуальных предпринимателей – членов СРО обрабатываются: имя пользователя (фамилия, имя, отчество (при наличии), указанные при создании учётной записи); должность (при предоставлении соответствующих сведений); номер телефона; адрес электронной почты; сведения о полномочиях (для представителей); логин учётной записи в Личном кабинете (как правило – идентификационный номер налогоплательщика (ИНН) Члена СРО либо иной идентификатор, назначенный Администратором); хеш пароля; сведения, содержащиеся в УКЭП и в сертификате ключа проверки УКЭП (в отношении документов, подписанных УКЭП); IP-адрес, идентификатор учётной записи и иные служебные данные, формируемые в Журналах ИСПДн.
6.3. В отношении сотрудников организаций – членов СРО (при использовании в Личном кабинете соответствующего модуля учёта специалистов и кадров) обрабатываются: фамилия, имя, отчество (при наличии); должность; сведения об образовании; стаж работы; тип занятости; даты приёма на работу и увольнения; идентификационный номер в Национальном реестре специалистов; номер свидетельства независимой оценки квалификации; номер и дата удостоверения о повышении квалификации; иные сведения, предусмотренные законодательством Российской Федерации в области градостроительной деятельности и саморегулирования.
6.4. В составе документов, загружаемых в Личный кабинет членом СРО или его представителем (доверенностей, приказов, документов об образовании, документов о трудовой деятельности, сертификатов ключа проверки УКЭП и иных документов), могут содержаться персональные данные, включённые в такие документы их составителем, в том числе: сведения о документе, удостоверяющем личность; страховой номер индивидуального лицевого счёта (СНИЛС); идентификационный номер налогоплательщика (ИНН) физического лица; сведения об образовании, квалификации, трудовой деятельности; сведения о полномочиях представителя; сведения, содержащиеся в сертификате ключа проверки электронной подписи. Оператор обрабатывает такие сведения исключительно в пределах целей, для которых соответствующий документ загружен в Личный кабинет, и в пределах, необходимых для исполнения функций саморегулируемой организации.
6.5. В отношении работников Оператора обрабатываются персональные данные в объёме, предусмотренном Трудовым кодексом Российской Федерации и иными нормативными правовыми актами Российской Федерации в области трудовых отношений, бухгалтерского учёта, налогообложения, обязательного социального страхования, воинского учёта.
6.6. В отношении физических лиц – представителей контрагентов Оператора обрабатываются: фамилия, имя, отчество; должность; сведения о полномочиях; контактные данные (телефон, адрес электронной почты).
6.7. Оператор не запрашивает и не предполагает обработку специальных категорий персональных данных и биометрических персональных данных в Личном кабинете. Обработка таких персональных данных допускается исключительно в случаях и на основаниях, предусмотренных соответственно статьями 10 и 11 152-ФЗ, в том числе при наличии письменного согласия субъекта персональных данных, если такое согласие требуется законодательством Российской Федерации.
7. ИСТОЧНИКИ ПОЛУЧЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1. Персональные данные могут быть получены Оператором:
а) непосредственно от субъекта персональных данных (в том числе при подаче заявлений, обращений, заполнении форм в Личном кабинете, направлении документов в адрес Оператора);
б) от Члена СРО или его уполномоченного представителя (в том числе в составе документов, загружаемых в Личный кабинет, при подаче членом СРО уведомлений, отчётов и иных документов);
в) из государственных и иных информационных систем, к которым Оператор имеет правомерный доступ (в том числе при проверке достоверности сведений);
г) из общедоступных источников;
д) автоматически – при использовании Личного кабинета и иных информационных систем Оператора (Журналы, технические идентификаторы, сведения об IP-адресе, типе и версии браузера, типе оконечного устройства, времени совершения действий).
8. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Обработка персональных данных Оператором осуществляется в соответствии с принципами, установленными статьёй 5 152-ФЗ:
а) законность и справедливость целей и способов обработки;
б) ограничение обработки достижением конкретных, заранее определённых и законных целей; недопущение обработки, несовместимой с целями сбора;
в) недопущение объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
г) соответствие содержания и объёма обрабатываемых персональных данных заявленным целям обработки; недопущение обработки, избыточной по отношению к таким целям;
д) обеспечение точности, достаточности и актуальности персональных данных; принятие необходимых мер по удалению или уточнению неполных, неточных данных;
е) хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки;
ж) уничтожение или обезличивание персональных данных по достижении целей обработки или в случае утраты необходимости в их достижении, если иное не предусмотрено законодательством Российской Федерации.
8.2. Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без использования таких средств (на бумажных носителях). Способами обработки являются: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
8.3. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных без участия человека (часть 1 статьи 16 152-ФЗ).
8.4. Хранение и обработка персональных данных граждан Российской Федерации осуществляется исключительно с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с частью 5 статьи 18 152-ФЗ. Трансграничная передача персональных данных Оператором не осуществляется.
9. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ. ПОРУЧЕНИЕ ОБРАБОТКИ
9.1. Оператор передаёт персональные данные третьим лицам исключительно в случаях, предусмотренных законодательством Российской Федерации, на основании договоров (в том числе поручений на обработку персональных данных в соответствии с частью 3 статьи 6 152-ФЗ) и (или) с согласия субъекта персональных данных, когда такое согласие необходимо.
9.2. Получателями персональных данных могут являться:
а) Ассоциация «Национальное объединение строителей» (НОСТРОЙ), Национальное объединение изыскателей и проектировщиков (НОПРИЗ) и иные национальные объединения саморегулируемых организаций – в случаях, предусмотренных Градостроительным кодексом Российской Федерации и иными нормативными правовыми актами;
б) уполномоченные государственные органы (Роскомнадзор, Ростехнадзор, налоговые органы, правоохранительные органы, суды, органы прокуратуры) – по их запросам в установленных законом случаях;
в) лица, осуществляющие обработку персональных данных по поручению Оператора;
г) иные лица – на основании согласия субъекта персональных данных или иных законных оснований, прямо предусмотренных федеральным законом.
9.3. Оператор вправе поручать обработку персональных данных третьим лицам на основании договора и поручения на обработку персональных данных в соответствии с частью 3 статьи 6 152-ФЗ. Лица, осуществляющие обработку персональных данных по поручению Оператора, обязаны соблюдать принципы и правила обработки персональных данных, обеспечивать конфиденциальность и безопасность персональных данных, обрабатывать персональные данные только в пределах поручения Оператора и не использовать их в собственных целях.
9.4. Лицо, осуществляющее обработку персональных данных по поручению Оператора, не определяет самостоятельно цели обработки персональных данных, не определяет состав обрабатываемых персональных данных, не использует персональные данные субъектов в собственных целях, не передаёт их третьим лицам в собственных интересах и осуществляет обработку исключительно в пределах, необходимых для исполнения соответствующего поручения Оператора и эксплуатации информационных систем Оператора.
9.5. В части функционирования Личного кабинета обработка персональных данных по поручению Оператора может осуществляться лицами, обеспечивающими техническую эксплуатацию, сопровождение, хостинг, обновление, резервное копирование, восстановление работоспособности и информационную безопасность Личного кабинета. Сведения о таких лицах предоставляются субъекту персональных данных или его представителю по обращению либо запросу в порядке, предусмотренном разделом 12 настоящей Политики, с учётом требований части 7 статьи 14 152-ФЗ.
9.6. Лица, осуществляющие обработку персональных данных по поручению Оператора, вправе привлекать суб-обработчиков (операторов центров обработки данных, хостинг-провайдеров) при условии: (а) обработки персональных данных суб-обработчиком исключительно на территории Российской Федерации; (б) ответственности Лица, осуществляющего обработку, перед Оператором за действия суб-обработчиков как за собственные действия.
9.7. Передача персональных данных в рамках Поручения на обработку осуществляется с применением технических и организационных мер, обеспечивающих конфиденциальность и целостность передаваемых сведений, в том числе с использованием шифрования транспортного уровня (TLS / HTTPS) при передаче через сети связи общего пользования и (или) с использованием закрытых частных (внутренних) сетей при передаче между серверами, входящими в инфраструктуру Оператора и привлечённых им лиц. Хранение персональных данных осуществляется с применением мер защиты в соответствии со статьёй 19 152-ФЗ и Постановлением Правительства Российской Федерации от 01.11.2012 № 1119.
10. СРОКИ ОБРАБОТКИ И ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
10.1. Сроки обработки персональных данных определяются:
а) сроками, установленными законодательством Российской Федерации (для отдельных категорий персональных данных и документов);
б) сроками действия договоров, заключённых с субъектом персональных данных или с его участием (включая срок членства организации в СРО);
в) сроком действия согласия субъекта персональных данных (если правовым основанием обработки является согласие);
г) сроками, установленными внутренними документами Оператора (в том числе номенклатурой дел и сроками хранения документов в архиве Оператора).
10.2. По достижении целей обработки или утрате необходимости в их достижении, а также по истечении сроков, установленных законодательством Российской Федерации и (или) внутренними документами Оператора, персональные данные подлежат уничтожению или обезличиванию, если иное не предусмотрено законодательством Российской Федерации.
10.3. Сведения о членстве организаций в СРО, в том числе персональные данные руководителей и сотрудников членов СРО, могут храниться Оператором в течение всего срока членства организации в СРО и после прекращения членства – в течение сроков, установленных законодательством Российской Федерации, в том числе для целей формирования архивных и исторических сведений о реестре членов СРО.
10.4. Журналы ИСПДн обрабатываются в целях обеспечения информационной безопасности, расследования инцидентов и защиты прав и законных интересов Оператора и могут храниться в течение срока общей исковой давности (3 (три) года), при условии ограничения доступа к ним.
11. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
11.1. Оператор обеспечивает конфиденциальность персональных данных в соответствии со статьёй 7 152-ФЗ. Лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам и не распространять без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.
11.2. Безопасность персональных данных обеспечивается комплексом организационных и технических мер, направленных на защиту персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.
11.3. Организационные меры защиты персональных данных, реализуемые Оператором, включают, в том числе:
а) назначение лица, ответственного за организацию обработки персональных данных (часть 1 статьи 22.1 152-ФЗ);
б) утверждение и применение настоящей Политики и иных локальных нормативных актов в области обработки персональных данных;
в) ограничение круга работников Оператора, имеющих доступ к персональным данным; оформление обязательств о неразглашении;
г) проведение внутреннего контроля и (или) аудита соответствия обработки персональных данных требованиям 152-ФЗ;
д) ознакомление работников Оператора с положениями законодательства Российской Федерации о персональных данных и локальных нормативных актов Оператора, обучение работников по вопросам обработки персональных данных;
е) определение угроз безопасности персональных данных при их обработке в ИСПДн, формирование модели угроз;
ж) определение уровня защищённости ИСПДн в соответствии с Постановлением Правительства Российской Федерации от 01.11.2012 № 1119;
з) учёт машинных носителей персональных данных;
и) реагирование на инциденты, связанные с персональными данными.
11.4. Технические меры защиты персональных данных в ИСПДн Оператора включают, в том числе:
а) разграничение прав доступа Пользователей в соответствии с их ролями;
б) идентификацию и аутентификацию Пользователей при доступе к ИСПДн;
в) регистрацию событий безопасности в Журналах ИСПДн;
г) обеспечение целостности данных, в том числе посредством применения УКЭП;
д) резервное копирование данных;
е) применение защищённых протоколов передачи данных (HTTPS / TLS);
ж) меры по обнаружению фактов несанкционированного доступа к персональным данным, восстановлению персональных данных, изменённых или уничтоженных вследствие несанкционированного доступа;
з) реализацию иных мер в соответствии с Приказом ФСТЭК России от 18.02.2013 № 21 и моделью угроз Оператора.
11.5. Уровень защищённости ИСПДн Оператора определяется Оператором самостоятельно на основании Постановления Правительства Российской Федерации от 01.11.2012 № 1119 и применимой модели угроз.
12. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ И ПОРЯДОК ИХ РЕАЛИЗАЦИИ
12.1. В соответствии со статьями 14–16, 20, 21 152-ФЗ субъект персональных данных имеет право:
а) на получение информации, касающейся обработки его персональных данных, включая сведения, перечисленные в части 7 статьи 14 152-ФЗ (правовые основания и цели обработки, применяемые способы обработки, наименование и место нахождения Оператора, сведения о лицах, имеющих доступ к персональным данным, обрабатываемые персональные данные и источник их получения, сроки обработки и хранения, порядок реализации прав субъекта, информацию об осуществлённой или предполагаемой трансграничной передаче, наименование лица, осуществляющего обработку по поручению Оператора, и иные сведения);
б) требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
в) принимать предусмотренные законом меры по защите своих прав, в том числе обжаловать действия или бездействие Оператора в Роскомнадзор и (или) в судебном порядке;
г) отозвать согласие на обработку персональных данных в случаях, когда обработка осуществляется на основании такого согласия (часть 2 статьи 9 152-ФЗ);
д) на возмещение убытков и компенсацию морального вреда в судебном порядке в случае нарушения Оператором требований законодательства Российской Федерации о персональных данных;
е) требовать прекращения обработки персональных данных в случаях и порядке, предусмотренных частью 5.1 статьи 21 152-ФЗ.
12.2. Запрос субъекта персональных данных направляется в адрес Оператора одним из следующих способов:
а) в письменной форме по почтовому адресу: 660017, г. Красноярск, а/я 358;
б) в форме электронного документа, подписанного электронной подписью в соответствии с законодательством Российской Федерации, на адрес электронной почты: npsrproekt@mail.ru
в) лично по адресу:660017, г. Красноярск, ул. Урицкого 125, пом.161;
г) через интерфейс Личного кабинета (для зарегистрированных Пользователей).
12.3. Запрос должен содержать сведения, позволяющие идентифицировать субъекта персональных данных и подтвердить его участие в отношениях с Оператором, в том числе: фамилию, имя, отчество субъекта (или его представителя); номер основного документа, удостоверяющего личность субъекта (или его представителя), сведения о дате выдачи указанного документа и выдавшем его органе; сведения, подтверждающие участие в отношениях с Оператором (номер договора, идентификатор учётной записи в Личном кабинете, наименование Члена СРО, представителем (сотрудником) которого является субъект, и иные); подпись субъекта или его представителя (для запросов на бумажном носителе) либо электронная подпись в соответствии с законодательством Российской Федерации (для запросов в форме электронного документа). К запросу, направляемому представителем, прилагается доверенность.
12.4. Оператор рассматривает обращения и запросы субъекта персональных данных или его представителя в порядке и сроки, установленные 152-ФЗ:
а) сведения, касающиеся обработки персональных данных субъекта, предоставляются в течение 10 (десяти) рабочих дней с момента обращения либо получения соответствующего запроса. Указанный срок может быть продлён не более чем на 5 (пять) рабочих дней при условии направления субъекту персональных данных мотивированного уведомления с указанием причин продления срока – в соответствии с частью 3 статьи 14 и частью 1 статьи 20 152-ФЗ;
б) в случае предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, Оператор вносит в них необходимые изменения либо обеспечивает внесение таких изменений в срок, не превышающий 7 (семи) рабочих дней со дня предоставления подтверждающих сведений, – в соответствии с частью 3 статьи 20 и частью 2 статьи 21 152-ФЗ;
в) в случае предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Оператор уничтожает такие персональные данные либо обеспечивает их уничтожение в срок, не превышающий 7 (семи) рабочих дней со дня предоставления подтверждающих сведений, – в соответствии с частью 3 статьи 20 152-ФЗ;
г) при поступлении отзыва согласия на обработку персональных данных Оператор прекращает обработку персональных данных либо обеспечивает её прекращение лицом, осуществляющим обработку по поручению Оператора, и, если сохранение персональных данных более не требуется для целей обработки, уничтожает их либо обеспечивает их уничтожение в срок, не превышающий 30 (тридцати) дней с даты поступления отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор вправе продолжить обработку без согласия субъекта на основаниях, предусмотренных федеральным законом, — в соответствии с частью 5 статьи 21 152-ФЗ. При отсутствии возможности уничтожения персональных данных в указанный срок Оператор осуществляет их блокирование и обеспечивает уничтожение в срок не более 6 (шести) месяцев — в соответствии с частью 6 статьи 21 152-ФЗ;
д) при поступлении требования субъекта персональных данных о прекращении обработки персональных данных Оператор прекращает обработку либо обеспечивает её прекращение в срок, не превышающий 10 (десяти) рабочих дней с даты получения требования, за исключением случаев, предусмотренных пунктами 2–11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 152-ФЗ. Указанный срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением субъекту персональных данных мотивированного уведомления с указанием причин продления — в соответствии с частью 5.1 статьи 21 152-ФЗ.
12.5. В случае отказа в предоставлении субъекту персональных данных или его представителю информации, касающейся обработки персональных данных, Оператор направляет мотивированный ответ в письменной форме со ссылкой на положение части 8 статьи 14 152-ФЗ или иного федерального закона, являющееся основанием для отказа. Ответ направляется в срок, не превышающий 10 (десяти) рабочих дней со дня обращения либо получения запроса; указанный срок может быть продлён не более чем на 5 (пять) рабочих дней при условии направления мотивированного уведомления с указанием причин продления – в соответствии с частью 2 статьи 20 152-ФЗ.
13. ОСОБЕННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИСПОЛЬЗОВАНИИ ЛИЧНОГО КАБИНЕТА
13.1. Доступ к Личному кабинету предоставляется уполномоченным пользователям исключительно Администратором СРО. Самостоятельная регистрация в Личном кабинете не предусмотрена.
13.2. При использовании Личного кабинета Оператор обрабатывает персональные данные пользователей, в том числе: имя пользователя (фамилия, имя, отчество (при наличии), указанные при создании учётной записи); логин учётной записи (как правило – идентификационный номер налогоплательщика (ИНН) Члена СРО либо иной идентификатор, назначенный Администратором); адрес электронной почты; хеш пароля; тип учётной записи (роль) и связанные с ним права доступа; статус учётной записи; идентификатор связанного Члена СРО (для пользователей, действующих от имени Члена СРО); сведения, содержащиеся в УКЭП и в сертификате ключа проверки УКЭП (в отношении документов, подписанных УКЭП); IP-адрес; идентификатор учётной записи; сведения о действиях пользователя в системе, формируемые в Журналах. Сведения о должности, образовании, квалификации и иные сведения о сотрудниках Членов СРО и специалистах, включённых в НРС, обрабатываются в рамках самостоятельных сущностей Личного кабинета (учёт сотрудников, реестр специалистов) и не входят в состав сведений учётной записи.
13.3. Получение Пользователем доступа к Личному кабинету сопровождается ознакомлением Пользователя с настоящей Политикой, Политикой использования файлов cookie Оператора и Пользовательским соглашением. В случаях, когда обработка персональных данных требует согласия субъекта в соответствии с законодательством Российской Федерации, такое согласие оформляется отдельно от иных информации и документов, которые подтверждает или подписывает субъект персональных данных, и предоставляется посредством отдельного интерфейсного элемента Личного кабинета, обеспечивающего фиксацию факта, содержания, версии и даты предоставления согласия.
13.4. Все персональные данные, обрабатываемые в Личном кабинете, размещаются в базах данных, расположенных исключительно на территории Российской Федерации. Трансграничная передача персональных данных через Личный кабинет не осуществляется.
13.5. Обработка персональных данных, осуществляемая в рамках эксплуатации Личного кабинета лицами, осуществляющими обработку по поручению Оператора, ограничивается целями обеспечения функционирования, безопасности, сопровождения, обновления и восстановления Личного кабинета. Указанные лица не используют персональные данные пользователей в собственных целях, в целях рекламы, маркетинга или профилирования.
14. РЕАГИРОВАНИЕ НА ИНЦИДЕНТЫ, СВЯЗАННЫЕ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ
14.1. Под инцидентом, связанным с персональными данными (далее – «Инцидент»), понимается событие, повлекшее или способное повлечь неправомерный либо случайный доступ к персональным данным, их передачу, предоставление, распространение, утрату, изменение, блокирование, уничтожение или иное нарушение требований законодательства Российской Федерации в области персональных данных.
14.2. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Оператор:
а) принимает меры по локализации Инцидента, устранению его причин и минимизации последствий;
б) проводит внутреннее расследование Инцидента;
в) уведомляет Роскомнадзор в порядке, предусмотренном частью 3.1 статьи 21 152-ФЗ:
– в течение 24 (двадцати четырёх) часов с момента выявления Инцидента – о произошедшем Инциденте, предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, предполагаемом вреде, причинённом правам субъектов персональных данных, принятых мерах по устранению последствий Инцидента, а также сообщает сведения о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором;
– в течение 72 (семидесяти двух) часов с момента выявления Инцидента – о результатах внутреннего расследования, а также сообщает сведения о лицах, действия которых стали причиной Инцидента, при наличии таких сведений;
г) принимает иные меры, предусмотренные законодательством Российской Федерации;
д) обеспечивает регистрацию Инцидента и принятых мер во внутреннем журнале учёта инцидентов.
14.3. В случае выявления Инцидента лицом, осуществляющим обработку персональных данных по поручению Оператора, такое лицо незамедлительно уведомляет Оператора в сроки и порядке, установленные договором и поручением на обработку персональных данных, и предоставляет имеющиеся сведения и документы, необходимые для исполнения Оператором обязанностей, предусмотренных частью 3.1 статьи 21 152-ФЗ, локализации Инцидента и проведения внутреннего расследования.
14.4. Оператор самостоятельно оценивает фактические обстоятельства Инцидента и наличие оснований, предусмотренных частью 3.1 статьи 21 152-ФЗ. При наличии указанных оснований направление уведомления в Роскомнадзор является обязанностью Оператора. Уведомление субъектов персональных данных осуществляется при наличии обязанности, прямо установленной федеральным законом.
15. ОТВЕТСТВЕННОСТЬ
15.1. Лица, виновные в нарушении требований 152-ФЗ, настоящей Политики и иных требований к обработке и защите персональных данных, несут предусмотренную законодательством Российской Федерации гражданско-правовую, материальную, дисциплинарную, административную и уголовную ответственность.
15.2. Работники Оператора, имеющие доступ к персональным данным, несут ответственность за нарушение режима их защиты, обработки и порядка использования в соответствии с законодательством Российской Федерации, трудовыми договорами и локальными нормативными актами Оператора.
16. ИЗМЕНЕНИЕ ПОЛИТИКИ. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
16.1. Настоящая Политика подлежит пересмотру по мере необходимости, в том числе при изменении законодательства Российской Федерации, изменении состава или способов обработки персональных данных, изменении организационной структуры Оператора.
16.2. Изменения и дополнения в Политику вносятся в порядке, установленном внутренними документами Оператора, и подлежат размещению в свободном доступе одновременно с прекращением действия предыдущей редакции.
16.3. Действующая редакция Политики размещается на официальном сайте Оператора и в интерфейсе Личного кабинета.
16.4. Настоящая Политика является общедоступной. Доступ к Политике предоставляется неограниченному кругу лиц без необходимости прохождения авторизации.
16.5. Иные локальные нормативные акты Оператора в области обработки персональных данных (положения, инструкции, перечни) принимаются в развитие настоящей Политики и не должны ей противоречить.
Действующая редакция всегда находится на странице по адресу: https://sro-krasproekt.ru/politika-konfidencialnosti/