1. Общее положение
1.1. Положение об обработке и защите персональных данных клиентов (далее – Положение) является локальным нормативным актом ООО «Альянс-Автомаркет» (далее - Общество), регламентирующим порядок обработки и защиты персональных данных физических лиц, в том числе индивидуальных предпринимателей, самозанятых, а также официальных представителей юридических лиц или индивидуальных предпринимателей, вступающих в гражданские правоотношения с Обществом (далее – Клиент).
1.2. Настоящее Положение регламентируется Конституцией Российской Федерации, Федеральным законом «Об информации, информационных технологиях и о защите информации» № 149-ФЗ от 27.07.2006 г., Федеральным законом «О персональных данных» № 152-ФЗ от 27.07.2006 г., Постановлением Правительства РФ от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», Постановлением Правительства РФ от 15.09.2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» и другими нормативно-правовыми актами.
1.3. Основные понятия, используемые в настоящем Положении:
- персональные данные - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу - субъекту персональных данных, находящаяся в распоряжении Общества;
- персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом «О персональных данных» № 152-ФЗ от 27.07.2006 г.;
- оператор - Общество;
- клиент - физическое лицо, индивидуальный предприниматель, самозанятый либо физическое лицо, являющееся представителем юридического лица или индивидуального предпринимателя;
- обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
- автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
- защита персональных данных - деятельность Оператора по обеспечению с помощью локального регулирования порядка обработки персональных данных и организационно-технических мер конфиденциальности информации;
- распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
- предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
- блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
- уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
- обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
- информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
1.4. Целью настоящего Положения является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну. Положение устанавливает обязательные для сотрудников Общества общие требования и правила по работе со всеми видами носителей информации, содержащими персональные данные Клиентов.
1.5. Настоящее Положение является обязательным для исполнения всеми сотрудниками, имеющими доступ к персональным данным Клиента, и распространяется на отношения в области обработки персональных данных, возникшие у Общества как до, так и после утверждения настоящей Политики.
1.6. Во всех случаях, не урегулированных настоящим Положением, необходимо руководствоваться действующим законодательством РФ.
1.7. Во исполнение требований ч. 2 ст. 18.1 Федерального закона № 152-ФЗ от 27.07.2006 г "О персональных данных" настоящее Положение публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет.
2. Порядок и условия обработки и хранения персональных данных
2.1. Обработка персональных данных осуществляется с соблюдением принципов и правил, предусмотренных настоящим Положением и законодательством Российской Федерации. Обработка персональных данных Клиентов необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому он является, а также для заключения договора по инициативе Клиента - субъекта персональных данных или договора, по которому Клиент будет являться выгодоприобретателем или поручителем, а также в иных целях, предусмотренных согласием Клиента.
2.2. В целях обеспечения прав и свобод человека и гражданина Оператор при обработке персональных данных Клиента обязан соблюдать следующие общие требования:
2.2.1. Обработка персональных данных Клиента должна осуществляться на законной и справедливой основе, исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов, содействия выполнения договорных обязательств между Обществом и Клиентом.
2.2.2. При определении объема и содержания обрабатываемых персональных данных Оператор должен руководствоваться Конституцией Российской Федерации и действующим законодательством РФ.
2.2.3. Получение персональных данных может осуществляться как путем личного представления, так и путем получения их из иных источников. Все персональные данные Клиента следует получать лично, за исключением случаев, если их получение возможно только от третьей стороны. Получение персональных данных у третьих лиц возможно при условии уведомления об этом Клиента.
2.2.4. Использование персональных данных возможно только в соответствии с целями, определившими их получение. Персональные данные не могут быть использованы в целях причинения имущественного и морального вреда гражданам, затруднения реализации прав и свобод граждан Российской Федерации.
2.2.5. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Клиентом (представителем клиента), заключающим гражданско-правовой договор, предоставляется Оператору согласие на обработку персональных данных по форме Приложения № 1 к настоящему Положению. Клиентом, заполняющим форму запроса/заявки/резюме/анкеты на сайте Оператора, либо на бумажных носителях представляется согласие на обработку персональных данных по форме Приложения № 2 к настоящему Положению.
2.2.6. Согласие на обработку персональных данных может быть отозвано субъектом персональных данных путем направления Оператору письменного уведомления заказным почтовым отправлением с описью вложения, либо вручения лично под подпись уполномоченным представителям Оператора. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона «О персональных данных» № 152-ФЗ от 27.07.2006 года.
2.2.7. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
2.2.8. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.
2.2.9. При идентификации Клиента Оператор может затребовать предъявления документов, удостоверяющих личность Клиента и (или) подтверждающих полномочия его представителя.
2.2.10. Все меры конфиденциальности при сборе, обработке и хранении персональных данных распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.
2.2.11. Хранение персональных данных должно осуществляться в форме, позволяющей определить Клиента, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором. 2.2.12. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом, или при наступлении иных законных оснований.
2.3. Особенности обработки персональных данных, разрешенных Клиентом для распространения:
2.3.1. Согласие на обработку персональных данных, предоставленное Клиентом для распространения, оформляется отдельно от иных согласий Клиента на обработку его персональных данных по форме Приложения № 3 к настоящему Положению. При этом соблюдаются условия, предусмотренные, в частности, ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Оператор обеспечивает Клиенту возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
2.3.2. Согласие на обработку персональных данных, разрешенных Клиентом для распространения, может быть предоставлено Оператору:
1) непосредственно;
2) с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.
2.3.3. Молчание или бездействие Клиента ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
2.3.4. В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, Клиент вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных Оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ Оператора в установлении субъектом персональных данных запретов и условий, предусмотренных настоящей статьей, не допускается.
2.3.5. Оператор обязан в срок не позднее трех рабочих дней с момента получения соответствующего согласия Клиента опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения.
2.3.6. Передача (распространение, предоставление, доступ) персональных данных, разрешенных Клиентом для распространения, прекращается в любое время по его требованию. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) Клиента, а также перечень персональных данных, обработка которых подлежит прекращению. Указанные в данном требовании персональные данные могут обрабатываться только Оператором, которому оно направлено.
2.3.7. Действие согласия Клиента на обработку персональных данных, разрешенных субъектом персональных данных для распространения, прекращается с момента поступления Оператору требования, указанного в п. 2.3.6. настоящего Положения.
2.4. Право доступа к персональным данным Клиентов имеют:
- генеральный директор ООО «Альянс-Авто»;
- исполнительный директор ООО «Альянс-Авто»;
- руководители структурных подразделений Общества по направлениям деятельности (отдел продаж, СТО и т.д.);
- сотрудники структурных подразделений Общества по направлениям деятельности (отдел продаж, СТО и т.д.).
2.5. Для хранения носителей персональных данных Клиентов в помещениях структурных подразделений Общества, осуществляющих обработку персональных данных Клиентов, используются специально оборудованные шкафы и сейфы, которые запираются и находятся под охраной.
2.6. Персональные данные Клиентов в электронном виде хранятся в локальной компьютерной сети Оператора, в электронных папках и файлах в персональных компьютерах сотрудников, допущенных к обработке персональных данных Клиентов, доступ к которым ограничен учетной записью и индивидуальным паролем сотрудника.
3. Организация защиты персональных данных
3.1. Защита персональных данных Клиентов от неправомерного их использования или утраты обеспечивается Оператором в порядке, установленном законодательством РФ.
3.2. К обработке персональных данных Клиентов могут иметь доступ только сотрудники Оператора, допущенные к работе с персональными данными Клиента и давшие обязательство о неразглашении информации, содержащей персональные данные клиентов, по форме Приложения № 4 к настоящему Положению.
3.3. Сотрудники Оператора, имеющие доступ к персональным данным Клиентов, выполняют действия по обработке персональных данных в соответствии со служебной необходимостью и возложенными на них функциями в рамках должностных инструкций.
3.4. В целях реализации условий настоящего Положения Оператор назначает ответственного за организацию обработки персональных данных.
3.5. Защите подлежат:
3.5.1. Информация о персональных данных Клиента.
3.5.2. Документы на бумажных носителях, содержащие персональные данные Клиента.
3.5.3. Персональные данные, содержащиеся на электронных носителях.
3.6. Оператор принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных Клиентов от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных в соответствии со статьей 19 Федерального закона «О персональных данных» от 27.07.2006 года № 152-ФЗ, в том числе:
1) определяет угрозы безопасности персональных данных при их обработке в информационных системах персональных данных;
2) принимает организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
3) применяет прошедшую в установленном порядке процедуру оценки соответствия средств защиты информации;
4) оценивает эффективность принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
5) осуществляет учет машинных носителей персональных данных;
6) осуществляет поиск фактов несанкционированного доступа к персональным данным и принятие мер по данным фактам, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
7) восстанавливает персональные данные, модифицированные или уничтоженные вследствие несанкционированного доступа к ним;
8) устанавливает правила доступа к персональным данным, обрабатывает в информационной системе персональные данные, а также обеспечивает регистрацию и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных;
9) контролирует принимаемые меры по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
3.7. Оператор осуществляет внутренний контроль и (или) аудит соответствия обработки персональных данных Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Оператора в отношении обработки персональных данных, локальным актам Оператора.
3.8. Ответственными лицами за организацию обработки персональных данных в соответствии с настоящим Положением за организацию обработки и защиты персональных данных Клиентов является назначенное ответственное лицо, которое обеспечивают реализацию организационных и (или) технических мер защиты персональных данных, определенных с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах (организация режима обеспечения безопасности помещений, в которых производится обработка персональных данных, размещены информационные системы, препятствующие возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения, обеспечение сохранности носителей персональных данных, режима защиты информационных систем путем ограничение доступа к ней учетной записью и индивидуальным паролем сотрудника, допущенного к обработке персональных данных Клиента и т.д.).
3.9. При осуществлении хранения персональных данных Клиентов на бумажных носителях и машинных носителях информации Оператор обеспечивает их защиту от несанкционированного доступа и копирования согласно «Положению об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденному Постановлением Правительства РФ от 15.09.2008 г. № 687.
3.10. При обработке персональных данных Клиентов в информационных системах на машинных носителях информации, Оператор обеспечивает их защиту в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными Постановлением Правительства РФ от 01.11.2012 г. № 1119.
3.11. Оператор проводит внутренние расследования в следующих ситуациях:
- при неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов персональных данных;
- в иных случаях, предусмотренных законодательством в области персональных данных.
3.12. В случае инцидента Оператор в течение 24 часов уведомляет уполномоченный орган по защите прав субъектов персональных данных о:
- инциденте;
- его предполагаемых причинах и вреде, причиненном правам субъекта (нескольким субъектам) персональных данных;
- принятых мерах по устранению последствий инцидента;
- представителе Оператора, который уполномочен взаимодействовать с уполномоченным органом по защите прав субъектов персональных данных по вопросам, связанным с инцидентом.
При направлении уведомления Оператор руководствуется Порядком и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора от 14.11.2022 N 187.
3.13. В течение 72 часов Оператор обязан сделать следующее:
- уведомить уполномоченный орган по защите прав субъектов персональных данных о результатах внутреннего расследования;
- предоставить сведения о лицах, действия которых стали причиной инцидента (при наличии).
При направлении уведомления также необходимо руководствоваться Порядком и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора от 14.11.2022 N 187.
4. Передача персональных данных
4.1. Передача персональных данных Клиента третьим лицам осуществляется только с письменного согласия Клиента, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъекта персональных данных, при поступлении официальных запросов в соответствии с положениями Федерального закона «Об оперативно-розыскных мероприятиях», при поступлении официальных запросов из налоговых органов, органов Социального фонда России, судебных органов, а также в случаях, предусмотренных иными федеральными законами.
4.2. Передача персональных данных Оператором третьим лицам может допускаться только в целях выполнения задач, соответствующих объективной причине сбора этих данных.
4.3. При передаче персональных данных Клиентов третьим лицам Оператор обязуется предупредить лиц, получающих персональные данные Клиентов, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные Клиентов, обязаны соблюдать режим конфиденциальности. Данное положение не распространяется в случае обезличивания персональных данных и в отношении общедоступных данных.
4.4. Оператор осуществляет деятельность на территории Российской Федерации и не осуществляет трансграничную передачу персональных данных.
4.5. Установленные Клиентом запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации.
5. Обязанности Оператора, права и обязанности Клиента
5.1. Оператор обязуется:
5.1.1. Обеспечить защиту персональных данных Клиентов от их неправомерного использования или утраты в порядке, установленном законодательством РФ.
5.1.2. Осуществлять обработку персональных данных Клиентов исключительно в целях законной реализации товаров, оказания законных услуг Клиентам.
5.1.3. Не получать и не обрабатывать персональные данные Клиента о его расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, за исключением случаев, предусмотренных законом.
5.1.4. Обеспечить возможность Клиенту или его представителю ознакомиться с настоящим Положением и их правами в области защиты персональных данных.
5.1.5. В случае реорганизации или ликвидации Оператора обеспечить учет и сохранность документов, порядок передачи их на государственное хранение в соответствии с правилами, предусмотренными действующим законодательством Российской Федерации.
5.1.6. По требованию Клиента или его законного представителя предоставить полную информацию о его персональных данных и обработке этих данных.
5.1.7. Не допускать предоставление сведений, содержащих персональные данные, при ответе на вопросы по телефону или факсу.
5.2. В целях обеспечения достоверности персональных данных Клиент обязан:
5.2.1. При заключении договора предоставить Оператору полные и достоверные данные о себе.
5.2.2. В случае изменения сведений, составляющих персональные данные Клиента, незамедлительно предоставить данную информацию Оператору.
5.3. Клиент имеет право:
5.3.1. Получать информацию, касающуюся обработки его персональных данных, в порядке, форме и в сроки, установленные законодательством РФ в сфере персональных данных.
5.3.2. Требовать уточнения своих персональных данных, их блокирования или уничтожения, в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными, не являются необходимыми для завяленной цели обработки или используются в целях, не заявленных ранее при предоставлении Клиентами согласия на обработку персональных данных.
5.3.3. Требовать прекращения обработки своих персональных данных.
5.3.4. Принимать предусмотренные законом меры по защите своих прав.
5.3.5. Отозвать свое согласие на обработку персональных данных.
5.4. Для реализации своего права на получение информации касающейся обработки его персональных данных, Клиент или его представитель должен обратиться к Оператору с письменным заявлением, которое должно содержать:
- номер основного документа, удостоверяющего личность Клиента или его представителя;
- сведения о дате выдачи указанного документа и выдавшем его органе;
- сведения, подтверждающие участие субъекта Клиента в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором,
- подпись субъекта персональных данных или его представителя.
5.5. В рамках действующего законодательства РФ в сфере персональных данных, Оператор обязуется предоставить Клиенту по его запросу, следующую информацию:
- подтверждение факта обработки персональных данных Оператором;
- правовые основания и цели обработки персональных данных;
- цели и применяемые Оператором способы обработки персональных данных;
- наименование и место нахождения Оператора;
- сведения о лицах (за исключением работников Оператора»), которые имеют доступ к персональным данными или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
- обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
- сроки обработки персональных данных, в том числе сроки их хранения;
- порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
- информацию об осуществленной или о предполагаемой трансграничной передаче данных;
- наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
- информацию о способах исполнения Оператором обязанностей, установленных статьей 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
- иные сведения, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» или другими федеральными законами.
- В случае отсутствия возможности уничтожения персональных данных в течение указанного срока, Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование, если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора, и обеспечивает уничтожение персональных данных в срок не более чем 6 (шесть) месяцев, если иной срок не установлен федеральными законами.
6. Актуализация, исправление, удаление и уничтожение персональных данных. Порядок рассмотрения запросов субъектов персональных данных
6.1. В случаях, прямо предусмотренных статьей 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Оператор сообщает Клиенту или его представителю информацию о наличии персональных данных, относящихся к нему, а также предоставляет возможность ознакомления с этими персональными данными при обращении Клиента или его представителя либо в течение 10 (десяти) рабочих дней с даты получения запроса Клиента или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней при условии направления Оператором в адрес Клиента мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
6.2. В рамках реализации требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», Оператор на безвозмездной основе представляет Клиенту или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных. В срок, не превышающий 7 (семи) рабочих дней со дня предоставления Клиентом или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, Оператор вносит в них необходимые изменения. В срок, не превышающий 7 (семи) рабочих дней со дня представления Клиентом или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Оператор уничтожает такие персональные данные. При этом Оператор обязуется уведомить Клиента или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.
6.3. В случае выявления неправомерной обработки персональных данных при обращении/запросе Клиента, его представителя либо уполномоченного органа по защите прав субъектов персональных данных Оператор обязуется с момента обращения/запроса на период проверки осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора). В случае выявления неточных персональных данных при обращении/запросе Клиента, его представителя либо уполномоченного органа по защите прав субъектов персональных данных Оператор обязуется осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения/запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц. В случае подтверждения факта неточности персональных данных, Оператор на основании сведений, представленных Клиентом, его представителем либо уполномоченным органом по защите прав субъектов персональных данных, обязуется уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в течение 7 (семи) рабочих дней со дня представления таких сведений и снять блокирование персональных данных.
6.4. Оператор также прекращает обработку персональных данных или обеспечивает прекращение обработки персональных данных лицом, действующим по его поручению:
- в случае выявления неправомерной обработки персональных данных, осуществляемой Оператором или лицом, действующим по его поручению, в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления;
- в случае истечения срока действия согласия Клиента на обработку его персональных данных или отзыва Клиентом согласия на обработку его персональных данных, при отсутствии иных правовых оснований обработки персональных данных;
- в случае получения требования Клиента о прекращении обработки его персональных данных и при отсутствии иных правовых оснований обработки персональных данных, в срок не превышающий 10 (десяти) рабочих дней с даты получения Оператором такого требования. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Оператором в адрес Клиента мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации;
- в случае достижения цели обработки персональных данных, при отсутствии иных правовых оснований обработки персональных данных.
6.5. Оператор обязан уничтожить персональные данные или обеспечить их уничтожение, если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора:
- в случае отзыва Клиентом согласия на обработку его персональных данных Оператором в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва, если иной срок не установлен договором, иным соглашением, федеральным законодательством и при отсутствии иных правовых оснований обработки персональных данных;
- в случае достижения цели обработки персональных данных, в срок, не превышающий 30 (тридцати) дней с даты достижения цели, если иной срок не установлен договором, иным соглашением, федеральным законодательством и при отсутствии иных правовых оснований обработки персональных данных;
- в случае представления Клиентом, его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, в срок, не превышающий 7 (семи) рабочих дней со дня представления таких сведений;
- в случае, если невозможно обеспечить правомерность обработки персональных данных, в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки персональных данных.
7. Ответственность за нарушение норм,
регулирующих обработку персональных данных
7.1. Общество несет ответственность за персональную информацию, которая находится в его распоряжении и закрепляет персональную ответственность сотрудников за соблюдением установленного режима конфиденциальности.
7.2. Каждый сотрудник, получающий для работы документ, содержащий персональные данные Клиента, несет единоличную ответственность за сохранность носителя и конфиденциальность информации.
7.3. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных Клиентов, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами Российской Федерации.
7.4. Контроль за исполнением требований настоящего Положения осуществляется ответственный за организацию обработки персональных данных.
