Политика обработки персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика обработки персональных данных (далее-Политика) разработана в соответствии с требованиями нормативных правовых актов Российской Федерации, регулирующих процессы обработки персональных данных (далее - ПДн). Политика определяет принципы обработки (сбора, хранения, передачи, уничтожения) и защиты ПДн клиентов и работников ООО «БЕРЁЗКА» (далее - субъекты ПДн) в ООО «БЕРЁЗКА» (далее-Общество).
1.2. Действие настоящей Политики распространяется на любые действия (операции) или совокупность действий (операций), совершаемых с персональными данными, включая процессы по сбору, записи, систематизации, накоплению, хранению, уточнению (обновлению, изменению), извлечению, использованию, передаче (предоставлению, доступу), обезличиванию, блокированию, удалению, уничтожению ПДн, осуществляемые как с использованием средств автоматизации, в том числе с использованием интернет-сервисов Яндекс.Метрика, так и без использования таких средств.

2. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1. Принципы обработки ПДн
2.1.1. Обработка персональных данных в Обществе должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
2.1.2. Обработка ПДн осуществляется на основе принципов:

обработка на законной и справедливой основе;
соблюдение законов и иных нормативных правовых актов, регламентирующих процессы обработки ПДн;
ограничение обработки ПДн достижением конкретных, заранее определенных и законных целей;
недопущение обработки ПДн, несовместимой с целями сбора ПДн;
недопущение объединения баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
ограничение избыточности обрабатываемых ПДн заявленным целям обработки;
обеспечение точности и достаточности, актуальности ПДн по отношению к заявленным целям их обработки.

2.2. Согласие на обработку персональных данных
2.2.1. Обработка ПДн осуществляется при условии наличия согласия субъекта ПДн на обработку его ПДн, за исключением случаев, когда в соответствии с действующим законодательством допускается обработка ПДн без получения согласия субъекта ПДн, а именно:

обработка ПДн необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПДн, если получение согласия субъекта ПДн невозможно;
обработка ПДн необходима для осуществления прав и законных интересов Общества или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПДн;
осуществляется обработка ПДн, подлежащих опубликованию или обязательному раскрытию в соответствии с действующим законодательством;
обработка ПДн необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем;
а также в иных случаях, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

2.2.2. Согласие на обработку ПДн, разрешенных субъектом ПДн для распространения, оформляется отдельно от иных согласий субъекта ПДн на обработку его ПДн. Общество обязано обеспечить субъекту ПДн возможность определить перечень ПДн по каждой категории ПДн, указанной в согласии на обработку ПДн, разрешенных субъектом ПДн для распространения.
2.2.3. Обработка специальной категории ПДн и биометрических ПДн допускается в установленных законодательством случаях, а также при наличии согласия в письменной форме субъекта ПДн, за исключением случаев, когда обработка ПДн может осуществляться без получения согласия субъекта ПДн.
2.2.4. Общество не вправе отказывать в обслуживании в случае отказа субъекта ПДн предоставить биометрические ПДн и(или) дать согласие на обработку ПДн, если в соответствии с федеральным законом получение оператором согласия на обработку ПДн не является обязательным.
2.2.5. Если в соответствии с федеральным законом предоставление ПДн и (или) получение оператором согласия на обработку ПДн являются обязательными, Общество обязано разъяснить субъекту ПДн юридические последствия отказа предоставить его ПДн и (или) дать согласие на их обработку.

2.3. Хранение персональных данных
2.3.1. Хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют соответствующие цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПДн. Обрабатываемые ПДн подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не установлено законодательством.
2.3.2. ПДн субъектов могут обрабатываться Обществом как на бумажных носителях, так и в электронном виде.
2.3.3. Порядок хранения ПДн для каждой цели обработки, указанных в п.2.8 настоящей Политики, определяется внутренними регламентирующими документами Общества, в том числе Положением об обработке персональных данных работников, Положением об обработке персональных данных клиентов, Стандартной операционной процедурой по хранению и уничтожению конфиденциальной информации.

2.4. Передача персональных данных третьим лицам
2.4.1. Общество вправе поручить обработку ПДн другому лицу с согласия субъекта ПДн, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (далее - поручение оператора).
2.4.2. Лицо, осуществляющее обработку ПДн по поручению оператора, обязано соблюдать принципы и правила обработки ПДн, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»), соблюдать конфиденциальность ПДн, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных ФЗ «О персональных данных».
2.4.3. В поручении оператора должны быть определены перечень ПДн, перечень действий (операций) с ПДн, которые будут совершаться лицом, осуществляющим обработку ПДн, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные частью 5 статьи 18 и статьей 18.1 ФЗ «О персональных данных», обязанность по запросу Общества в течение срока действия поручения оператора, в том числе до обработки ПДн, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований, установленных в соответствии с статьей 6 ФЗ «О персональных данных», обязанность обеспечивать безопасность ПДн при их обработке, а также должны быть указаны требования к защите обрабатываемых ПДн в соответствии со статьей 19 ФЗ «О персональных данных», в том числе требование об уведомлении Общества о случаях, предусмотренных частью 3.1 статьи 21 ФЗ «О персональных данных».
2.4.4. Обществом может осуществляться трансграничная передача ПДн по правилам статьи 12 ФЗ «О персональных данных». До начала осуществления трансграничной передачи ПДн Общество обязано направить в Роскомнадзор уведомление о трансграничной передаче ПДн.

2.5. Уничтожение персональных данных
2.5.1. Обязанность Общества по уничтожению или обеспечению уничтожения (если обработка ПДн осуществляется другим лицом по поручению оператора) ПДн возникает в следующих случаях и сроки:
1) в случае выявления неправомерной обработки ПДн, осуществляемой оператором или лицом, действующим по поручению оператора, и обеспечить правомерность обработки ПДн невозможно – в течение 10 рабочих дней с даты выявления неправомерной обработки ПДн;
2) достигнуты цели, ради которых оператор обрабатывал ПДн – в срок, не превышающий 30 календарных дней с даты достижения цели обработки ПДн, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, иным соглашением между оператором и субъектом ПДн либо если оператор не вправе осуществлять обработку ПДн без согласия субъекта ПДн на основаниях, предусмотренных действующим законодательством;
3) субъект ПДн отозвал свое согласие на обработку ПДн и сохранение ПДн более не требуется для целей обработки ПДн - в срок, не превышающий 30 календарных дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, иным соглашением между Обществом и субъектом ПДн либо если Общество не вправе осуществлять обработку ПДн без согласия субъекта ПДн на основаниях, предусмотренных действующим законодательством;
4) в случае обращения субъекта ПДн к оператору с требованием о прекращении обработки ПДн – в срок, не превышающий 10 рабочих дней с даты получения оператором соответствующего требования (за исключением случаев, предусмотренных пунктами 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 ФЗ «О персональных данных», например, если обработка ПДн необходима для исполнения договора, стороной которой является субъект ПДн, обработка ПДн данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг и в других случаях). Указанный срок может быть продлен, но не более чем на 5 рабочих дней в случае направления оператором в адрес субъекта ПДн мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
2.5.2. При отсутствии возможности уничтожения ПДн в течение указанных в п. 2.5.1 настоящей Политики сроков, Общество осуществляет блокирование таких ПДн или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение ПДн в срок не более чем 6 месяцев, если иной срок не установлен федеральными законами.
2.5.3. Уничтожение ПДн производится в соответствии с внутренними процессами Общества.
2.5.4. Порядок уничтожения ПДн при достижении каждой цели их обработки, указанных в п.2.8 настоящей Политики, или при наступлении иных законных оснований определяется внутренними регламентирующими документами Общества.

2.6. Защита персональных данных
2.6.1. При обработке ПДн Общество принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.
2.6.2. Обеспечение безопасности ПДн достигается, в частности:

определением угроз безопасности ПДн при их обработке в информационных системах персональных данных (далее - ИС ПДн);
применением организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИС ПДн, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности ПДн, включая:
- меры по идентификации и аутентификации субъектов доступа и объектов доступа;
- меры по управлению доступом субъектов доступа к объектам доступа;
- меры по ограничению программной среды;
- меры по регистрации событий безопасности;
- меры по антивирусной защите;
- меры по обнаружению вторжений;
- меры по контролю защищенности персональных данных;
- меры по обеспечению целостности информационной системы ПДн;
- меры по обеспечению доступности ПДн;
- меры по защите среды виртуализации;
- меры по защите технических средств;
- меры по защите ИС, ее средств, систем связи и передачи данных;
- меры по выявлению инцидентов и реагированию на них;
- меры по управлению конфигурацией ИС и системы защиты ПДн;
оценкой эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИС ПДн;
обнаружением фактов несанкционированного доступа к ПДн и принятием необходимых мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на ИС ПНд и по реагированию на компьютерные инциденты в них;
восстановлением ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
установлением правил доступа к ПДн, обрабатываемых в ИС ПДн, а также обеспечением регистрации доступа к ПДн в ИС ПДн;
контролем за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности ИС ПДн;
а также другими способами.

2.7. Правовые основания обработки персональных данных
2.7.1. Правовым основанием обработки ПДн является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Общество осуществляет обработку ПДн:

Конституция Российской Федерации;
Гражданский кодекс Российской Федерации;
Трудовой кодекс Российской Федерации;
Налоговый кодекс Российской Федерации;
Федеральный закон от 21.11.2011 № 323-ФЗ «Об основах охраны здоровья граждан в Российской Федерации»;
Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Общества.

2.7.2. Правовым основанием обработки ПДн также являются:

Устав Общества;
договоры, заключаемые между Обществом и субъектом ПДн;
согласие субъектов ПДн на обработку их ПДн;
поручение на обработку ПДн, выданное Обществу оператором ПДн.

2.8. Объем, цели и категории обрабатываемых персональных данных, категории субъектов персональных данных
2.8.1. Содержание и объем обрабатываемых ПДн должны соответствовать заявленным целям обработки. Обрабатываемые ПДн не должны быть избыточными по отношению к заявленным целям их обработки.
2.8.2. Обработка ПДн в Обществе осуществляется в следующих целях:

предоставление услуг, в том числе уточнение сведений, необходимых для оказания услуг, предусмотренных договорами.
Для данной цели обработки ПДн предусмотрены:
- перечень ПДн: ФИО; дата рождения; место рождения; реквизиты документа, удостоверяющего личность; адрес места жительства; дата регистрации по месту жительства; банковские реквизиты; номер телефона; адрес электронной почты; номер страхового полиса ОМС; номер страхового полиса ДМС; пол; СНИЛС; сведения о состоянии здоровья;
- категория ПДн: специальная категория ПДн и иная категория ПДн;
- категории субъектов: физические лица, которым предоставляются медицинские услуги;
- перечень действий с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), удаление, обезличивание, блокирование, уничтожение;
- сроки обработки: до достижения целей обработки ПДн; истечение срока, предусмотренного договором или согласием субъекта ПДн на обработку его ПДн; отзыв субъектом ПДн согласия на обработку его ПДн; ликвидация Общества;
исполнение трудового договора.