Пользовательское соглашение

Положение об обработке и защите персональных данных в базах персональных данных, владельцем которых является продавец

Содержание

1. Общие понятия и сфера применения
2. Перечень баз персональных данных
3. Цель обработки персональных данных
4. Порядок обработки персональных данных: получение согласия, уведомление о правах и действия с персональными данными субъекта персональных данных
5. Местонахождение базы персональных данных
6. Условия раскрытия информации о персональных данных третьим лицам
7. Защита персональных данных: способы защиты, ответственное лицо, сотрудники, непосредственно осуществляющие обработку и/или имеющие доступ к персональным данным в связи с выполнением своих служебных обязанностей, срок хранения персональных данных
8. Права субъекта персональных данных
9. Порядок работы с запросами субъекта персональных данных
10. Государственная регистрация базы персональных данных

1. Общие понятия и сфера применения

1. Определения терминов:
   • база персональных данных — именованная совокупность упорядоченных персональных данных в электронной форме и/или в форме картотек персональных данных;
   • ответственное лицо — определённое лицо, которое организует работу, связанную с защитой персональных данных при их обработке, в соответствии с законом;
   • владелец базы персональных данных — физическое или юридическое лицо, которому законом или по согласию субъекта персональных данных предоставлено право на обработку этих данных, которое утверждает цель обработки персональных данных в этой базе данных, устанавливает состав этих данных и процедуры их обработки, если иное не определено законом;
   • Государственный реестр баз персональных данных — единая государственная информационная система сбора, накопления и обработки сведений о зарегистрированных базах персональных данных;
   • общедоступные источники персональных данных — справочники, адресные книги, реестры, списки, каталоги, другие систематизированные сборники открытой информации, содержащие персональные данные, размещённые и опубликованные с ведома субъекта персональных данных. Социальные сети и интернет-ресурсы, где субъект персональных данных оставляет свои данные, не считаются общедоступными источниками (кроме случаев, когда субъект прямо указал, что данные размещены с целью их свободного распространения и использования);
   • согласие субъекта персональных данных — любое документированное, добровольное волеизъявление физического лица о предоставлении разрешения на обработку его персональных данных согласно сформулированной цели их обработки;
   • обезличивание персональных данных — удаление сведений, позволяющих идентифицировать лицо;
   • обработка персональных данных — любое действие или совокупность действий, полностью или частично осуществляемых в информационной (автоматизированной) системе и/или в картотеках персональных данных, связанных со сбором, регистрацией, накоплением, хранением, адаптацией, изменением, обновлением, использованием и распространением (распространением, реализацией, передачей), обезличиванием, уничтожением сведений о физическом лице;
   • персональные данные — сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано;
   • распорядитель базы персональных данных — физическое или юридическое лицо, которому владельцем базы персональных данных или законом предоставлено право обрабатывать эти данные. Лицо, которому владельцем и/или распорядителем базы поручены работы технического характера с базой без доступа к содержанию персональных данных, распорядителем не является;
   • субъект персональных данных — физическое лицо, в отношении которого по закону осуществляется обработка его персональных данных;
   • третье лицо — любое лицо, за исключением субъекта персональных данных, владельца или распорядителя базы персональных данных и уполномоченного государственного органа по вопросам защиты персональных данных, которому владелец или распорядитель базы передаёт персональные данные в соответствии с законом;
   • особые категории данных — персональные данные о расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в политических партиях и профессиональных союзах, а также данные, касающиеся здоровья или половой жизни.
2. Настоящее Положение обязательно для применения ответственным лицом и сотрудниками продавца, которые непосредственно осуществляют обработку и/или имеют доступ к персональным данным в связи с выполнением своих служебных обязанностей.

2. Перечень баз персональных данных

1. Продавец является владельцем следующих баз персональных данных: база персональных данных контрагентов.

3. Цель обработки персональных данных

1. Целью обработки персональных данных в системе является обеспечение реализации гражданско-правовых отношений, предоставление, получение и осуществление расчётов за приобретённые товары и услуги в соответствии с Налоговым кодексом Украины, Законом Украины «О бухгалтерском учёте и финансовой отчётности в Украине».

4. Порядок обработки персональных данных

Получение согласия, уведомление о правах и действия с персональными данными субъекта персональных данных

1. Согласие субъекта персональных данных должно быть добровольным волеизъявлением физического лица на обработку его персональных данных согласно сформулированной цели их обработки.
2. Согласие субъекта персональных данных может быть предоставлено в следующих формах:
   • документ на бумажном носителе с реквизитами, позволяющими идентифицировать документ и физическое лицо;
   • электронный документ с обязательными реквизитами, позволяющими идентифицировать документ и физическое лицо; целесообразно подтверждать согласие электронной подписью субъекта персональных данных;
   • отметка на электронной странице документа или в электронном файле, обрабатываемом в информационной системе на основе документированных программно-технических решений.
3. Согласие предоставляется при оформлении гражданско-правовых отношений согласно действующему законодательству.
4. Уведомление субъекта персональных данных о включении его персональных данных в базу, правах по Закону Украины «О защите персональных данных», цели сбора данных и лицах, которым передаются его персональные данные, осуществляется при оформлении гражданско-правовых отношений согласно действующему законодательству.
5. Обработка персональных данных об расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в политических партиях и профсоюзах, а также данных о здоровье или половой жизни (особые категории данных) запрещается.

5. Местонахождение базы персональных данных

1. Указанные в разделе 2 базы персональных данных находятся по адресу продавца.

6. Условия раскрытия информации о персональных данных третьим лицам

1. Порядок доступа третьих лиц к персональным данным определяется условиями согласия субъекта персональных данных, предоставленного владельцу, либо требованиями закона.
2. Доступ третьему лицу не предоставляется, если такое лицо отказывается принять обязательства по выполнению требований Закона Украины «О защите персональных данных» или неспособно их обеспечить.
3. Субъект отношений, связанных с персональными данными, подаёт владельцу базы запрос о доступе к персональным данным.
4. В запросе указываются:
   • фамилия, имя, отчество, место проживания (пребывания) и реквизиты документа, удостоверяющего физическое лицо (для физического лица — заявителя);
   • наименование, местонахождение юридического лица, подающего запрос, должность, фамилия, имя и отчество лица, удостоверяющего запрос; подтверждение соответствия содержания запроса полномочиям юридического лица (для юридического лица — заявителя);
   • фамилия, имя и отчество, иные сведения для идентификации физического лица, в отношении которого делается запрос;
   • сведения о базе персональных данных, к которой подаётся запрос, или сведения о владельце/распорядителе этой базы;
   • перечень запрашиваемых персональных данных;
   • цель и/или правовые основания запроса.
5. Срок изучения запроса на предмет его удовлетворения не может превышать десяти рабочих дней со дня его поступления. В течение этого срока владелец уведомляет заявителя о том, что запрос будет удовлетворён либо данные не подлежат предоставлению с указанием основания, определённого нормативно-правовым актом. Запрос удовлетворяется в течение тридцати календарных дней со дня поступления, если иное не предусмотрено законом.
6. Отсрочка доступа допускается, если необходимые данные не могут быть предоставлены в течение тридцати календарных дней со дня поступления запроса. Общий срок решения вопросов по запросу не может превышать сорока пяти календарных дней.
7. Уведомление об отсрочке направляется заявителю в письменной форме с разъяснением порядка обжалования такого решения.
8. Уведомление об отсрочке должно содержать:
   • фамилию, имя и отчество должностного лица;
   • дату отправки уведомления;
   • причину отсрочки;
   • срок, в течение которого запрос будет удовлетворён.
9. Отказ в доступе допускается, если доступ запрещён законом.
10. Уведомление об отказе должно содержать:
    • фамилию, имя, отчество должностного лица, отказавшего в доступе;
    • дату отправки уведомления;
    • причину отказа.
11. Решение об отсрочке или отказе в доступе может быть обжаловано в суде.

7. Защита персональных данных

Способы защиты, ответственное лицо, сотрудники с доступом, срок хранения

1. Владелец базы персональных данных оснащён системными и программно-техническими средствами и средствами связи, предотвращающими потери, кражи, несанкционированное уничтожение, искажение, подделку, копирование информации и соответствующими требованиям международных и национальных стандартов.
2. Ответственное лицо организует работу по защите персональных данных при их обработке согласно закону и определяется приказом владельца базы. Обязанности ответственного лица фиксируются в должностной инструкции.
3. Ответственное лицо обязано:
   • знать законодательство Украины в сфере защиты персональных данных;
   • разработать процедуры доступа сотрудников к персональным данным согласно их должностным обязанностям;
   • обеспечить выполнение сотрудниками владельца требований законодательства и внутренних документов по обработке и защите персональных данных;
   • разработать порядок внутреннего контроля соблюдения требований законодательства и внутренних документов (с определением периодичности такого контроля);
   • сообщать владельцу базы о фактах нарушений сотрудниками требований законодательства и внутренних документов не позднее одного рабочего дня с момента выявления;
   • обеспечить хранение документов, подтверждающих предоставление субъектом персональных данных согласия и уведомление субъекта о его правах.
4. Для выполнения своих обязанностей ответственное лицо имеет право:
   • получать необходимые документы, в том числе приказы и распорядительные документы владельца, связанные с обработкой персональных данных;
   • делать копии полученных документов, включая файлы и записи в локальных сетях и автономных системах;
   • участвовать в обсуждении организации работ по защите персональных данных;
   • вносить предложения по улучшению деятельности, представлять замечания и варианты устранения недостатков;
   • получать объяснения по вопросам обработки персональных данных;
   • подписывать и визировать документы в пределах своей компетенции.
5. Сотрудники, непосредственно обрабатывающие и/или имеющие доступ к персональным данным в связи с исполнением своих служебных (трудовых) обязанностей, обязаны соблюдать требования законодательства Украины и внутренних документов по обработке и защите персональных данных.
6. Сотрудники с доступом к персональным данным, включая их обработку, обязаны не допускать разглашения персональных данных любым способом. Обязательство действует и после прекращения их деятельности, связанной с персональными данными, кроме случаев, установленных законом.
7. Лица, имеющие доступ к персональным данным и/или обрабатывающие их, в случае нарушения требований Закона Украины «О защите персональных данных» несут ответственность согласно законодательству Украины.
8. Персональные данные не должны храниться дольше, чем это необходимо для цели их хранения, но во всяком случае не дольше срока, определённого согласием субъекта персональных данных на обработку.

8. Права субъекта персональных данных

1. Субъект персональных данных имеет право:
   • знать о местонахождении базы персональных данных, содержащей его данные, её назначении и наименовании, местонахождении и/или месте проживания (пребывания) владельца или распорядителя базы, либо выдать поручение уполномоченным им лицам на получение такой информации (кроме случаев, установленных законом);
   • получать информацию об условиях предоставления доступа к персональным данным, в том числе о третьих лицах, которым передаются его данные;
   • на доступ к своим персональным данным, содержащимся в соответствующей базе;
   • получать не позднее тридцати календарных дней со дня поступления запроса (кроме случаев, предусмотренных законом) ответ о наличии его персональных данных в базе и их содержание;
   • предъявлять мотивированное возражение против обработки своих персональных данных органами государственной власти и местного самоуправления при осуществлении их полномочий, предусмотренных законом;
   • предъявлять мотивированное требование о изменении или уничтожении своих персональных данных любому владельцу и распорядителю базы, если данные обрабатываются незаконно или являются недостоверными;
   • на защиту своих персональных данных от незаконной обработки и случайной утраты, уничтожения, повреждения, а также от предоставления недостоверных сведений или сведений, порочащих честь, достоинство и деловую репутацию;
   • обращаться по вопросам защиты своих прав к органам государственной власти и местного самоуправления, в полномочия которых входит защита персональных данных;
   • применять средства правовой защиты в случае нарушения законодательства о защите персональных данных.

9. Порядок работы с запросами субъекта персональных данных

1. Субъект персональных данных имеет право получать любые сведения о себе у любого субъекта отношений, связанных с персональными данными, без указания цели запроса, кроме случаев, установленных законом.
2. Доступ субъекта персональных данных к данным о себе осуществляется бесплатно.
3. Субъект персональных данных подаёт владельцу базы запрос о доступе к персональным данным, в котором указываются:
   • фамилия, имя, отчество, место проживания (пребывания) и реквизиты документа, удостоверяющего личность;
   • иные сведения для идентификации личности субъекта;
   • сведения о базе персональных данных или о владельце/распорядителе этой базы;
   • перечень запрашиваемых персональных данных.
4. Срок изучения запроса на предмет его удовлетворения не более десяти рабочих дней со дня поступления. В течение этого срока владелец уведомляет субъекта, что запрос будет удовлетворён либо данные не подлежат предоставлению с указанием основания.
5. Запрос удовлетворяется в течение тридцати календарных дней со дня поступления, если иное не предусмотрено законом.

10. Государственная регистрация базы персональных данных

1. Государственная регистрация баз персональных данных осуществляется согласно статье 9 Закона Украины «О защите персональных данных».