Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных Общества с ограниченной ответственностью «Профессиональная коллекторская организация «ТОР») (далее – Оператор, ООО «ПКО «ТОР») определяет порядок обработки персональных данных (далее – ПДн) и меры по обеспечению безопасности персональных данных в деятельности Оператора с целью обеспечения обработки ПДн в соответствии с требованиями действующего законодательства Российской Федерации в сфере защиты ПДн, обеспечения безопасности ПДн, обрабатываемых Оператором, минимизации ущерба от возможной реализации угроз безопасности ПДн, возникающих в процессе хозяйственной деятельности Оператора.
1.2. Цель Политики – определить категории персональных данных, обрабатываемых Оператором, а также основные принципы, которыми Оператор руководствуется при обработке персональных данных.
1.3. Положения Политики являются обязательными для исполнения всеми работниками Оператора, организациями, получающими, либо предоставляющими персональные данные Оператору, а также физическими лицами, являющимися кандидатами на должности Оператора либо находящимися с ним в договорных отношениях.

2. Термины

Политика:

Данный документ, который регламентирует отношения в области обработки и защиты персональных данных работников, кандидатов на вакансии Оператора, а также иных лиц, которые предоставляют свои ПДн Оператору.

Оператор:

Общество с ограниченной ответственностью «Профессиональная коллекторская организация «ТОР» Сокращенное наименование: ООО «ПКО «ТОР»

Субъекты:

Оператор осуществляет обработку персональных данных, принадлежащих:
•Работникам Оператора;
•Родственникам работников Оператора;
•Уволенным работникам Оператора;
•Контрагентам;
•Клиентам;
•Представителям Клиентов и Контрагентов;
•Соискателям на вакантные должности Оператора.

Средства Коммуникации:

Системы постановки задач, корпоративная электронная почта и прочие средства коммуникации, утвержденные Оператором для обмена юридически значимыми сообщениями и документами в электронной форме.

ПДн:

Персональные данные - любая информация, относящаяся прямо или косвенно к определенному, или определяемому физическому лицу (субъекту персональных данных).

Закон о персональных данных:

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».

Инцидент:

Факт неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекший нарушение прав субъектов ПДн.

Обработка Персональных данных (Обработка):

Любое действие (операция) или совокупность действий (операций) с ПДн, совершаемые с использованием средств автоматизации или без их использования, в том числе: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Распространение персональных данных:

Действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Предоставление персональных данных:

Действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц

Блокирование персональных данных:

Временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Уничтожение персональных данных:

Действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Информационная система персональных данных (ИСПДн):

Совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Конфиденциальность персональных данных:

Обязанность Оператора и иных лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено федеральным законом.

Уполномоченное лицо:

Уполномоченный федеральный орган исполнительной власти по защите прав субъектов, осуществляющий функции по контролю и надзору в сфере информационных технологий и связи, а именно Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

3. Принципы, порядок и сроки обработки персональных данных

3.1. Правовые основания обработки персональных данных.
При обработке всех категорий персональных данных Оператор руководствуется Федеральным законом от 27.07.2006 № 152-ФЗ
«О персональных данных», Федеральным законом «О микрофинансовой деятельности и микрофинансовых организациях» от 02.07.2010 № 151-ФЗ, Федеральным законом «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон «О микрофинансовой деятельности и микрофинансовых организациях» от 03.07.2016 № 230-ФЗ» иными законодательными и подзаконными актами Российской Федерации, регулирующими порядок, условия и принципы обработки персональных данных.
3.2. Обработка персональных данных иными лицами по поручению Оператора.
Если Оператор на основании договора поручает обработку персональных данных другому лицу, договор между Оператором и таким Уполномоченным лицом должен предусматривать обязанность Уполномоченного лица обеспечить безопасность персональных данных при их обработке, в том числе при обработке в Информационной системе.
3.3. Обработка персональных данных по поручению Уполномочившего лица.
В случае если Оператор на основании договора обрабатывает персональные данные, переданные Уполномочившим лицом, договор между Оператором и таким Уполномочившим лицом должен предусматривать обязанность Уполномочившего лица обеспечить получение письменного согласия субъекта персональных данных на их обработку и передачу Оператору.

Обработка всех категорий персональных данных осуществляется автоматизированным, неавтоматизированным и смешанным способом.

4. Согласие субъекта на обработку персональных данных

4.1. Обработка персональных данных без получения согласия Субъекта осуществляется в следующих случаях:
1)для достижения целей, предусмотренных международным договором или законом Российской Федерации, для осуществления и выполнения возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей, в том числе, для выполнения Оператором обязанностей, предусмотренных ТК РФ;
2)для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
3)для исполнения требований федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации;
4)для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является Субъект, в том числе в случае реализации Оператором своего права на уступку прав (требований) по такому договору, а также для заключения договора по инициативе Субъекта или договора, по которому Субъект будет являться выгодоприобретателем или поручителем;
5)для защиты жизни, здоровья или иных жизненно важных интересов Субъекта, если получение согласия Субъекта невозможно;
6)в статистических или иных исследовательских целях при условии обязательного обезличивания персональных данных;
7)ведется обработка общедоступных персональных данных;
8)ведется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.
4.2. Обработка персональных данных при условии получения согласия Субъекта
4.2.1. Если Оператор обрабатывает персональные данные Субъектов в целях, отличных от пункта 4.1 настоящей Политики, он обязан получать согласие Субъекта одним из следующих способов:
•в любой форме, позволяющей подтвердить факт получения согласия, в том числе через сеть Интернет;
•путем собственноручного подписания документа на бумажном носителе или в форме электронного документа, подписанного электронной подписью.
4.2.2. Оператор перед началом обработки персональных данных обязан получить согласие Субъекта в письменной форме или в форме электронного документа, подписанного электронной подписью, при обработке специальных категорий и/или биометрических персональных данных.
4.2.3. В случае недееспособности Субъекта согласие на обработку его ПДн дает в письменной форме законный представитель Субъекта.
4.2.4. В случае смерти Субъекта согласие на обработку его ПДн дают в письменной форме наследники Субъекта, если такое согласие не было дано Субъектом при жизни.
4.2.5. Субъект имеет право в любое время отозвать согласие на обработку его ПДн путем направления письменного запроса в адрес Оператора.
4.3. Отзыв Субъектом согласия на обработку его персональных данных:
•В случае отзыва Субъектом согласия на обработку его персональных данных Оператор обязан прекратить обработку ПДн или обеспечить прекращение такой обработки (если по поручению Оператора обработку осуществляет другое лицо) – в срок, не превышающий 10 (десяти) календарных дней с даты поступления указанного отзыва.
•Если после отзыва согласия Субъекта сохранение персональных данных более не требуется для целей обработки персональных данных, Оператор обязан уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется Уполномоченным лицом) – в срок, не превышающий 10 (десяти) календарных дней с даты поступления указанного отзыва.
•В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в настоящем пункте, Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется Уполномоченным лицом) и обеспечивает уничтожение персональных данных – в срок не более чем 6 (шесть) месяцев с даты поступления отзыва.
•Оператор вправе продолжить обработку персональных данных без согласия Субъекта при наличии правовых оснований для обработки ПДн (пп. 2 – 11 ч. 1
ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных») без получения Согласия. Указанные обстоятельства не являются ограничением права Субъекта персональных данных на отзыв согласия.

5. Локализация персональных данных граждан Российской Федерации.

5.1. При сборе персональных данных Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации. При этом под персональными данными Субъектов – российских граждан понимаются любые персональные данные, собранные Оператором на территории Российской Федерации. Для целей настоящей Политики не относятся к персональным данными Субъектов – российских граждан данные, полученные Оператором в результате трансграничной передачи, а также в случаях, когда имеется подтверждение иного гражданства.
5.2. Оператор предоставляет в Уполномоченный орган сведения о месте нахождения баз данных информации, содержащей персональные данные граждан Российской Федерации, путем направления соответствующего Уведомления.
5.3. Трансграничная передача персональных данных на территории иностранных государств, может осуществляться только в случае наличия согласия в письменной форме субъекта персональных данных на трансграничную передачу его персональных данных и направления соответствующего Уведомления в Уполномоченный орган.

6. Обработка персональных данных третьими лицами. Поручение на обработку.

6.1. Оператор вправе поручить обработку персональных данных другому лицу с согласия Субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договором, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта (далее – поручение Оператора).
6.2. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные законодательством Российской̆ Федерации.
6.3. Для каждого Обработчика в договоре определяются:
•перечень обрабатываемых ПДн;
•цели их обработки;
•перечень действий, которые будут совершаться с ПДн Обработчиком;
•обязанности Обработчика по соблюдению Конфиденциальности ПДн и обеспечению безопасности при их обработке, а также перечень принимаемых Обработчиком мер по обеспечению защиты обрабатываемых им ПДн, включая требование об уведомлении Оператора об инцидентах с ПДн;
•обязанность по запросу Оператора в течение срока действия поручения на обработку ПДн предоставлять Оператору документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения Оператора требований, установленных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
6.4. Обработчик не обязан получать согласие Субъекта ПДн на обработку его персональных данных. Если для обработки персональных данных по поручению Оператора необходимо получение согласия Субъекта персональных данных, такое согласие получает непосредственно Оператор.
6.5. В случае, если Оператор поручает обработку ПДн другому лицу, ответственность перед Субъектом ПДн за действия указанного лица несет Оператор. Лицо, осуществляющее обработку ПДн по поручению Оператора, несет ответственность перед Оператором.
Ответственность за отправку персональных данных Оператору через незащищенные каналы связи (электронная почта) несет сам отправитель.
6.6. В случаях, установленных законодательством Российской̆ Федерации, Оператор вправе осуществлять передачу ПДн третьим лицам, в том числе без поручения таким лицам обработки ПДн.

7. Права субъектов персональных данных.

7.1. Субъекты ПДн или их законные представители имеют право:
•получать полную информацию о своих ПДн и обработке этих данных;
•требовать уточнения своих ПДн, их блокирования или уничтожения, требовать прекращения обработки ПДн, если цель такой обработки достигнута Оператором;
•отзывать ранее данные согласия на обработку ПДн.

7.2. Субъект ПДн вправе обжаловать неправомерные действия (бездействия) и решения Оператора или уполномоченного им лица, нарушающие его права при обработке ПДн, в Уполномоченный орган и в суд.

8. Сроки обработки персональных данных.

8.1. Предельные сроки обработки персональных данных установлены разделе 3 Политики.
8.2. Обработка персональных данных прекращается Оператором до истечения сроков, указанных в Политики в следующих случаях:
– по достижении целей̆ обработки персональных данных, установленных разделе 3 Политики, либо при утрате необходимости в их достижении (в случае отсутствия иных оснований для обработки, предусмотренных законодательством);
– по истечении срока, на которое Субъектом персональных данных было предоставлено согласие на обработку персональных данных или при отзыве такого согласия;
– при выявлении неправомерной обработки персональных данных, если обеспечить правомерность невозможно;
– в случае прекращения деятельности индивидуального предпринимателя.

9. Уточнение, удаление и уничтожение персональных данных. Ответы на запросы субъектов.

9.1. Предоставление информации субъекту.
Оператор предоставляет субъекту персональных данных (или его представителю) следующую информацию по запросу:
•факт обработки его персональных данных;
•правовые основания и цели обработки;
•иные сведения в соответствии с частью 7 статьи 14 Федерального закона
№ 152-ФЗ.
Срок предоставления ответа:
•до 10 (десять) рабочих дней с даты поступления запроса;
•может быть продлён не более чем на 5 (пять) рабочих дней с уведомлением заявителя и обоснованием причин продления.
9.2. Ограничения в раскрытии информации: Оператор не предоставляет сведения, касающиеся других субъектов персональных данных, за исключением случаев, прямо предусмотренных законом.

9.3. Форма предоставления информации: Информация предоставляется в той форме, в которой был подан запрос, если иное не указано заявителем.

9.4. Отказ в предоставлении информации. Оператор вправе отказать в предоставлении информации, если:
•в запросе отсутствуют обязательные сведения;
•лицо не обладает правами доступа к запрашиваемым данным.
9.5. Ограничения доступа. Оператор вправе ограничить доступ к персональным данным, если такой доступ нарушает права и законные интересы третьих лиц
(ст. 14 ч. 8 152-ФЗ).
9.6. Основания и сроки прекращения обработки и уничтожения персональных данных.
Оператор прекращает обработку и уничтожает персональные данные в следующих случаях:

9.1. Предоставление информации субъекту.
Оператор предоставляет субъекту персональных данных (или его представителю) следующую информацию по запросу:
•факт обработки его персональных данных;
•правовые основания и цели обработки;
•иные сведения в соответствии с частью 7 статьи 14 Федерального закона
№ 152-ФЗ.
Срок предоставления ответа:
•до 10 (десять) рабочих дней с даты поступления запроса;
•может быть продлён не более чем на 5 (пять) рабочих дней с уведомлением заявителя и обоснованием причин продления.
9.2. Ограничения в раскрытии информации: Оператор не предоставляет сведения, касающиеся других субъектов персональных данных, за исключением случаев, прямо предусмотренных законом.

9.3. Форма предоставления информации: Информация предоставляется в той форме, в которой был подан запрос, если иное не указано заявителем.

9.4. Отказ в предоставлении информации. Оператор вправе отказать в предоставлении информации, если:
•в запросе отсутствуют обязательные сведения;
•лицо не обладает правами доступа к запрашиваемым данным.
9.5. Ограничения доступа. Оператор вправе ограничить доступ к персональным данным, если такой доступ нарушает права и законные интересы третьих лиц
(ст. 14 ч. 8 152-ФЗ).
9.6. Основания и сроки прекращения обработки и уничтожения персональных данных.
Оператор прекращает обработку и уничтожает персональные данные в следующих случаях:

9.7. Уточнение и блокирование ПДн. При выявлении неточностей данных по запросу субъекта или Роскомнадзора, Оператор блокирует такие данные до завершения проверки.
•Срок уточнения — не более 7 (семи) рабочих дней с момента представления подтверждающих сведений.
•После уточнения блокировка снимается.
9.8. Порядок взаимодействия с субъектом ПДн. Если иной порядок не установлен договором или соглашением между Оператором и субъектом, запрос подаётся:
•в письменной форме с собственноручной подписью — по адресу Оператора;
•в виде электронного документа — на e-mail:

Обязательные сведения в заявлении:
•ФИО субъекта;
•реквизиты документа, удостоверяющего личность;
•сведения, подтверждающие взаимодействие с Оператором;
•подпись (или ЭП).
9.9. Порядок уничтожения данных.
Оператор уничтожает Персональные данные в следующих случаях:
●истечение срока хранения Персональных данных;
●при достижении целей обработки Персональных данных;
●при выявлении факта неправомерной обработки Персональных данных;
●отзыв согласия на Обработку.
Уничтожение персональных данных из информационных систем производится встроенными средствами информационной системы и администраторами информационных систем. Факт уничтожения подтверждается актом об уничтожении и выгрузкой из журнала регистрации событий (логов уничтожения).
Персональные данные, зафиксированные на бумажных носителях, подлежат уничтожению после достижения целей их обработки, в случае утраты необходимости в достижении этих целей или в случае отзыва согласия на обработку. Уничтожение происходит шредированием, сожжением, или иным способом, исключающим возможность восстановления данных.
Факт уничтожения подтверждается актом об уничтожении.

10. Порядок проведения внутреннего контроля, расследований, проверок. Реакция на инциденты.

10.2.Работник, ответственный за организацию обработки ПДн, осуществляет внутренний контроль:
•за соблюдением работниками, уполномоченными на обработку ПДн, требований законодательства в области ПДн, локальных нормативных актов;
•соответствием указанных актов, требованиям законодательства в области ПДн.

10.3.Внутренний контроль проходит в виде внутренних проверок:

•Плановые проверки проводятся на основании решения руководителя.
•Внеплановые проверки проводятся по решению работника, ответственного за организацию обработки ПДн.
•Основанием для них служит информация о нарушении законодательства в области ПДн.
•По итогам внутренней проверки оформляется докладная записка на имя руководителя.
•В докладной записке указывается перечень мероприятий по устранению нарушений и их сроки.

10.4.Внутреннее расследование проводится, если выявлен Инцидент.

В случае выявления Инцидента:

Действия Оператора
Уведомление Роскомнадзора о факте и последствиях инцидента, принятых мерах по устранению последствий инцидента, об уполномоченном представителе для взаимодействия по вопросам, связанным с инцидентом (в течении 24 часов).
Уведомление о результатах внутреннего расследования (в течении 72 часов).

11. Меры по защите персональных данных, принимаемые Оператором.

12. Заключительные положения

12.1. Иные права и обязанности Оператора персональных данных определяются законодательством Российской Федерации в области персональных данных.
12.2. Оператор, его должностные лица и работники несут дисциплинарную, гражданско-правовую, административную и иную ответственность за несоблюдение принципов и условий обработки персональных данных, а также за разглашение или незаконное использование персональных данных в соответствии с законодательством Российской Федерации.
12.3. Оператор имеет право вносить изменения в Политику. При внесении изменений в заголовке Политики указывается дата последнего обновления редакции.
Политика вступает в силу с момента ее утверждения Оператором и действует до ее отмены приказом руководителя или до введения новой Политики.
Оператор вправе изменить Политику. Изменения вступают в силу с момента подписания соответствующего приказа.
12.4. Действующая редакция хранится по месту осуществления деятельности Оператора:
300025, Тульская область, г. Тула, пр-кт Ленина, д. 102, к.4, оф. 410.
12.5. Информация об Операторе:
Общество с ограниченной ответственностью
«Профессиональная коллекторская организация «ТОР»
ИНН: 7104085442
КПП: 710401001
ОГРН: 1207100012096
Адрес: 300025, Тульская область, г. Тула, пр-кт Ленина, д. 102, к.4, оф. 410
Эл. почта: info@torrf.ru
Телефон: +7 (968) 508-52-99