Политика обработки и защиты персональных данных

1. Общие положения
1.1 Данная Политика обработки персональных данных (далее – Политика) разработана в соответствии с требованиями Закона Республики Беларусь «О персональных данных» и других нормативно-правовых актов, регулирующих вопросы защиты и обработки персональных данных. Политика охватывает все персональные данные (далее – Данные), которые Организация (далее – Оператор, общество) может получить от субъектов персональных данных, выступающих стороной в гражданско-правовых отношениях (далее – Субъект), а также от работников, состоящих с Оператором в трудовых отношениях, регулируемых законодательством (далее – Работник).
1.2 Оператор гарантирует защиту обрабатываемых персональных данных от несанкционированного доступа, разглашения, неправомерного использования или утраты. Он строго соблюдает требования закона «О персональных данных», а также Постановления Правительства Республики Беларусь «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», Постановления Правительства Республики Беларусь «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и других нормативно-правовых актов, изданных уполномоченными органами.
2. Изменение Политики
2.1 Оператор имеет право вносить изменения в настоящую редакцию Политики. При внесении изменений в заголовке Политики указывается дата последней редакции. Новая редакция Политики вступает в силу с момента её размещения на Сайте, если иное не предусмотрено новой редакцией Политики.
3. Термины и принятые сокращения

• Персональные данные (ПД) — это любая информация, которая прямо или косвенно относится к физическому лицу, являющемуся субъектом персональных данных.
• Обработка персональных данных представляет собой любое действие или совокупность действий, которые осуществляются с использованием средств автоматизации или без них с персональными данными. Это включает в себя сбор, запись, систематизацию, накопление, хранение, уточнение, обновление, изменение, извлечение, использование, передачу, распространение, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение персональных данных.
• Автоматизированная обработка персональных данных подразумевает процесс, при котором информация обрабатывается с помощью вычислительной техники.
• Распространение персональных данных — это действия, которые приводят к тому, что персональные данные становятся известны неопределённому кругу лиц.
• Предоставление персональных данных — это действия, направленные на раскрытие информации о человеке определённому лицу или кругу лиц.
• Блокировка персональных данных и временное прекращение их обработки, за исключением случаев, когда такая обработка необходима для уточнения информации.
• Уничтожение персональных данных — это действия, в результате которых становится невозможным восстановить их содержание в информационной системе, а также действия, направленные на уничтожение материальных носителей этих данных.
• Информационная система персональных данных (ИСПД) представляет собой совокупность данных, содержащихся в базах данных, а также информационных технологий и технических средств, которые обеспечивают их обработку.
• Персональные данные, которые субъект персональных данных сделал общедоступными; информация, доступ к которой открыт для неограниченного круга лиц по решению субъекта или по его просьбе.

4. Обработка персональных данных
4.1 Получение ПД
4.1.1 Все персональные данные должны быть получены непосредственно от субъекта. Если же для получения персональных данных необходимо обратиться к третьему лицу, субъект должен быть проинформирован об этом или дать своё согласие на использование его данных.
4.1.2 Оператор обязан информировать субъекта о целях, предполагаемых источниках и методах сбора персональных данных (ПД), характере информации, которую планируется собирать, о возможных действиях с этой информацией, о сроках действия согласия на её сбор и порядке его отзыва. Также важно уведомить субъекта о последствиях отказа дать письменное согласие на обработку ПД.
4.2 Обработка ПД
4.2.1 Обработка персональных данных осуществляется:

• с согласия субъекта персональных данных на обработку его личных данных;
• в случаях, когда обработка персональных данных необходима для выполнения функций, полномочий и обязанностей, возложенных на субъект в соответствии с законодательством Республики Беларусь, обработка может осуществляться без его согласия;
• в случаях, когда субъект персональных данных предоставил к ним неограниченный доступ или сделал их общедоступными по собственной инициативе (далее — общедоступные персональные данные), обработка таких данных осуществляется без его согласия.

4.2.2 Цели обработки персональных данных:

• компания вступает в трудовые отношения с физическими лицами;
• в рамках гражданско-правовых договоров;
• предоставление услуг или продажа товаров дистанционно.;
• отправка уведомлений на электронную почту, включая информацию о предоставляемых услугах.;
• отправка ответов на возникшие вопросы и обращения;
• защита жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если нет возможности получить его согласие;
• осуществление информационных рассылок, включая рекламные, для оповещения о проводимых акциях, товарах, услугах и работах Оператора.;
• исполнение судебных актов, актов других органов или должностных лиц, которые общество обязано исполнять в соответствии с законодательством Республики Беларусь об исполнительном производстве.

4.2.3 Категории субъектов персональных данных.
Оператор обрабатывает персональные данные (ПД) следующих субъектов:

• физические лица, с которыми Общество заключило трудовые договоры;
• физических лиц, которые являются близкими родственниками сотрудников Общества;
• физических лиц, которые уволились из Общества;
• физических лиц, претендующих на заключение трудового договора с Обществом;
• физических лиц, связанных с Обществом гражданско-правовыми отношениями;
• физических лиц, которые являются должностными (уполномоченными) лицами юридических лиц, состоящих с Обществом в гражданско-правовых отношениях;
• посетители сайтов, пользователи мобильных и веб-приложений.

4.2.4 Персональные данные, обрабатываемые Оператором:

• информация, полученная в процессе работы;
• информация, полученная в процессе отбора кандидатов на вакантные должности;
• данные, полученные в ходе гражданско-правовых отношений.

4.2.5 Обработка персональных данных осуществляется:

• с использованием автоматизированных средств;
• без применения автоматизированных систем.

4.3 Хранение ПД
4.3.1 Персональные данные субъектов могут быть получены, обработаны и переданы на хранение как на бумажных носителях, так и в электронном виде.
4.3.2 Персональные данные субъектов, обрабатываемые с помощью автоматизированных средств в различных целях, хранятся отдельно. Для этого используются отдельные папки или вкладки.
4.3.3 Не разрешается хранить и размещать документы, содержащие персональные данные, в открытых электронных каталогах и файлообменниках в рамках ИСПД.
4.3.4 Хранение персональных данных (ПД) в форме, позволяющей идентифицировать субъекта, осуществляется на срок, не превышающий потребностей их обработки. После достижения целей обработки или утраты необходимости в их достижении, ПД подлежат уничтожению.
4.4 Уничтожение ПД
4.4.1 Уничтожение документов и носителей, содержащих персональные данные, осуществляется путём их сожжения или дробления (измельчения). Для уничтожения бумажных документов допускается использование шредера.
4.4.2 Персональные данные, которые хранятся на электронных носителях, уничтожаются путём их стирания или форматирования.
4.4.3 Уничтожение осуществляется внутренней комиссией Оператора. Факт уничтожения персональных данных подтверждается документально актом об уничтожении носителей, который подписывается всеми членами комиссии.
4.4.4 Уничтожение персональных данных, которые обрабатываются в целях, указанных в настоящей Политике, осуществляется в следующих случаях:

• когда цель обработки персональных данных достигнута или в случае, если дальнейшая обработка уже не требуется, если иное не предусмотрено законодательством Республики Беларусь;
• в случае обнаружения факта неправомерной обработки персональных данных;
• если субъект персональных данных отзывает своё согласие на обработку данных, за исключением случаев, предусмотренных нормативными правовыми актами Республики Беларусь, обработка прекращается;
• если субъект персональных данных требует прекратить их обработку, то это требование должно быть выполнено, если иное не предусмотрено законодательством Республики Беларусь.

4.4.5 Вы можете отозвать согласие на обработку ваших персональных данных, запросить их или внести изменения в уже предоставленные ранее сведения одним из следующих способов:

• вы можете обратиться лично или направить соответствующее заявление в офис Компании по месту её нахождения на территории Республики Беларусь. Также вы можете позвонить в колл-центр Компании по номеру: +375 (29) 500-31-07;
• пожалуйста, отправьте соответствующее заявление в электронном виде, подписанное электронной подписью в соответствии с законодательством Республики Беларусь, на адрес электронной почты bidbass7@gmail.com.
• в некоторых случаях, которые предусмотрены законом «О персональных данных», компания имеет право продолжить обработку персональных данных после того, как субъект отозвал своё согласие на обработку.

4.5 Передача ПД
4.5.1 В следующих случаях оператор передает персональные данные третьим лицам:

• если субъект дал своё согласие на такие действия;
• если передача персональных данных предусмотрена российским или иным применимым законодательством, то она осуществляется в соответствии с установленной законом процедурой;

4.5.2 Список третьих лиц, которым персональные данные передаются без согласия и уведомления субъекта:

• Пенсионный фонд РБ для учета (на законных основаниях);
• налоговые органы РБ (на законных основаниях);
• Фонд социального страхования (в соответствии с законом);
• фонд обязательного медицинского страхования (на законных основаниях);
• страховые медицинские организации, осуществляющие деятельность в рамках обязательного и добровольного медицинского страхования на законных основаниях;
• банки для начисления заработной платы (на основании договора);
• органы Министерства внутренних дел (в случаях, предусмотренных законодательством);
• иные лица в соответствии с действующим законодательством.

5 Защита персональных данных
5.1 В соответствии с требованиями нормативных документов, Оператор разработал комплексную систему защиты персональных данных (СЗПД), включающую в себя три подсистемы: правовую, организационную и техническую.
5.2 Подсистема правовой защиты представляет собой совокупность правовых, организационно-распорядительных и нормативных документов, которые обеспечивают создание, функционирование и развитие системы защиты персональных данных.
5.3 Подсистема организационной защиты включает в себя формирование структуры управления системой защиты персональных данных (СЗПД), внедрение разрешительной системы и обеспечение защиты информации при взаимодействии с сотрудниками, контрагентами и третьими лицами.
5.4 Подсистема технической защиты включает в себя целый комплекс технических, программных и программно-аппаратных средств, которые обеспечивают надежную защиту персональных данных (ПД).
5.5 Оператор применяет основные меры защиты персональных данных, включая:
5.5.1 Назначение лица, ответственного за обработку персональных данных (ПД). Этот человек отвечает за организацию процесса обработки ПД, проведение обучения и инструктажей, а также внутренний контроль за соблюдением Оператором и его сотрудниками всех необходимых мер по защите ПД.
5.5.2 Выявление актуальных угроз безопасности персональных данных (ПД) при их обработке в информационной системе персональных данных (ИСПД). Разработка комплекса мер и мероприятий по защите ПД. Формирование политики обработки персональных данных.
5.5.3 Установление правил доступа к персональным данным (ПД), которые обрабатываются в информационной системе персональных данных (ИСПД). Также необходимо обеспечить регистрацию и учёт всех действий, связанных с ПД в этой системе.
5.5.4 Назначение индивидуальных паролей для доступа сотрудников к информационной системе в соответствии с их должностными обязанностями.
5.5.5 Использование сертифицированных программных средств, предназначенных для защиты информации от несанкционированного доступа.
5.5.6 Использование сертифицированного межсетевого экрана и систем обнаружения вторжений.
5.5.7 Обеспечение условий для сохранности персональных данных и защита их от несанкционированного доступа.
5.5.8 Выявление случаев несанкционированного доступа к персональным данным и незамедлительное реагирование на них.
5.5.9 Восстановление персональных данных, которые были изменены или уничтожены в результате несанкционированного доступа к ним.
5.5.10 До сведения сотрудников Оператора, которые непосредственно занимаются обработкой персональных данных, доводится информация о требованиях законодательства Республики Беларусь в области защиты персональных данных. Также до них доводятся документы, определяющие политику Оператора в отношении обработки персональных данных, и локальные акты, касающиеся этой тематики.
5.2 Организация внутреннего контроля.
6 Основные права субъектов персональных данных и обязанности операторов.
6.1 Основные права субъекта персональных данных.
6.1.1 Субъект имеет право на доступ к его персональным данным и следующим сведениям:

• подтверждение факта обработки персональных данных оператором;
• правовые основания и цели обработки персональных данных;
• цели и применяемые оператором методы обработки персональных данных;
• наименование и место нахождения оператора. Информация о лицах, которые имеют доступ к персональным данным (ПД) или которым они могут быть раскрыты в соответствии с договором с оператором или в силу закона (за исключением сотрудников оператора);
• сроки обработки персональных данных, включая сроки их хранения;
• порядок реализации и защиты прав субъектов персональных данных, закреплённых действующим законодательством Республики Беларусь;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, в случае если такая обработка поручена или будет поручена этому лицу.

6.1.2 Субъект имеет право обращаться к Оператору и направлять ему запросы, а также обжаловать действия или бездействие Оператора.
6.2 Обязанности Оператора
6.2.1 Оператор обязан:

• при сборе персональных данных (ПД) субъект, чьи данные собираются, имеет право запросить информацию о том, как эти данные будут использоваться;
• если персональные данные (ПД) были получены не от субъекта ПД, необходимо уведомить его об этом;
• если субъект отказывается предоставить свои персональные данные, ему следует объяснить возможные последствия такого решения;
• опубликовать или иным образом обеспечить свободный доступ к документу, который определяет политику компании в области обработки персональных данных, а также к информации о реализуемых требованиях к защите персональных данных;
• принимать все необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных (ПД) от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПД, а также от иных неправомерных действий в отношении них;
• отвечать на запросы и обращения субъектов персональных данных, их представителей и уполномоченного органа по защите прав субъектов персональных данных.