ПОЛОЖЕНИЕ

о защите и хранении персональных данных физических лиц, не являющихся работниками, в ИП Кочев Д.М.

1. Основные понятия

1.1. Для целей настоящего Положения используются следующие основные понятия:

персональные данные - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных);

обработка персональных данных работника - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

распространение персональных данных - действия, направленные на раскрытие персональных данных работников неопределенному кругу лиц;

предоставление персональных данных - действия, направленные на раскрытие персональных данных работников определенному лицу или определенному кругу лиц;

блокирование персональных данных - временное прекращение обработки персональных данных работников (за исключением случаев, если обработка необходима для уточнения персональных данных);

уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных работников и (или) в результате которых уничтожаются материальные носители персональных данных работников;

обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному работнику;

информация - сведения (сообщения, данные) независимо от формы их представления;

документированная информация - зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или ее материальный носитель.

угроза – угроза безопасности персональных данных, актуальных для информационной системы.

угроза 3-го типа – угроза, актуальная для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе

требования - «Требования к защите персональных данных при их обработке в информационных системах персональных данных», утвержденные постановлением Правительства Российской Федерации от 01.11.2012 г. № 1119

физическое лицо – физическое лицо, не являющееся работником ИП Кочев Д.М.

2. Общие положения

2.1. Настоящим Положением определяется порядок хранения, защиты и уничтожения персональных данных, предоставленных субъектами персональных данных Компании.

2.2. Компания обрабатывает персональные данные физических лиц, в связи с чем информационная система, используемая в Компании, является информационной системой, обрабатывающей персональные данные субъектов персональных данных, не являющихся сотрудниками оператора.

3. Защита персональных данных

3.1. Защита персональных данных от неправомерного их использования, утраты обеспечивается Компанией за счет ее средств в порядке, установленном федеральным законом.

3.2. Компания, являясь оператором персональных данных, руководствуясь п. 6 Требований, определила уровень угрозы, как угрозу 3-го типа. 

3.3. В соответствии с п. 11 Требований персональные данные, переданные Компании, подлежат 3-му уровню защищенности. 

3.4. В целях обеспечения защиты персональных данных Компания принимает следующие меры: 

3.4.1. назначено должностное лицо, ответственное за обеспечение безопасности персональных данных, а также определен круг лиц, имеющих доступ к персональным данным и информационной системе. 

3.4.2. организован режим обеспечения безопасности помещений, в которых размещена информационная система, препятствующих возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

Помещения, в которых размещена информационная система, запираются на ключ. Доступ к ключу предоставлен исключительно уполномоченным на доступ к персональным данным лицам.

Вход в информационную систему осуществляется непосредственно через индивидуальные логины и пароли уполномоченных на доступ к персональным данным лиц.

3.4.3. обеспечена сохранность носителей персональных данных.

Малогабаритные носители персональных данных (бумажные носители, флеш-накопители, CD-диски и иные) хранятся в сейфе, расположенном в помещении, где размещена информационная система. Действует ограниченный режим доступа в помещение, где хранятся носители персональных данных: доступ разрешен только тем лицам, которые утверждены приказом руководителя Компании. 

3.4.4. руководителем Компании утвержден документ, определяющий перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе и без использования технических средств, необходим для выполнения ими служебных (трудовых) обязанностей. 

3.4.5. для защиты информации используется программное обеспечение, прошедшее процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации. 

3.4.6. Технические и организационные меры, которые Компания принимает для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных, изложены в отдельном локальном нормативном акте Компании. 

4. Условия и сроки обработки, сроки хранения и уничтожения персональных данных в зависимости от цели обработки персональных данных

4.1. Обработка персональных данных в целях обратной связи с субъектами персональных данных, в том числе обработка их запросов и обращений, информирование о работе Сайта (Сайтов);

4.1.1. В целях обратной связи с субъектами персональных данных, в том числе обработка их запросов и обращений, информирование о работе Сайта (Сайтов), обработке подлежат следующие персональные данные:

• общие сведения (фамилия, имя, отчество, дата рождения);
• адрес электронной почты;
• номер телефона;

4.1.2. Субъектами персональных данных, чьи персональные данные запрашиваются в целях обратной связи с субъектами персональных данных, в том числе обработка их запросов и обращений, информирование о работе Сайта (Сайтов), являются физические лица.

4.1.3. Обработка персональных данных в Компании осуществляется смешанным способом, то есть с использованием средств автоматизации, в том числе в информационных системах персональных данных, и без использования таких средств (смешанная обработка персональных данных).

4.1.4. Срок обработки персональных данных субъектов персональных данных, чьи персональные данные запрашиваются в целях обратной связи с субъектами персональных данных, в том числе обработка их запросов и обращений, информирование о работе Сайта (Сайтов), начинает течь с момента предоставления субъектом персональных данных согласие на обработку персональных данных или без такового согласия в случаях, установленных законом, и прекращается в случае достижения цели обработки персональных данных или утраты правовых оснований на обработку персональных данных. 

4.1.5. Персональные данные субъектов персональных данных, чьи персональные данные запрашиваются в целях обратной связи с субъектами персональных данных, в том числе обработка их запросов и обращений, информирование о работе Сайта (Сайтов), хранятся: 

• в пределах срока, установленном согласием на обработку персональных данных;

4.1.6. По истечению срока хранения персональные данные субъектов персональных данных, чьи персональные данные запрашиваются в целях обратной связи с субъектами персональных данных, в том числе обработка их запросов и обращений, информирование о работе Сайта (Сайтов), подлежат уничтожению либо обезличиванию.

Документы, содержащие персональные данные работника Компании и подлежащие уничтожению:

• на бумажном носителе - измельчаются в шредере/сжигаются;
• в электронном виде - стираются с информационных носителей либо физически уничтожаются сами носители, на которых хранится информация.

4.2. Обработка персональных данных в целях предоставления субъектам персональных данных информации о разработке Компанией новых продуктов и услуг, в том числе рекламного характера;

4.2.1. В целях предоставления субъектам персональных данных информации о разработке Компанией новых продуктов и услуг, в том числе рекламного характера, обработке подлежат следующие персональные данные:

• общие сведения (фамилия, имя, отчество, дата рождения);
• адрес электронной почты;
• номер телефона;

4.2.2. Субъектами персональных данных, чьи персональные данные запрашиваются в целях предоставления субъектам персональных данных информации о разработке Компанией новых продуктов и услуг, в том числе рекламного характера, являются физические лица.

4.2.3. Обработка персональных данных в Компании осуществляется смешанным способом, то есть с использованием средств автоматизации, в том числе в информационных системах персональных данных, и без использования таких средств (смешанная обработка персональных данных).

4.2.4. Срок обработки персональных данных субъектов персональных данных, чьи персональные данные запрашиваются в целях предоставления субъектам персональных данных информации о разработке Компанией новых продуктов и услуг, в том числе рекламного характера, начинает течь с момента предоставления субъектом персональных данных согласие на обработку персональных данных или без такового согласия в случаях, установленных законом, и прекращается в случае достижения цели обработки персональных данных или утраты правовых оснований на обработку персональных данных. 

4.2.5. Персональные данные субъектов персональных данных, чьи персональные данные запрашиваются в целях предоставления субъектам персональных данных информации о разработке Компанией новых продуктов и услуг, в том числе рекламного характера, хранятся: 

• в пределах срока, установленном согласием на обработку персональных данных;

4.2.6. По истечению срока хранения персональные данные субъектов персональных данных, чьи персональные данные запрашиваются в целях предоставления субъектам персональных данных информации о разработке Компанией новых продуктов и услуг, в том числе рекламного характера, подлежат уничтожению либо обезличиванию.

Документы, содержащие персональные данные и подлежащие уничтожению:

• на бумажном носителе - измельчаются в шредере/сжигаются;
• в электронном виде - стираются с информационных носителей либо физически уничтожаются сами носители, на которых хранится информация.

4.3. Обработка персональных данных в целях заключения с субъектами персональных данных любых договоров и их дальнейшего исполнения

4.3.1. В целях заключения с субъектами персональных данных любых договоров и их дальнейшего исполнения, обработке подлежат следующие персональные данные:

• общие сведения (фамилия, имя, отчество, дата рождения, место рождения, паспортные данные);
• сведения о месте жительства, адрес регистрации;
• банковские реквизиты;
• индивидуальный номер налогоплательщика (ИНН);
• контактный телефон;
• адрес электронной почты.

4.3.2. Субъектами персональных данных, чьи персональные данные запрашиваются в целях заключения договоров и их дальнейшего исполнения, являются физические лица и индивидуальные предприниматели.

4.3.3. Обработка персональных данных в Компании осуществляется смешанным способом, то есть с использованием средств автоматизации, в том числе в информационных системах персональных данных, и без использования таких средств (смешанная обработка персональных данных).

4.3.4. Срок обработки персональных данных субъектов персональных данных, чьи персональные данные запрашиваются в целях заключения с субъектами персональных данных любых договоров и их дальнейшего исполнения, начинает течь с момента предоставления субъектом персональных данных согласие на обработку персональных данных или без такового согласия в случаях, установленных законом, и прекращается в случае достижения цели обработки персональных данных или утраты правовых оснований на обработку персональных данных. 

4.3.5. Персональные данные субъектов персональных данных, чьи персональные данные запрашиваются в целях заключения с субъектами персональных данных любых договоров и их дальнейшего исполнения, хранятся: 

• в пределах срока, установленном согласием на обработку персональных данных;

4.3.6. По истечению срока хранения персональные данные субъектов персональных данных, чьи персональные данные запрашиваются в целях заключения с субъектами персональных данных любых договоров и их дальнейшего исполнения, подлежат уничтожению либо обезличиванию.

Документы, содержащие персональные данные субъекта персональных данных и подлежащие уничтожению:

• на бумажном носителе - измельчаются в шредере/сжигаются;
• в электронном виде - стираются с информационных носителей либо физически уничтожаются сами носители, на которых хранится информация.

5. Условия хранения персональных данных

5.1. Персональные данные субъектов персональных данных хранятся на бумажном носителе и в электронном виде. 

5.2. Персональные данные, содержащиеся на бумажных носителях, хранятся в сейфе/металлическом шкафу, доступ к которому есть только у тех лиц, которым необходим доступ к персональным данным для выполнения ими служебных (трудовых) обязанностей. 

Хранение персональных данных на бумажных носителях организовано таким образом, что персональные данные, различающиеся по цели обработки, хранятся на отдельных полках/шкафах/сейфах, в случае если есть возможность разделить бумажные носители с персональными данными строго в соответствии с целью их обработки. 

5.3. Персональные данные, содержащиеся в электронном виде на малогабаритных машинных материальных носителях, хранятся сейфе/металлическом шкафу, доступ к которому есть только у тех лиц, которым необходим доступ к персональным данным для выполнения ими служебных (трудовых) обязанностей.

Хранение персональных данных в электронном виде на малогабаритных машинных носителях организовано таким образом, что персональные данные, различающиеся по цели обработки, хранятся на отдельных полках/шкафах/сейфах, в случае если есть возможность разделить материальные носители с персональными данными в электронном виде строго в соответствии с целью их обработки.

5.4. Хранение персональных данных в электронном виде, расположенных в информационной системе, организовано таким образом, что доступ к информационной системе есть только у тех лиц, которым необходим доступ к персональным данным для выполнения ими служебных (трудовых) обязанностей.