Правила обработки персональных данных

Сведения о реализуемых требованиях к защите персональных данных

В соответствии со статьёй 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» Оператор публикует сведения о мерах, направленных на обеспечение безопасности обрабатываемых персональных данных. Данные меры реализуются в соответствии с требованиями, установленными законодательством Российской Федерации, в том числе:

1. Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
2. Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Организационные меры защиты

• Определение ответственных: Назначен Ответственный за организацию обработки персональных данных, в соответствии со статьей 22.1 Федерального закона № 152-ФЗ.
• Внутренние документы: Действуют настоящие Правила, а также внутренние регламенты и инструкции, определяющие порядок обработки и меры защиты персональных данных.
• Ограничение и контроль доступа: Доступ сотрудников к информационным системам персональных данных (ИСПДн) предоставляется строго в объёме, необходимом для исполнения трудовых обязанностей, на основе принципа минимальных привилегий. Учётные записи являются персонализированными.
• Обучение сотрудников: Сотрудники, допущенные к обработке персональных данных, ознакомлены с положениями законодательства и локальными актами Оператора в этой области.
• Учёт материальных носителей: Осуществляется учёт материальных носителей персональных данных.
• Реагирование на инциденты: Установлен порядок выявления и реагирования на инциденты, связанные с нарушением безопасности персональных данных, в соответствии со статьёй 21 Федерального закона № 152-ФЗ.

Технические меры защиты

Технические меры реализуются с учётом требований, предъявляемых к уровню защищенности персональных данных, обрабатываемых в ИСПДн Оператора.

• Идентификация и аутентификация: Для доступа к ИСПДн используются уникальные учётные записи (логины) и сложные пароли.
• Управление доступом: Реализовано разграничение прав доступа пользователей к обрабатываемым персональным данным на основе ролевой модели.
• Регистрация и учёт событий: В ИСПДн ведется журнал событий безопасности, фиксирующий действия пользователей, важные для обеспечения безопасности.
• Антивирусная защита: На рабочих станциях и серверах, участвующих в обработке персональных данных, используется антивирусное программное обеспечение с регулярным обновлением вирусных баз.
• Защита информационной инфраструктуры: Для защиты сетевого периметра и предотвращения несанкционированного доступа используются межсетевые экраны (firewalls).
• Резервное копирование: Регулярно создаются резервные копии данных, включая персональные данные, для обеспечения их восстановления в случае сбоев.
• Защита каналов связи: При обработке и передаче данных используются защищённые протоколы (HTTPS).

Оценка эффективности мер защиты

Оператор регулярно проводит оценку эффективности реализуемых мер по защите персональных данных, а также внутренний контроль за соблюдением требований законодательства.

Более детальная информация о конкретных применяемых средствах защиты информации и конфигурациях может быть предоставлена по обоснованному запросу уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзора) в установленном законом порядке.

Цель: Ведение кадрового и бухгалтерского учета

Оператор обрабатывает следующие категории персональных данных:

фамилия, имя, отчество,год рождения,месяц рождения,дата рождения,место рождения,семейное положение,социальное положение,доходы,пол,адрес электронной почты,адрес места жительства,адрес регистрации,номер телефона,СНИЛС,ИНН,гражданство,данные документа, удостоверяющего личность,данные документа, удостоверяющего личность за пределами Российской Федерации,данные документа, содержащиеся в свидетельстве о рождении,реквизиты банковской карты,профессия,должность,сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации),отношение к воинской обязанности, сведения о воинском учете,сведения, собираемые посредством метрических программ,сведения об образовании,фото-видео изображение лица;

Категории субъектов, персональные данные которых обрабатываются:

Работники,Соискатели,Родственники работников,Уволенные работники,Контрагенты,Представители контрагентов,Клиенты,Законные представители;

Правовое основание обработки персональных данных

обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных,обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей,обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах,обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве,обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг", включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;

Перечень действий с персональными данными

распространение,Сбор,Запись,Систематизация,Накопление,Хранение,Уточнение (обновление, изменение),Извлечение,Использование,Передача (предоставление, доступ),Обезличивание,Блокирование,Удаление,Уничтожение;

Обработка персональных данных

смешанная,с передачей по внутренней сети юридического лица,с передачей по сети Интернет

Цель: Обеспечение соблюдения трудового законодательства РФ

Оператор обрабатывает следующие категории персональных данных:

фамилия, имя, отчество,год рождения,месяц рождения,дата рождения,место рождения,семейное положение,социальное положение,доходы,пол,адрес электронной почты,адрес места жительства,адрес регистрации,номер телефона,СНИЛС,ИНН,гражданство,данные документа, удостоверяющего личность,данные документа, удостоверяющего личность за пределами Российской Федерации,данные документа, содержащиеся в свидетельстве о рождении,реквизиты банковской карты,номер расчетного счета,должность,сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации),отношение к воинской обязанности, сведения о воинском учете,сведения об образовании,сведения о судимости;

Категории субъектов, персональные данные которых обрабатываются:

Работники,Соискатели,Родственники работников,Уволенные работники,Субъект персональных данных, предоставивший согласие на трансграничную передачу персональных данных;

Правовое основание обработки персональных данных

обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных,обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей,обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах,обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;

Перечень действий с персональными данными

распространение,Сбор,Запись,Систематизация,Накопление,Хранение,Уточнение (обновление, изменение),Извлечение,Передача (предоставление, доступ),Обезличивание,Блокирование,Удаление,Уничтожение;

Обработка персональных данных

смешанная,с передачей по внутренней сети юридического лица,с передачей по сети Интернет

Цель: Обеспечение соблюдения налогового законодательства РФ

Оператор обрабатывает следующие категории персональных данных:

фамилия, имя, отчество,год рождения,месяц рождения,дата рождения,место рождения,семейное положение,социальное положение,доходы,пол,адрес электронной почты,адрес места жительства,адрес регистрации,номер телефона,СНИЛС,ИНН,гражданство,данные документа, удостоверяющего личность,данные документа, удостоверяющего личность за пределами Российской Федерации,профессия,должность,сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации);

Категории субъектов, персональные данные которых обрабатываются:

Работники,Уволенные работники,Контрагенты;

Правовое основание обработки персональных данных

обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных,обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей,обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;

Перечень действий с персональными данными

распространение,Сбор,Запись,Систематизация,Накопление,Хранение,Уточнение (обновление, изменение),Извлечение,Использование,Передача (предоставление, доступ),Блокирование,Удаление,Уничтожение;

Обработка персональных данных

смешанная,с передачей по внутренней сети юридического лица,с передачей по сети Интернет

Цель: Обеспечение соблюдения пенсионного законодательства РФ

Оператор обрабатывает следующие категории персональных данных:

фамилия, имя, отчество,год рождения,месяц рождения,дата рождения,место рождения,семейное положение,социальное положение,доходы,пол,адрес электронной почты,адрес места жительства,адрес регистрации,номер телефона,СНИЛС,гражданство,данные документа, удостоверяющего личность,данные документа, удостоверяющего личность за пределами Российской Федерации,профессия,должность,сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации);

Категории субъектов, персональные данные которых обрабатываются:

Работники,Уволенные работники,Контрагенты;

Правовое основание обработки персональных данных

обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных,обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей,обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах,обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;

Перечень действий с персональными данными

Сбор,Запись,Систематизация,Накопление,Хранение,Уточнение (обновление, изменение),Извлечение,Использование,Блокирование,Удаление,Уничтожение;

Обработка персональных данных

смешанная,с передачей по внутренней сети юридического лица,с передачей по сети Интернет

Цель: Обеспечение соблюдения законодательства РФ в сфере здравоохранения

Оператор обрабатывает следующие категории персональных данных:

фамилия, имя, отчество,год рождения,месяц рождения,дата рождения,место рождения,семейное положение,социальное положение,доходы,пол,адрес электронной почты,адрес места жительства,адрес регистрации,номер телефона,СНИЛС,ИНН,гражданство,данные документа, удостоверяющего личность,данные документа, удостоверяющего личность за пределами Российской Федерации,данные документа, содержащиеся в свидетельстве о рождении,сведения о состоянии здоровья;

Категории субъектов, персональные данные которых обрабатываются:

Клиенты

Правовое основание обработки персональных данных

обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;

Перечень действий с персональными данными

распространение,Сбор,Запись,Систематизация,Накопление,Хранение,Уточнение (обновление, изменение),Извлечение,Использование,Передача (предоставление, доступ),Обезличивание,Блокирование,Удаление,Уничтожение;

Обработка персональных данных

смешанная,с передачей по внутренней сети юридического лица,с передачей по сети Интернет

Цель: Осуществление преддоговорных коммуникаций (консультирования) с потенциальным клиентом Оператора по инициативе клиента.

Оператор обрабатывает следующие категории персональных данных:

• номер телефона
• email

Категории субъектов, персональные данные которых обрабатываются:

Лица, обращающиеся к Оператору для получения информации или консультации через формы на сайте, по телефону, по электронной почте.

Правовое основание обработки персональных данных

152-ФЗ Статья 6 Часть 1 Пункт 1.
Обработка персональных данных осуществляется на основании согласия субъекта на обработку его персональных данных.

Обработка персональных данных

• Сбор: Персональные данные предоставляются Субъектом ПДн при его обращении к Оператору одним из следующих способов:
  1. Заполнение форм, размещённых на сайте stomatcenter.ru
  2. Телефонный звонок на номер, указанный на сайте Оператора
  3. Отправка электронного письма на адрес электронной почты Оператора
• Запись, систематизация, хранение, накопление, изменение, блокирование, удаление. Данные, полученные через формы сайта, вносятся автоматически. Данные, полученные в ходе телефонных переговоров, электронной почты вносятся авторизованным сотрудником Оператора.
• Срок хранения: Персональные данные потенциальных клиентов хранятся в течение 3 (трёх) лет с момента последнего контакта с Субъектом ПДн. Установленный срок соответствует общему сроку исковой давности (статья 196 ГК РФ), и является минимально необходимым для обеспечения защиты прав и законных интересов Оператора, а также Субъекта ПДн.
• Уничтожение: По истечении срока хранения или после отзыва Согласия Субъекта ПДн, его персональные данные, хранящиеся в ИСПДн Оператора, подлежат уничтожению. Данные уничтожаются с помощью специального программного обеспечения, выполняющего гарантированное стирание информации путём перезаписи физических секторов диска, в результате становится невозможным восстановить содержание персональных данных в ИСПДн (152-ФЗ, Статья 3 Пункт 8).

Цель: Обеспечение технической работоспособности и безопасности сайта Оператора

Оператор обрабатывает следующие категории персональных данных:

Заголовки браузера (ip-адрес, дата и время запроса, браузер) Какие конкретно данные отправляются устройством Субъекта ПДн на сайт Оператора, зависят от Субъекта ПДн и его устройства. Оператор не запрашивает никаких данных у Субъекта ПДн и его устройства. Данные отправляются по инициативе устройства Субъекта ПДн, что обусловлено стандартами транспортных коммуникационных протоколов.

Категории субъектов, персональные данные которых обрабатываются:

• Пользователи сайтов Оператора

Правовое основание обработки персональных данных

152-ФЗ Статья 6 Часть 1 Пункт 2.
Обработка технических данных, минимально необходимых для предоставления запрошенной информации при переходе на сайт Оператора, осуществляется в целях исполнения обязанности, возложенной на оператора федеральным законом от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации», а именно обязанности принимать меры по обеспечению функционирования и безопасности информационной системы Оператора, а также обязанности оператора обнаруживать факты несанкционированного доступа к персональным данным (152-ФЗ Статья 19 Часть 2 Пункт 6).

Обработка персональных данных

• Сбор: Автоматическое получение технических данных из HTTP-запроса браузера Субъекта ПДн является неотъемлемой и обязательной технологической частью функционирования сайта, необходимой для предоставления Субъекту ПДн запрашиваемой информации.
• Запись: Для целей обеспечения безопасности и расследования инцидентов Оператор осуществляет запись заголовков HTTP-запросов в текстовые файлы на серверах Оператора.
• Хранение: Полученные данные хранятся в логах сервера сайта Оператора, в виде текстовых файлов. Данные в логах не систематизируются, не привязываются конкретным Субъектам ПДн, и не объединяются с иными персональными данными, обрабатываемыми Оператором.
• Срок хранения: Логи сервера хранятся в течение 3 (трёх) лет с момента их создания. По истечении указанного срока логи подлежат уничтожению в автоматическом режиме.
• Уничтожение: Данные уничтожаются с помощью специального программного обеспечения, выполняющего гарантированное стирание информации путём перезаписи физических секторов диска, в результате становится невозможным восстановить содержание персональных данных в ИСПДн (152-ФЗ, Статья 3 Пункт 8).

Техническое обслуживание сайта Оператора

Оператор обрабатывает следующие категории персональных данных:

• Техническая информация и данные, содержащиеся в файловой системе сайта (журналы действий, конфигурационные файлы, пользовательские данные, доступные в интерфейсе администрирования);
• Данные, содержащиеся в базах данных сайта Оператора.

Категории субъектов, персональные данные которых обрабатываются:

Пользователи сайтов

Правовое основание обработки персональных данных

Обработка осуществляется на основании:

1. Поручения Оператора на обработку персональных данных (152-ФЗ, часть 3 статьи 6) - в рамках заключённого Договора на техническое обслуживание сайта, по которому Оператор поручает ITF-Россия обработку персональных данных в объёме, необходимом для исполнения обязательств по Договору.
2. Исполнения обязанности, возложенной на Оператора федеральным законом (152-ФЗ, пункт 2 части 1 статьи 6) - проведение работ по обслуживанию сайта осуществляется в целях исполнения обязанности, возложенной на оператора Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», а именно обязанности принимать меры по обеспечению функционирования и безопасности информационной системы Оператора, а также обязанности оператора обнаруживать факты несанкционированного доступа к персональным данным (152-ФЗ, пункт 6 части 2 статьи 19).

Обработка персональных данных

Оператор на основании Договора предоставляет доступ к файловой системе и базам данных сайта. Обслуживание сайта производит компания ITF-Россия. ITF-Россия производит работы в периметре информационной системы персональных данных (ИСПДн) Оператора и не использует ПДн для собственных целей, но имеет к ним доступ в объёме, необходимом для исполнения поручения. ITF-Россия обязуется не выгружать персональные данные за пределы периметра ИСПДн Оператора и обеспечивает защиту информации для авторизации в соответствии с «Правилами предоставления доступа сторонним организациям к информационной системе персональных данных Оператора» и «Правилами безопасности данных при оказании услуг заказчикам ITF» (ознакомиться с правилами).