Политика в отношении обработки ПДн

1. Термины и определения

персональные данные – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных);

оператор персональных данных (оператор) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя, в том числе:

• сбор;
• запись;
• систематизацию;
• накопление;
• хранение;
• уточнение (обновление, изменение);
• извлечение;
• использование;
• передачу (распространение, предоставление, доступ);
• обезличивание;
• блокирование;
• удаление;
• уничтожение.

автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;

распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств (далее – ИСПДН);

трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

2. Общие положения

Настоящая политика АНО "Спортклуб РОЗА" в отношении обработки персональных данных (далее – «Политика»):

• разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – «Закон 152-ФЗ») в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных (далее – «ПДн»), в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну;
• определяет политику Организации в отношении обработки всех ПДн, обрабатываемых Организацией, порядок и условия ее осуществления;
• содержит сведения о реализуемых требованиях к защите ПДн;
• предназначена для изучения и неукоснительного исполнения всеми работниками Организации, обрабатывающими ПДн, для ознакомления субъектами ПДн, и рекомендуется к доведению до сведения контрагентов и других заинтересованных сторон.

ПДн, обрабатываемые Организацией, относятся к сведениям конфиденциального характера (за исключением случаев, предусмотренных законодательством) и подлежат защите в соответствии с требованиями конфиденциальности, установленными законодательством и внутренней нормативной документацией Организации. В целях обеспечения конфиденциальности и безопасности ПДн в Организации введен в действие комплект организационно-распорядительной документации по вопросам обработки и защиты ПДн, устанавливающей, в частности, процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений, и принимаются необходимые организационные и технические меры обеспечения безопасности ПДн.

3. Цели, порядок и условия обработки ПДн

Организация в своей деятельности обеспечивает соблюдение всех принципов обработки ПДн, указанных в ст. 5 Закона 152-ФЗ, и допускает обработку ПДн только в случаях, предусмотренных ч.1 ст. 6 Закона 152-ФЗ.

Цели, правовые основания, категории и перечень обрабатываемых ПДн, категории субъектов ПДн, способы, сроки обработки и хранения ПДн Организацией указаны в Приложении № 1 к настоящей Политике.

При обработке ПДн Организация осуществляет:

• запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение ПДн;
• использование баз данных, находящихся только на территории РФ;
• передачу ПДн третьим лицам¹ только при условии соблюдения требования Закона 152-ФЗ, в частности, наличие согласия субъекта ПДн, поручения на обработку ПДн, условий договора, предусматривающих обязанность третьего лица соблюдать конфиденциальность и безопасность ПДн.

Организация не осуществляет:

• раскрытие третьим лицам и распространение ПДн без согласия субъекта ПДн, если иное не предусмотрено федеральным законом;
• принятие на основании исключительно автоматизированной обработки ПДн решений, порождающих юридические последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы.

Организация может осуществлять трансграничную передачу ПДн, предварительно уведомив уполномоченный орган по защите прав субъектов ПДн (далее – «Роскомнадзор») о своем намерении в установленном Законом 152-ФЗ порядке, если вышеуказанным органом не принято решение о ее запрещении или ограничении. До подачи вышеуказанного уведомления Организация получает от лиц, которым планируется трансграничная передача ПДн, сведения о принимаемых мерах по защите передаваемых ПДн, об условиях прекращения их обработки, о правовом регулировании в области ПДн, контактную информацию данных лиц в соответствии с ч. 5 ст. 12 Закона 152-ФЗ.

Условия прекращения обработки ПДн Организацией продиктованы Законом 152-ФЗ и включают в себя:

• достижение целей обработки ПДн (утрата необходимости в их достижении) или сроков обработки и хранения ПДн (действия согласия на обработку ПДн);
• отзыв субъектом ПДн согласия на обработку ПДн;
• предоставление субъектом ПДн или его законным представителем сведений, подтверждающих, что ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
• невозможность обеспечения правомерности обработки ПДн;
• иные предусмотренные законодательством РФ случаи.

Организация осуществляет уничтожение ПДн при достижении целей их обработки (утрате необходимости в их достижении) или при наступлении иных законных оснований, в частности:

• отзыв субъектом ПДн согласия на обработку его ПДн;
• если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• если обеспечить правомерность обработки ПДн невозможно.

Уничтожение ПДн Организацией осуществляется способом, исключающим возможность восстановления этих ПДн.

Организация прекращает обработку ПДн или обеспечивает её прекращение путем уничтожения ПДн в срок (при условии, что иное не предусмотрено применимым законодательством или соглашением между субъектом ПДн и Организацией), не превышающий:

• срок действия согласия;
• 30 (тридцати) дней с даты отзыва согласия на обработку ПДн;
• иной срок, установленный законодательством РФ.

По результатам уничтожения ПДн составляется акт. При уничтожении ПДн в ИСПДн может осуществляться выгрузка из журнала регистрации событий в ИСПДн, отражающей сведения в соответствии с требованиями законодательства. Акт об уничтожении ПДн и выгрузка из журнала регистрации событий хранятся в течение 3 лет с момента уничтожения ПДн.

¹ конкретное наименование и местонахождение соответствующих третьих лиц, цели осуществляемой передачи, объем передаваемых ПДн, перечень действий по их обработке, способы и иные условия обработки, включая требования к защите обрабатываемых ПДн, указываются в согласиях на обработку ПДн

4. Основные права и обязанности Организации и субъектов ПДн

Организация как оператор ПДн вправе:

• поручить обработку ПДн третьему лицу с согласия субъекта ПДн, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора;
• предоставлять ПДн третьим лицам в случаях, предусмотренных законодательством;
• осуществлять обработку ПДн без согласия субъекта ПДн в случаях, предусмотренных законодательством;
• самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом 152-ФЗ или другими федеральными законами.

Организация как оператор ПДн обязана:

• предоставить субъекту ПДн в доступной форме информацию, касающуюся обработки его ПДн, в случаях, в порядке и в сроки, предусмотренные Законом 152-ФЗ;
• уточнить ПДн, прекратить их обработку, блокировать или уничтожить их (или обеспечить выполнение указанных действий) в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, отзыва субъектом ПДн согласия на обработку ПДн, в случаях, в порядке и в сроки, предусмотренные Законом 152-ФЗ;
• принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами;
• принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.

Организация при осуществлении обработки ПДн по поручению другого лица, являющегося оператором передаваемых ПДн (далее – Заказчик), на основании заключенного с ним договора обязана:

• осуществлять обработку ПДн в соответствии с определенными в поручении перечнем ПДн, перечнем действий (операций) с ПДн, целями их обработки;
• соблюдать принципы и правила обработки ПДн, предусмотренные Законом 152-ФЗ;
• использовать базы данных, находящиеся на территории РФ;
• по запросу Заказчика в течение срока действия поручения, в том числе до обработки ПДн, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения требований, установленных в соответствии со ст. 6 Закона 152-ФЗ;
• соблюдать конфиденциальность ПДн;
• принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом 152-ФЗ, в частности ст. 18.1;
• обеспечивать безопасность ПДн при их обработке, в том числе в соответствии с требованиями ст. 19 Закона 152-ФЗ;
• уведомлять Заказчика о случаях установления факта неправомерной или случайной передачи ПДн, повлекшей нарушение прав субъектов ПДн, в соответствии с ч.3.1 ст. 21 Закона 152-ФЗ;
• не обязана получать согласие субъекта ПДн на обработку его ПДн, наличие согласия обеспечивается Заказчиком;
• несет ответственность только перед Заказчиком, ответственность перед субъектом ПДн за действия Организации несет Заказчик.

При осуществлении Организацией обработки ПДн в качестве самостоятельного оператора ПДн субъекты ПДн имеют право:

• требовать от Организации предоставления в доступной форме информации, касающейся обработки своих ПДн, в случаях и в порядке, предусмотренных Законом 152-ФЗ;
• требовать от Организации уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
• отозвать согласие на обработку своих ПДн;
• обжаловать в уполномоченный орган по защите прав субъектов ПДн или в судебном порядке неправомерные действия или бездействие Организации при обработке ПДн субъектов ПДн;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке;
• реализовывать иные права, предусмотренные действующим законодательством.

При осуществлении Организацией обработки ПДн в качестве самостоятельного оператора ПДн субъекты ПДн обязаны:

• передавать достоверные ПДн, необходимые для достижения целей обработки, а также подтверждать их достоверность предъявлением оригиналов документов;
• в случае изменения ПДн сообщить Организации уточненные ПДн и подтвердить изменения оригиналами документов;
• при доступе к ПДн иных субъектов ПДн соблюдать требования к обработке ПДн, обеспечению их конфиденциальности и безопасности, установленные Законом 152-ФЗ и внутренними требованиями Организации.

Право субъекта ПДн на доступ к его ПДн может быть ограничено в соответствии с федеральными законами, в частности, если такой доступ нарушает права и законные интересы третьих лиц.

Непредставление Организации ПДн субъектом ПДн или предоставление неточных, неполных, неактуальных ПДн, или неуведомление (несвоевременное уведомление) Организации об изменении ПДн, полный или частичный отзыв согласия на обработку ПДн, прекращение обработки ПДн по требованию субъекта ПДн могут привести к невозможности достижения цели обработки ПДн, предусмотренной согласием на обработку ПДн.

Для реализации и защиты своих прав и законных интересов субъект ПДн или его представители имеют право обратиться к Организации лично по ее юридическому адресу: 119180, г. Москва, вн.тер.г. муниципальный округ Якиманка, ул. Большая Якиманка, д. 9, помещ./этаж 412/4.

5. Обеспечение безопасности ПДн

5.1 Меры обеспечения безопасности ПДн

Организация принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.

В Организации для обеспечения безопасности ПДн принимаются следующие меры:

• назначение ответственного за организацию обработки ПДн;
• издание документов:
  • определяющих политику Организации в отношении обработки ПДн;
  • определяющих для каждой цели обработки ПДн категории и перечень обрабатываемых ПДн, категории субъектов, ПДн которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения ПДн при достижении целей их обработки или при наступлении иных законных оснований;
  • устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений;
• внутренний контроль и (или) аудит соответствия обработки ПДн Закону 152-ФЗ и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, настоящей Политике, иным локальным актам Организации;
• оценка вреда, который может быть причинен субъектам ПДн в случае нарушения Закона 152-ФЗ, в соответствии с требованиями, утвержденными приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 27.10.2022 № 178, соотношение указанного вреда и принимаемых Организацией мер, направленных на обеспечение выполнения обязанностей, предусмотренных Законом 152-ФЗ;
• ознакомление работников Организации, непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ о ПДн, в том числе с требованиями к защите ПДн, локальными актами в отношении обработки ПДн и обучение указанных работников;
• учет машинных носителей ПДн;
• определение мест хранения материальных носителей ПДн, а также обеспечение учета и сохранности материальных носителей ПДн;
• установление перечня лиц, осуществляющих обработку ПДн на материальных носителях, либо имеющих к ним доступ;
• обеспечение раздельного хранения материальных носителей ПДн, обработка которых осуществляется в различных целях;
• обнаружение фактов несанкционированного доступа к ПДн и принятие соответствующих мер;
• восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• организация мер обеспечения безопасности помещений, в которых осуществляется обработка ПДн, препятствующих возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
• контроль за принимаемыми мерами по обеспечению безопасности ПДн.

5.2 Ответственный за организацию обработки ПДн

Права и обязанности ответственного за организацию обработки ПДн установлены Законом 152-ФЗ и соответствующими локальными актами Организации.

Назначение ответственного за организацию обработки ПДн и освобождение от указанных обязанностей осуществляется руководителем Организации.

Ответственный за организацию обработки ПДн:

• осуществляет внутренний контроль за соблюдением Организацией и ее работниками законодательства РФ о ПДн, в том числе требований к защите ПДн, и (или) организует его;
• доводит до сведения работников Организации положения законодательства РФ о ПДн, локальных актов по вопросам обработки ПДн, требований к защите ПДн или обеспечивает их доведение;
• организовывает контроль за приемом и обработкой обращений и запросов субъектов ПДн или их представителей и (или) осуществляет его;
• утверждает своим приказом новые формы согласий на обработку ПДн, в случае, когда такое полномочие предоставлено руководителем Организации.

6. Заключительные положения

Политика утверждается, вводится в действие и изменяется руководителем Оператора и действует до ее отмены.

Организация вправе вносить изменения в настоящую Политику. Политика подлежит пересмотру, изменению, дополнению в случае появления новых или изменения применимых нормативных правовых актов РФ, локальных актов Организации и порядка осуществления Организацией обработки и обеспечения безопасности ПДн.

К действующей редакции настоящей Политики обеспечен неограниченный доступ по юридическому адресу Организации.

Контроль исполнения требований настоящей Политики осуществляется ответственным за организацию обработки ПДн в Организации.

Ответственность за невыполнение требований норм, регулирующих обработку и защиту ПДн, определяется в соответствии с законодательством РФ, локальными актами Организации и договорами, регламентирующими правоотношения Организации с третьими лицами.

Приложение №1

к Политике АНО "Спортклуб РОЗА"

в отношении обработки персональных данных

Перечень обрабатываемых АНО "Спортклуб РОЗА" персональных данных

В соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – 152-ФЗ) АНО "Спортклуб РОЗА" (далее – Организация) как оператор персональных данных и по поручению иных лиц, на основании заключенных с ними договоров, осуществляет обработку персональных данных (далее – ПДн) в соответствии с таблицей ниже:

Согласие на обработку персональных данных (для посетителей сайтов Организации olympic-collection.ru и olympic-collection.com)

Я,
документ, удостоверяющий личность:		серия:	№:
дата выдачи:	кем выдан:
проживающий(ая) по адресу:

1. Действуя свободно, своей волей и в своем интересе, даю АНО "Спортклуб РОЗА" (далее – Оператор), ИНН 7706471445, ОГРН 1147799003978, юридический адрес: 119180, г. Москва, вн.тер.г. муниципальный округ Якиманка, ул. Большая Якиманка, д.9, помещ./этаж 412/4, настоящее Согласие на обработку персональных данных (далее – Согласие) в целях оценки посещаемости сайта с использованием статистики, формируемой сторонними сервисами метрики на основании полученных с сайта сведений о пользователях и их действиях

в отношении моих нижеуказанных персональных данных:

- сведения, содержащиеся в файлах cookie (в частности, уникальный идентификатор пользователя и его устройства, IP-адрес, характеристики устройства пользователя);

- сведения о действиях пользователя (в частности, URL-адрес просматриваемой страницы сайта, дата и время посещения страницы сайта, длительность ее просмотра, URL-адрес, по которому пользователь перешел на сайт).

2. Оператор вправе осуществлять сбор, включая получение от третьих лиц, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение с использованием средств автоматизации и без использования средств автоматизации моих вышеуказанных персональных данных (далее – Персональные данные).

3. Лицо, осуществляющее обработку персональных данных по поручению Оператора (если обработка будет поручена такому лицу): _____________________________ (наименование или Ф.И.О., ИНН и (или) ОГРН (ОГРНИП)), находящееся по адресу: _______________________ (адрес).

4. Настоящее Согласие действует со дня его подписания и до истечения 3 (трех) лет с даты посещения сайта Оператора. Срок действия настоящего Согласия прекращается по истечении 30 (тридцати) дней с даты отзыва мной настоящего Согласия.

"___" ______________ 20___ года	________________/	__________________________/
	подпись	расшифровка подписи