Положення про порядок обробки та захист персональних даних, що містяться у базах даних, власником яких є Продавець
Зміст
• Терміни та сфера дії
• Перелік баз персональних даних
• Цілі обробки персональних даних
• Порядок обробки даних: згода, повідомлення та дії з персональною інформацією
• Місцезнаходження баз даних
• Умови надання інформації третім особам
• Захист даних: методи, відповідальні особи, термін зберігання
• Права суб'єкта персональних даних
• Обробка звернень суб'єктів персональних даних
• Державна реєстрація баз даних
1. Терміни та сфера дії
1.1. Під базою персональних даних розуміється сукупність структурованих персональних даних, поданих в електронній формі та/або на матеріальних носіях (у вигляді картотек).
Відповідальна особа - призначений співробітник, який координує забезпечення безпеки персональних даних у процесі їх обробки відповідно до законодавчих норм.
Власник бази персональних даних - фізична або юридична особа, яка отримала законну або узгоджену з суб'єктом право на обробку персональних даних, що визначає мету, склад та порядок такої обробки.
Державний реєстр баз персональних даних – централізована державна інформаційна система обліку зареєстрованих баз персональних даних.
Загальнодоступні джерела персональних даних - довідники, каталоги, адресні книги та інші систематизовані ресурси з інформацією. Винятком є інтернет-ресурси, включаючи соціальні мережі, якщо суб'єкт не вказав явний дозвіл на поширення своїх даних.
Згода суб'єкта персональних даних - оформлене документально, добровільне волевиявлення на обробку персональних даних у межах певної мети.
Знеособлення – процес видалення даних, що дозволяють ідентифікувати особу.
Обробка - будь-які дії, що здійснюються з персональними даними, включаючи збирання, зберігання, зміну, поширення, знищення та знеособлення.
Персональні дані — відомості, що стосуються ідентифікованої чи потенційно ідентифікованої особи.
Розпорядник бази - фізична чи юридична особа, наділена правом обробки даних від імені власника бази.
Суб'єкт персональних даних – особа, чиї персональні дані обробляються.
Третя особа - будь-які особи, які не є суб'єктом даних, власником або розпорядником бази даних, які отримують доступ до персональних даних у рамках законодавства.
Особливі категорії даних — відомості про расову, етнічну приналежність, переконання, членство в організаціях, здоров'я та інтимне життя.
1.2. Положення підлягає обов'язковому дотриманню відповідальною особою та працівниками Продавця, які мають доступ до персональних даних у межах виконання посадових обов'язків.
2. Перелік баз персональних даних
2.1. Продавець є власником наступних баз даних персонального характеру:
- база персональних даних контрагентів
3. Цілі обробки персональних даних
3.1. Обробка персональних даних здійснюється з метою забезпечення належного виконання цивільно-правових зобов'язань, надання послуг, отримання та виконання фінансових розрахунків відповідно до Податкового кодексу України та Закону України «Про бухгалтерський облік та фінансову звітність».
4. Порядок обробки даних: згода, повідомлення та дії з персональною інформацією
4.1. Згода суб'єкта персональних даних виявляється у добровільній та документально зафіксованій формі, що підтверджує дозвіл на обробку даних з конкретною метою.
4.2. Згода може бути надана у таких формах:
- паперовий документ з реквізитами, що дозволяють ідентифікувати особу та документ;
- електронний документ із аналогічними обов'язковими реквізитами;
- Позначка на цифровому документі або файлі в інформаційній системі, оформлена з використанням підтверджених програмно-технічних рішень.
4.3. Надання згоди здійснюється під час оформлення цивільно-правових відносин у порядку, встановленому чинним законодавством.
4.4. Повідомлення суб'єкта про обробку його персональних даних, права, цілі обробки та осіб, яким вони можуть бути передані, надається одночасно з оформленням правових відносин.
4.5. Обробка особливих категорій персональних даних (про расову або етнічну приналежність, політичні, релігійні переконання, членство в партіях і профспілках, здоров'я або інтимне життя) не допускається.
5. Місцезнаходження баз даних
5.1. Бази даних, зазначені у розділі 2 цього Положення, фізично розміщені за адресою Продавця.
6. Умови надання інформації третім особам
6.1. Надання доступу третім особам здійснюється в межах згоди суб'єкта персональних даних або згідно з чинним законодавством.
6.2. У разі відмови третьої особи прийняти зобов'язання щодо забезпечення захисту персональних даних, доступ не надається.
6.3. Запит на доступ до персоналу
6.4. Запит повинен містити:
- повні ПІБ та місце проживання (перебування) заявника, реквізити документа, що посвідчує;
- найменування та дані організації, що подає запит (якщо застосовується);
- дані особи, до якої запитуються відомості;
- інформація про базу даних та її власника або розпорядника;
- перелік запитуваних даних та мета запиту.
6.5. Розгляд запиту здійснюється протягом 10 робочих днів, а відповідь надається у строк до 30 календарних днів, якщо інше не передбачено законом.
6.6. При неможливості задоволення запиту вчасно допускається відстрочка, про що надсилається письмове повідомлення.
6.7. У повідомленні про відстрочку зазначаються дані відповідальної особи, дата, причина та передбачуваний строк задоволення.
6.8. Відмова у доступі можлива за наявності встановлених законом обмежень.
6.9. У разі відмови надсилається мотивоване повідомлення із зазначенням причини відмови та даних відповідальної особи.
6.10. Відмова або відстрочка може бути оскаржена у судовому порядку.
7. Захист даних: методи, відповідальні особи, термін зберігання
7.1. Власник бази даних забезпечує технічний та програмний захист персональних даних, включаючи заходи, що запобігають втраті, несанкціонований доступ, фальсифікацію та розповсюдження даних, що відповідають вимогам національних та міжнародних стандартів.
7.2. Відповідальна особа призначається для організації заходів щодо захисту персональних даних. Його обов'язки регламентовані посадовою інструкцією.
7.3. Відповідальна особа зобов'язана:
- знати законодавство України щодо персональних даних;
- організувати доступ працівників до даних у межах службових повноважень;
- контролювати дотримання внутрішньої політики захисту даних;
- повідомляти керівництво про порушення у строк не пізніше одного робочого дня з моменту їх виявлення;
- забезпечувати зберігання документів, що підтверджують отримання згоди та повідомлення суб'єктів даних.
7.4. Відповідальна особа має право:
- запитувати та копіювати документи, що стосуються обробки персональних даних;
- брати участь в обговоренні процедур обробки та захисту даних;
- вносити пропозиції щодо покращення політики у сфері захисту персональних даних;
- Вимагати пояснень з питань обробки персональних даних;
- підписувати документи у межах своєї компетенції.
7.5. Співробітники, які мають доступ до персональних даних, зобов'язані дотримуватися законодавства про захист даних та внутрішні нормативи підприємства.
7.6. Забороняється розголошення персональних даних після припинення трудових чи службових відносин, крім випадків, передбачених законом.
7.7. Особи, які порушили вимоги законодавства про персональні дані, несуть відповідальність відповідно до чинного законодавства України.
7.8. Персональні дані зберігаються не довше за період, необхідний для досягнення мети їх обробки, або в строк, визначений згодою суб'єкта персональних даних.
8. Права суб'єкта персональних даних
8.1. Суб'єкт персональних даних має право:
- знати місцезнаходження та призначення бази даних, що містить його дані;
- отримувати інформацію про умови надання доступу до даних;
- отримати доступ до своїх даних та відомості про третіх осіб, яким вони були передані;
- отримувати протягом 30 календарних днів відповідь на запит про наявність та зміст своїх персональних даних;
- подавати цільові вимоги щодо обмеження або припинення обробки своїх даних;
- вимагати зміни чи видалення недостовірних чи незаконно оброблених даних;
- захищати свої персональні дані від неправомірної обробки та розповсюдження;
- звертатися до державних органів з питань захисту прав у сфері персональних даних;
- Застосовувати передбачені законом засоби правового захисту.
9. Обробка звернень суб'єктів персональних даних
9.1. Суб'єкт персональних даних має право отримати інформацію про себе від власника або розпорядника бази персональних даних без необхідності вказувати мету запиту, якщо інше не передбачено законодавством.
9.2. Доступ надається без стягнення плати.
9.3. Запит повинен містити:
- повні ПІБ, адреса, реквізити документа, що засвідчує;
- Дані, що дозволяють ідентифікувати особистість;
- інформація про базу даних, власника або розпорядника;
- Перелік даних, що запитуються.
9.4. Термін розгляду запиту – до 10 робочих днів.
9.5. Відповідь на запит надається не пізніше ніж за 30 календарних днів з дня її отримання, якщо інше не передбачено законом.
10. Державна реєстрація баз даних
10.1. Державна реєстрація баз персональних даних здійснюється у порядку, встановленому статтею 9 Закону України "Про захист персональних даних".