# 1. Термины и определения

**Автоматизированная обработка персональных данных** – обработка персональных данных с помощью средств вычислительной техники.

**Блокирование персональных данных** – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

**Уничтожение персональных данных** – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

**Информационная система персональных данных** – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

**Обработка персональных данных** – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования.

**Оператор персональных данных** – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

**Персональные данные** – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

**Пользователь сайта** – любое лицо, посещающее сайт и использующее информацию, материалы и сервисы сайта.

**Предоставление персональных данных** – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

**Субъект персональных данных** – физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных.

**Сайт** – совокупность связанных между собой веб-страниц, размещенных в сети Интернет по уникальному адресу (URL), а также его субдоменах.

**Распространение персональных данных** – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

**Трансграничная передача персональных данных** – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

**Cookie** – небольшой фрагмент данных, отправленный веб-сервером и хранимый на компьютере Пользователя, который веб-клиент или веб-браузер каждый раз пересылает веб-серверу в HTTP-запросе при попытке открыть страницу соответствующего сайта.

**IP-адрес** – уникальный сетевой адрес узла в компьютерной сети, через который Пользователь получает доступ на сайт.

---

# 2. Цель и задачи

Целью данного документа является обеспечение защиты прав и свобод субъекта персональных данных при обработке его персональных данных следующими организациями:

- обществом с ограниченной ответственностью «МРИЯ», расположенным по адресу: 298688, Российская Федерация, Республика Крым, Ялта, с. Оползневое, улица Генерала Острякова, 9;
- обществом с ограниченной ответственностью «МРИЯ.ГАСТРО», расположенным по адресу: 298688, Российская Федерация, Республика Крым, Ялта, с. Оползневое, улица Генерала Острякова, 9;
- обществом с ограниченной ответственностью «МРИЯ.ПРО», расположенным по адресу: 298685, Российская Федерация, Республика Крым, г. Ялта, с. Оползневое, Севастопольское шоссе, д. 2;
- обществом с ограниченной ответственностью «МРИЯ.ТЕРРУАР», расположенным по адресу: 299011, Российская Федерация, г. Севастополь, вн.тер.г. Ленинский муниципальный округ, ул. Демидова, д. 13, помещ. 1, кабинет 107;
- обществом с ограниченной ответственностью «РУСЬ», расположенным по адресу: 298671, Российская Федерация, Республика Крым, г.о. Ялта, пгт Кореиз, ш. Алупкинское, д. 52;
- автономной некоммерческой организацией дополнительного профессионального образования «ОРБИТА», расположенной по адресу: 115230, Российская Федерация, г. Москва, вн.тер.г. муниципальных округ Нагатино-Садовники, проезд Хлебозаводский, д.7, стр.9, помещ. 33/Н (далее – Общество, Оператор).

Основной задачей данного документа является определение политики Общества в отношении обработки персональных данных субъектов персональных данных.

---

# 3. Сфера деятельности

Настоящий документ распространяется на работников Оператора, непосредственно осуществляющих обработку персональных данных, и на все операции, совершаемые Оператором с персональными данными с использованием средств автоматизации или без их использования.

---

# 4. Ответственные должностные лица

Ответственность за исполнение (за контроль исполнения, за отчетность) возлагается на лиц, ответственных за организацию обработки персональных данных и за обеспечение безопасности персональных данных в Обществе.

---

# 5. Основные положения

## 5.1. Обработка персональных данных

5.1.1. Настоящий документ (далее – Политика) разработан во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных).

5.1.2. Понятия, содержащиеся в ст. 3 Закона о персональных данных, используются в настоящей Политике с аналогичным значением.

5.1.3. Действие настоящей Политики распространяется на все операции, совершаемые Оператором с персональными данными с использованием средств автоматизации или без их использования.

5.1.4. Оператор имеет право:
- получать от субъекта персональных данных достоверные информацию и/или документы, содержащие персональные данные;
- требовать от субъекта персональных данных своевременного уточнения предоставленных персональных данных.

5.1.5. Оператор обязан:
- обрабатывать персональные данные в порядке, установленном действующим законодательством РФ;
- рассматривать обращения субъекта персональных данных (его законного представителя) по вопросам обработки персональных данных и давать мотивированные ответы;
- предоставлять субъекту персональных данных (его законному представителю) возможность безвозмездного доступа к его персональным данным;
- принимать меры по уточнению, уничтожению персональных данных субъекта персональных данных в связи с его (его законного представителя) обращением с законными и обоснованными требованиями;
- организовывать защиту персональных данных в соответствии с требованиями законодательства РФ.

5.1.6. Субъекты персональных данных имеют право:
- на полную информацию об их персональных данных, обрабатываемых Оператором;
- на доступ к их персональным данным, включая право на получение копии любой записи, содержащей их персональные данные, за исключением случаев, предусмотренных федеральным законом;
- на уточнение их персональных данных, их блокирование или уничтожение в случаях, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- на прекращение обработки их персональных данных по требованию;
- на отзыв согласия на обработку персональных данных;
- на принятие предусмотренных законом мер по защите своих прав;
- на осуществление иных прав, предусмотренных законодательством РФ.

5.1.7. Субъекты персональных данных обязаны:
- предоставлять Оператору только достоверные данные о себе;
- предоставлять документы, содержащие персональные данные, в объеме, необходимом для цели обработки;
- сообщать Оператору об уточнении (обновлении, изменении) своих персональных данных.

5.1.8. Лица, передавшие Оператору недостоверные сведения о себе либо сведения о другом субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством РФ.

## 5.2. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных, цели сбора персональных данных

5.2.1. Персональные данные обрабатываются Оператором в следующих целях:

**5.2.1.1. Организация проживания и временного размещения в санаторно-курортном комплексе «МРИЯ»:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, год рождения, месяц рождения, дата рождения, место рождения, пол, адрес электронной почты, адрес места жительства, адрес регистрации, номер телефона, гражданство, данные документа, удостоверяющего личность, сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации).
- Категории субъектов персональных данных: клиенты.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.2. Осуществление корпоративной коммуникации:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, должность, адрес электронной почты, номер телефона.
- Категории субъектов персональных данных: работники, контрагенты.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.3. Предоставление доступа к системам Оператора:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, должность.
- Категории субъектов персональных данных: работники, контрагенты.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.4. Ведение кадрового и бухгалтерского делопроизводства:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, год рождения, месяц рождения, дата рождения, место рождения, адрес электронной почты, адрес места жительства, адрес регистрации, номер телефона, СНИЛС, ИНН, гражданство, данные документа, удостоверяющего личность, данные документа, содержащиеся в свидетельстве о рождении, реквизиты банковской карты, номер расчетного счета, профессия, сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации), отношение к воинской обязанности, сведения о воинском учете, сведения об образовании.
- Категории субъектов персональных данных: работники, клиенты, контрагенты.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.5. Направление рассылок об услугах Оператора:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: номер телефона, адрес электронной почты.
- Категории субъектов персональных данных: клиенты, посетители сайта.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.6. Обеспечение безопасности, осуществления пропускного и внутриобъектового режима:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, должность, фотографическое изображение.
- Категории субъектов персональных данных: работники, контрагенты.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до прекращения трудовых отношений с работником.

**5.2.1.7. Формирование внутренних общедоступных источников персональных данных:**
- Категории обрабатываемых персональных данных: общедоступные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, дата рождения, адрес электронной почты, номер телефона, должность.
- Категории субъектов персональных данных: работники, контрагенты.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до прекращения трудовых отношений с работником.

**5.2.1.8. Повышение осведомленности персонала в вопросах информационной безопасности:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, адрес электронной почты, должность.
- Категории субъектов персональных данных: работники.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до прекращения трудовых отношений с работником.

**5.2.1.9. Обработка заявок, поступающих в отдел информационных технологий:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, адрес электронной почты, номер телефона, должность.
- Категории субъектов персональных данных: работники.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до прекращения трудовых отношений с работником.

**5.2.1.10. Оформление командированных проездных документов, ваучеров, покупка билетов, бронирование гостиниц:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, адрес электронной почты, адрес регистрации, номер телефона, данные документа, удостоверяющего личность, должность.
- Категории субъектов персональных данных: работники.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до прекращения трудовых отношений с работником.

**5.2.1.11. Выплата заработной платы сотрудникам, а также иных выплат, предусмотренных трудовым законодательством:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, реквизиты банковской карты, номер расчетного счета, номер лицевого счета.
- Категории субъектов персональных данных: работники.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до прекращения трудовых отношений с работником.

**5.2.1.12. Рассмотрение кандидатуры для трудоустройства и учет в кадровом резерве:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, место рождения, семейное положение, адрес электронной почты, адрес регистрации, номер телефона, СНИЛС, ИНН, гражданство, данные документа, удостоверяющего личность, сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации), сведения об образовании.
- Категории субъектов персональных данных: соискатели.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: на срок, необходимый для рассмотрения кандидатуры и принятия решения о приеме либо об отказе в приеме на работу. Для включения в кадровый резерв – на срок с момента направления согласия на обработку персональных данных Оператору до момента отзыва согласия на обработку персональных данных посредством соответствующего письменного заявления, адресованного Оператору.

**5.2.1.13. Проведение аналитических, статистических, маркетинговых исследований и опросов в сфере труда и рынка труда:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, год рождения, месяц рождения, дата рождения, место рождения, семейное положение, адрес электронной почты, номер телефона, сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации), сведения об образовании.
- Категории субъектов персональных данных: соискатели.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: на срок с момента направления согласия на обработку персональных данных Оператору до момента отзыва согласия на обработку персональных данных посредством соответствующего письменного заявления, адресованного Оператору.

**5.2.1.14. Информирование об имеющихся в Обществе вакантных должностях:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, адрес электронной почты, номер телефона.
- Категории субъектов персональных данных: соискатели.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: на срок с момента направления согласия на обработку персональных данных Оператору до момента отзыва согласия на обработку персональных данных посредством соответствующего письменного заявления, адресованного Оператору.

**5.2.1.15. Проведение обучения в целях повышения квалификации:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, адрес электронной почты, данные документа, удостоверяющего личность.
- Категории субъектов персональных данных: работники, контрагенты.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.16. Корректное функционирования сайта и проведение статистических исследований с использованием метрического сервиса Яндекс Метрика:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: сведения, собираемые посредством метрических программ.
- Категории субъектов персональных данных: посетители сайта.
- Способы обработки персональных данных: автоматизированная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.17. Организация процесса бронирования номерного фонда:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, адрес электронной почты, номер телефона.
- Категории субъектов персональных данных: посетители сайта.
- Способы обработки персональных данных: автоматизированная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.18. Регистрация на сайте:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, адрес электронной почты, номер телефона.
- Категории субъектов персональных данных: посетители сайта.
- Способы обработки персональных данных: автоматизированная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.19. Размещение персональных данных работников на сайте Оператора:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, профессия, должность, сведения об образовании, фотоизображение.
- Категории субъектов персональных данных: работники.
- Способы обработки персональных данных: автоматизированная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.20. Оформление билетов на услуги Оператора:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, номер телефона, адрес электронной почты.
- Категории субъектов персональных данных: посетители сайта.
- Способы обработки персональных данных: автоматизированная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.21. Получение обратной связи по предоставляемым услугам Оператора:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, номер телефона, адрес электронной почты.
- Категории субъектов персональных данных: посетители сайта.
- Способы обработки персональных данных: автоматизированная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.22. Оказание медицинских услуг, в медико-профилактических целях, а также оказание первичной медико-санитарной помощи:**
- Категории обрабатываемых персональных данных: иные, специальные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, пол, дата рождения, адрес места жительства, телефон, место работы, данные паспорта (или иного документа, удостоверяющего личность), данные полиса ОМС (или ДМС), страховой номер индивидуального лицевого счета (СНИЛС), сведения о состоянии здоровья, заболеваниях, случаях обращения за медицинской помощью, сведения о диагностических мероприятиях, назначенном и проведенном лечении, данных рекомендациях.
- Категории субъектов персональных данных: клиенты.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.23. Проведение лабораторных медицинских исследований:**
- Категории обрабатываемых персональных данных: иные, специальные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, пол, дата рождения, место рождения, гражданство, данные документа, удостоверяющего личность, место регистрации и место жительства, номера телефонов, биологический материал.
- Категории субъектов персональных данных: клиенты.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.24. Проведение анализа и описания рентгенологических снимков:**
- Категории обрабатываемых персональных данных: иные, специальные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, пол, дата рождения, место рождения, гражданство, данные документа, удостоверяющего личность, место регистрации и место жительства, номера телефонов, рентгенологические снимки.
- Категории субъектов персональных данных: клиенты.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.25. Размещение видеоотзыва выпускника программы профессиональной переподготовки на сайте Оператора:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, видеоизображение.
- Категории субъектов персональных данных: клиенты.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до достижения цели обработки.

**5.2.1.26. Обеспечение развозки корпоративным транспортом, в том числе организация и анализ процесса обслуживания и эксплуатации транспортных средств:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, должность, наименование структурного подразделения, корпоративный контактный телефон, адрес электронной почты, табельный номер.
- Категории субъектов персональных данных: работники.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до прекращения трудовых отношений с работником.

**5.2.1.27. Обеспечение эффективного информационного взаимодействия и поддержание делового общения в рамках группы компаний Сбербанк (в частности, путем создания и ведения информационных справочников), информирование работников группы компаний Сбербанк о процессах в рамках группы (включая, но не ограничиваясь, через настраиваемую витрину льгот, создание сообществ, информационные рассылки):**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, должность, компания, структурное подразделение, табельный номер, расположение рабочего места, информация об отсутствии на работе, сведения о достижениях, адрес электронной почты, номер телефона, а также в случае самостоятельного предоставления субъектом: ссылка на социальные сети (в случае предоставления ссылки на аккаунт), личный номер телефона, регистрационный номер личного автомобиля, число и месяц рождения, фотоизображение.
- Категории субъектов персональных данных: работники.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до прекращения трудовых отношений с работником.

**5.2.1.28. Администрирование вопросов доступа к автоматизированным системам, необходимым работникам группы компаний Сбербанк для выполнения должностных обязанностей и использования сервисов в рамках внутригрупповых производственных и иных бизнес-процессов:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, табельный номер, логин, должность, структурное подразделение, номер телефона, адрес электронной почты, уникальный идентификатор в автоматизированных системах (ID), дата приема и увольнения.
- Категории субъектов персональных данных: работники.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до прекращения трудовых отношений с работником.

**5.2.1.29. Предоставление внутрикорпоративных льгот и привилегий в рамках компаний Группы Сбербанк (включая, но не ограничиваясь, обеспечение медицинского и пенсионного страхования, участие в иных программах/мероприятиях по управлению здоровьем и профилактике заболеваний):**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, дата и место рождения, наименование компании, пол, адрес регистрации, адрес проживания, реквизиты документа, удостоверяющего личность, СНИЛС, ИНН, дата приема, дата и основание увольнения, номер телефона, адрес электронной почты, грейд, табельный номер, наименование структурного подразделения.
- Категории субъектов персональных данных: работники.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до прекращения трудовых отношений с работником.

**5.2.1.30. Предоставление доступа к HR-платформе «Пульс» (далее – HR-платформа), поддержание работы HR-платформы для обеспечения возможности осуществлять её использование:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, пол, дата рождения, сведения о семейном положении, сведения о смене фамилии, имени или отчества (в том числе год изменения и причина), гражданство, сведения о регистрации по месту жительства и по месту фактического пребывания, сведения об основном документе, удостоверяющем личность (серия и номер, дата выдачи), фотография, сведения о правах доступа в автоматизированные системы, сведения о согласиях, сведения об образовании и квалификации, документах об образовании и/или квалификации, профессиональной подготовке, сведения о повышении квалификации и/или стажировке, сведения о личных документах, сведения о стаже (общем, в должности, на текущем и предыдущих местах работы), сведения о работе на текущем и предыдущих местах работы, информация о приеме, переводе, увольнении, нахождении в отпуске (в том числе отпуске по уходу за ребенком), больничных листах, командировании, аудио- и видеоинтервью, сведения о штатной позиции (дата принятия/увольнения, форма работы, грейд, должность), сведения о награждениях и поощрениях за период работы у Оператора (группа награды, наименование вида награждения, описание награды, дата/номер документа, наименование/статус причины награды, срок действия), сведения о дисциплинарных взысканиях за период работы у Оператора (группа взыскания, описание причины взыскания, дата вступления взыскания в силу, срок действия), контактная информация (адрес электронной почты, номер мобильного телефона, номер домашнего телефона, номер рабочего телефона), сведения об отсутствии, ИНН, СНИЛС, сведения о деловых и иных личных качествах, носящих оценочный характер, ссылка на социальные сети (в случае указания в HR-платформе ссылки на аккаунт), сведения о близких родственниках (фамилия, имя, отчество, пол, дата рождения, гражданство, сведения о семейном положении, иные сведения, которые могут быть запрошены Оператором для выполнения требований действующего трудового и иного законодательства Российской Федерации).
- Категории субъектов персональных данных: работники.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до прекращения трудовых отношений с работником.

**5.2.1.31. Эффективное информационное взаимодействие и поддержание делового общения между Оператором, субъектом, пользователями HR-платформы «Пульс», а также дочерними организациями и генеральными партнерами группы компаний Сбер, использующими HR-платформу:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, пол, дата рождения, фотография, сведения об образовании и квалификации, сведения о стаже (общем, в должности, на текущем и предыдущих местах работы), сведения о работе на текущем и предыдущих местах работы, сведения о штатной позиции (дата принятия/увольнения, форма работы, грейд, должность), контактная информация (адрес электронной почты, номер мобильного телефона, номер домашнего телефона, номер рабочего телефона), сведения об отсутствии на рабочем месте, ссылка на социальные сети (в случае указания в HR-платформе ссылки на аккаунт).
- Категории субъектов персональных данных: работники.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до прекращения трудовых отношений с работником.

**5.2.1.32. Обеспечение сохранности имущества Оператора и имущества третьих лиц, в т.ч. с учетом проведения исследований с привлечением внешних специализированных провайдеров на предмет выявления и прогнозирования в действиях Работника признаков хищения, разглашения, коррупционных действий, связанных с использованием служебного положения и/или при исполнении трудовых обязанностей, вопреки законным интересам Оператора, c целью получения выгоды для себя или третьих лиц (внутреннее мошенничество), направленных на профилактику, выявление, реагирование и предотвращение случаев внутреннего мошенничества, любых форм злоупотреблений со стороны Работников и третьих лиц, создающих угрозу безопасности (включая информационную безопасность) Оператора, его Работников:**
- Категории обрабатываемых персональных данных: иные.
- Перечень обрабатываемых персональных данных: фамилия, имя, отчество, дата рождения, должность, наименование компании, СНИЛС, ИНН.
- Категории субъектов персональных данных: работники.
- Способы обработки персональных данных: смешанная.
- Сроки обработки и хранения: до прекращения трудовых отношений с работником.

5.2.2. Уничтожение персональных данных для всех целей обработки персональных данных осуществляется следующими способами:

5.2.2.1. Оператор прекращает обработку персональных данных, уничтожает носители персональных данных и удаляет их из информационных систем персональных данных в случаях:
- достижения целей обработки персональных данных или максимальных сроков хранения – в течение 30 дней;
- утраты необходимости в достижении целей обработки персональных данных – в течение 30 дней;
- предоставления субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки – в течение 7 дней;
- невозможности обеспечения правомерности обработки персональных данных – в течение 10 дней;
- отзыва субъектом персональных данных согласия на обработку его персональных данных – в течение 30 дней;
- истечения сроков исковой давности для правоотношений, в рамках которых осуществляется либо осуществлялась обработка персональных данных.

5.2.2.2. В случае обращения субъекта с требованием прекратить обработку его персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с помощью средств связи Оператор незамедлительно прекращает их обработку.

5.2.2.3. В соответствии со статьей 21, частью 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» Оператор не прекращает обработку персональных данных и не уничтожает их в следующих случаях:
- если иное предусмотрено договором, стороной которого является субъект персональных данных;
- если Оператор вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных законодательством Российской Федерации;
- если не истекли сроки обработки персональных данных субъекта персональных данных, установленные законодательством Российской Федерации.

5.2.2.4. Уничтожение персональных данных, обрабатываемых автоматизированным способом, организует комиссия по уничтожению персональных данных из состава работников Оператора, создаваемая приказом. Персональные данные уничтожаются средствами операционной системы и/или системы управления базами данных. Документами, подтверждающими уничтожение персональных данных субъектов персональных данных, обрабатываемых автоматизированным способом, являются акт об уничтожении персональных данных и выгрузка из журнала регистрации событий в информационной системе персональных данных.

5.2.2.5. Акт об уничтожении персональных данных должен содержать:
- наименование и адрес Оператора;
- фамилию, имя, отчество субъекта персональных данных или иную информацию, относящуюся к определенному физическому лицу, чьи персональные данные были уничтожены;
- фамилию, имя, отчество, должность лиц, уничтоживших персональные данные субъекта персональных данных, а также их подпись;
- перечень категорий уничтоженных персональных данных субъекта персональных данных;
- наименование уничтоженного материального носителя, содержащего персональные данные субъекта персональных данных, с указанием количества листов в отношении каждого материального носителя (в случае обработки персональных данных без использования средств автоматизации);
- наименование информационной системы персональных данных, из которой были уничтожены персональные данные субъекта персональных данных (в случае обработки персональных данных с использованием средств автоматизации);
- способ уничтожения персональных данных;
- причину уничтожения персональных данных;
- дату уничтожения персональных данных субъекта персональных данных.

5.2.2.6. Выгрузка из журнала должна содержать:
- фамилию, имя, отчество субъекта или иную информацию, относящуюся к определенному физическому лицу, чьи персональные данные были уничтожены;
- перечень категорий уничтоженных персональных данных субъекта персональных данных;
- наименование информационной системы персональных данных, из которой были уничтожены персональные данные субъекта персональных данных;
- причину уничтожения персональных данных;
- дату уничтожения персональных данных субъекта персональных данных.

5.2.2.7. В случае если выгрузка из журнала не позволяет указать отдельные сведения, предусмотренные пунктом 5.2.2.5 настоящей Политики, недостающие сведения вносятся в акт об уничтожении персональных данных.

5.2.2.8. Уничтожение персональных данных, обрабатываемых без использования средств автоматизации, организует комиссия по уничтожению персональных данных из состава работников Оператора, создаваемая приказом. Персональные данные уничтожаются путем механического нарушения целостности носителя персональных данных, не позволяющего произвести считывание или восстановление персональных данных, или удалением с электронных носителей методами и средствами гарантированного удаления информации. Документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является акт об уничтожении персональных данных.

5.2.2.9. В случае если обработка персональных данных осуществляется Оператором одновременно с использованием средств автоматизации и без использования средств автоматизации, документами, подтверждающими уничтожение персональных данных, являются акт об уничтожении персональных данных и выгрузка из журнала регистрации событий в информационной системе персональных данных.

5.2.2.10. Акт об уничтожении персональных данных и выгрузка из журнала подлежат хранению в течение 3 лет с момента уничтожения персональных данных.

5.2.3. Информация из п. 5.2.1 настоящей Политики первично отражается в Реестре процессов, в которых осуществляется обработка персональных данных (далее – Реестр процессов), после чего используется для:
- формирования или актуализации настоящей Политики и других организационно-распорядительных документов, определяющих порядок обработки персональных данных;
- направления уведомления или информационного письма в уполномоченный орган по защите прав субъектов персональных данных;
- разработки организационно-распорядительных документов Оператора;
- выстраивания системы защиты и обработки персональных данных;
- проведения внутренних аудитов процессов обработки и защиты персональных данных;
- подготовки ответов на запросы субъектов персональных данных, их представителей и уполномоченных органов.

5.2.4. Реестр процессов не ограничивается информацией, указанной в п. 5.2.1 настоящей Политики, а регулярно актуализируется, дополняется и обновляется владельцами процессов по согласованию с лицом, ответственным за организацию обработки персональных данных.

5.2.5. Оператор обеспечивает соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки и, в случае необходимости, принимает меры по устранению их избыточности по отношению к заявленным целям обработки.

5.2.6. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, Оператором не осуществляется.

5.2.7. Трансграничная передача персональных данных Оператором не осуществляется.

---

# 6. Правовые основания обработки персональных данных

Правовыми основаниями обработки персональных данных Оператором являются:
- Конституция Российской Федерации (принята всенародным голосованием 12.12.1993);
- Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ;
- Гражданский кодекс Российской Федерации от 30.11.1994 № 51-ФЗ;
- Налоговый кодекс Российской Федерации от 31.07.1998 № 146-ФЗ;
- Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
- уставные документы Оператора;
- договоры, заключаемые между Оператором и субъектами персональных данных;
- согласия субъектов персональных данных на обработку персональных данных (в том числе согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения);
- иные основания, когда согласие на обработку персональных данных не требуется в силу выполнения законодательства.

---

# 7. Порядок и условия обработки персональных данных

## 7.1. Порядок обработки персональных данных

7.1.1. Обработка персональных данных Оператором осуществляется следующими способами:
- неавтоматизированная обработка персональных данных;
- автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники (п. 4 ст. 3 152-ФЗ).

7.1.2. Перечень действий, совершаемых Оператором с персональными данными: сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передача), блокирование, уничтожение, а также осуществление любых иных действий в соответствии с действующим законодательством РФ.

## 7.2. Условия обработки персональных данных

7.2.1. Обработка персональных данных осуществляется Оператором при условии получения согласия субъекта персональных данных (далее – Согласие), за исключением установленных законодательством РФ случаев, когда обработка персональных данных может осуществляться без такого Согласия.

7.2.2. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает Согласие свободно, своей волей и в своем интересе.

7.2.3. Согласие дается в любой позволяющей подтвердить факт его получения форме. В предусмотренных законодательством РФ случаях Согласие оформляется в письменной форме.

7.2.4. В случае, когда Оператор планирует осуществлять в отношении субъекта персональных данных действия, целями которых является продвижение товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи (рассылки и (или) звонки маркетингового характера), до начала осуществления обработки персональных данных с указанной целью Оператором от субъекта персональных данных должно быть получено отдельное согласие на обработку персональных данных. У субъекта персональных данных должна быть возможность отказаться (не давать согласие) на обработку его персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления с ним прямых контактов с помощью средств связи.

7.2.5. На сайте/в приложении Оператора предоставление согласия субъекта персональных данных на обработку персональных данных для осуществления рассылки и (или) звонков маркетингового характера реализуется путем проставления пользователем сайта/приложения отметки в чек-боксе.

7.2.6. Если в соответствии с законодательством РФ предоставление персональных данных и (или) получение Оператором согласия на обработку персональных данных являются обязательными, Оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку.

7.2.7. Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, обращение субъекта персональных данных с требованием о прекращении обработки персональных данных, истечение срока действия Согласия или отзыв Согласия субъектом персональных данных, а также выявление неправомерной обработки персональных данных.

7.2.8. Согласие может быть отозвано путем письменного уведомления, направленного в адрес Оператора заказным почтовым отправлением.

7.2.9. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено Федеральным законом, на основании заключаемого договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные 152-ФЗ «О персональных данных» и настоящей Политикой.

7.2.10. В соответствии с требованиями 152-ФЗ «О персональных данных» в договорах с лицами, осуществляющими обработку персональных данных по поручению Оператора, должны быть определены:
- перечень персональных данных, на обработку которых дается поручение;
- перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки;
- обязанности такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке;
- обязанность по запросу оператора предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения, установленных в соответствии со ст. 6 152-ФЗ «О персональных данных»;
- обязанности по обеспечению безопасности персональных данных при их обработке;
- конкретные требования к защите обрабатываемых персональных данных, принимаемые в соответствии со ст. 19 152-ФЗ «О персональных данных»;
- требования об уведомлении оператора о случаях и в сроки, установленные ч. 3.1 ст. 21 152-ФЗ «О персональных данных»;
- ответственность, предусмотренная действующим законодательством РФ.

7.2.11. Перед предоставлением поручения на обработку персональных данных (далее – Поручение) должна быть проведена оценка соблюдения третьим лицом (контрагентом) конфиденциальности и обеспечения безопасности персональных данных.

7.2.12. Оценка соблюдения безопасности персональных данных осуществляется должностным лицом Оператора, ответственным за организацию обработки персональных данных, с использованием Анкеты проведения оценки соблюдения третьим лицом (контрагентом), осуществляющим обработку персональных данных по поручению Оператора, требований по обеспечению конфиденциальности и безопасности обрабатываемых персональных данных.

7.2.13. По итогам проведенной оценки соблюдения безопасности персональных данных лицо, ответственное за организацию обработки персональных данных, заполняет заключение по результатам оценки соблюдения уровня конфиденциальности.

7.2.14. Лицо, осуществляющее обработку персональных данных по поручению Оператора (далее – Обработчик), обязано соблюдать принципы и правила обработки персональных данных, предусмотренные 152-ФЗ «О персональных данных», соблюдать конфиденциальность обрабатываемых персональных данных, принимать меры, направленные на обеспечение выполнения обязанностей, предусмотренных 152-ФЗ «О персональных данных».

7.2.15. Оператор при обработке персональных данных принимает или обеспечивает принятие необходимых правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

## 7.3. Хранение персональных данных

7.3.1. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, в течение срока не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

7.3.2. При осуществлении хранения персональных данных Оператор использует базы данных, находящиеся на территории РФ.

## 7.4. Сроки обработки персональных данных

7.4.1. Сроки обработки персональных данных определены с учетом:
- установленных целей обработки персональных данных;
- сроков действия договоров с субъектами персональных данных и согласий субъектов персональных данных на обработку их персональных данных;
- Приказа Росархива от 20.12.2019 № 236 "Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения" (Зарегистрировано в Минюсте России 06.02.2020 № 57449);
- сроков хранения документации, установленных внутренними нормативными актами Оператора.

7.4.2. Прекращение обработки персональных данных осуществляется по истечении установленных сроков обработки персональных данных, при обращении субъекта персональных данных с требованием о прекращении обработки его персональных данных или отзыве согласия субъекта персональных данных на обработку его персональных данных (за исключением случаев, когда Оператор вправе продолжить обработку персональных данных на ином правовом основании), при достижении цели обработки персональных данных или утрате необходимости в достижении цели, а также при выявлении неправомерной обработки персональных данных.

---

# 8. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов персональных данных на доступ к персональным данным

## 8.1. Требования к запросам субъектов персональных данных

8.1.1. Субъект персональных данных имеет право обращаться к Оператору по вопросам обработки своих персональных данных в следующих случаях:
- получения информации, касающейся обработки его персональных данных;
- уточнения своих персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленной цели обработки;
- подачи жалобы на неправомерную обработку Обществом его персональных данных;
- отзыва своего согласия на обработку персональных данных;
- требования о прекращении обработки персональных данных;
- требования о прекращении обработки персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи, а также в целях политической агитации;
- требования о прекращении передачи (распространение, предоставление, доступ) персональных данных, ранее разрешенных субъектом персональных данных для распространения.

8.1.2. Согласно требованиям 152-ФЗ «О персональных данных» запрос должен содержать, в частности:
- серию, номер документа, удостоверяющего личность субъекта персональных данных (его представителя), сведения о дате выдачи указанного документа и выдавшем его органе;
- сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
- подпись субъекта персональных данных (его представителя);
- в случае, если запрос направлен представителем субъекта персональных данных, он должен содержать документ (копию документа), подтверждающий полномочия данного представителя.

8.1.3. В случае отзыва субъектом персональных данных данного им согласия на обработку персональных данных соответствующий запрос должен соответствовать условиям, указанным в таком согласии.

8.1.4. Запросы субъектов персональных данных или их представителей принимаются по адресу: 298688, Россия, Республика Крым, Ялта, с. Оползневое, улица Генерала Острякова, зд.9 к.1.

8.1.5. Также запрос, подписанный электронной подписью, может быть направлен на адрес электронной почты: info@mriyaresort.com.

## 8.2. Обработка запросов субъектов персональных данных

8.2.1. Ответ на запрос направляется субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, в срок, не превышающий 10 (десяти) дней со дня обращения. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней, в случае направления Оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

8.2.2. При отказе в предоставлении информации или осуществлении действия, отраженного в запросе, субъекту направляется мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 152-ФЗ «О персональных данных» или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий 10 (десяти) дней со дня обращения субъекта персональных данных или его представителя.

8.2.3. Субъект персональных данных может повторно обратиться к Оператору для получения информации, касающейся обработки его (субъекта) персональных данных, не ранее чем через 30 (тридцать) дней после первоначального обращения или направления первоначального запроса. В случае, если субъекту персональных данных была предоставлена информация не в полном объеме по результатам рассмотрения первоначального обращения, субъект может повторно обратиться к Оператору раньше установленного срока, указав обоснование направления повторного запроса.

8.2.4. Оператор вправе отказать субъекту персональных данных в выполнении повторного запроса при наличии доказательств обоснованности отказа.

## 8.3. Актуализация, исправление, удаление и уничтожение персональных данных

8.3.1. В случае выявления неправомерной обработки персональных данных или неточных персональных данных Оператор обеспечивает блокирование персональных данных (в том числе при обработке персональных данных другим лицом, действующим по поручению Оператора), на период проведения проверки.

8.3.2. В случае подтверждения факта неточности персональных данных Оператор обеспечивает уточнение персональных данных (в том числе при обработке персональных данных другим лицом, действующим по поручению), в течение 7 (семи) рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.

8.3.3. В случае выявления неправомерной обработки персональных данных Оператор в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, обеспечивает прекращение неправомерной обработки персональных данных (в том числе при обработке персональных данных другим лицом, действующим по поручению). В случае, если обеспечить правомерность обработки персональных данных невозможно, Оператор в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Оператор обязан уведомить субъекта персональных данных или его представителя либо уполномоченный орган по защите прав субъектов персональных данных (если запрос был направлен указанным органом).

8.3.4. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Оператор обеспечивает уничтожение персональных данных (в том числе при обработке персональных данных третьим лицом, действующим по поручению), в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва (за исключением случаев мотивированного отказа в отзыве согласия, установленных законодательством Российской Федерации).

8.3.5. В случае обращения субъекта персональных данных с требованием о прекращении обработки персональных данных Оператор в срок, не превышающий 10 (десяти) рабочих дней с даты получения Оператором соответствующего требования, прекращает их обработку или обеспечивает прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), за исключением случаев, предусмотренных пунктами 2-11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 152-ФЗ. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней, в случае направления Оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока.

8.3.6. По истечении сроков хранения персональных данных Оператор обеспечивает уничтожение персональных данных (в том числе при обработке персональных данных третьим лицом, действующим по поручению), в срок, не превышающий 30 (тридцати) дней.

8.3.7. В случае отсутствия возможности уничтожения персональных данных в течение установленного срока Оператор обеспечивает блокирование таких персональных данных (в том числе при обработке персональных данных третьим лицом, действующим по поручению) и обеспечивает уничтожение персональных данных в срок не более чем 6 (шесть) месяцев, если иной срок не установлен законодательством Российской Федерации.

## 8.4. Особенности обработки персональных данных, разрешенных субъектом персональных данных для распространения

8.4.1. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено оператору непосредственно или с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.

8.4.2. В случае раскрытия персональных данных неопределенному кругу лиц самим субъектом персональных данных без предоставления оператору согласия, предусмотренного настоящей статьей, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.

8.4.3. В случае, если персональные данные оказались раскрытыми неопределенному кругу лиц вследствие правонарушения, преступления или обстоятельств непреодолимой силы, обязанность предоставить доказательства законности последующего распространения или иной обработки таких персональных данных лежит на каждом лице, осуществившем их распространение или иную обработку.

8.4.4. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных согласился с распространением персональных данных, такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без права распространения.

8.4.5. В случае, если из предоставленного субъектом персональных данных согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения, не следует, что субъект персональных данных не установил запреты и условия на обработку персональных данных, предусмотренные ч. 9 152-ФЗ «О персональных данных», или если в предоставленном субъектом персональных данных таком согласии не указаны категории и перечень персональных данных, для обработки которых субъект персональных данных устанавливает условия и запреты в соответствии с ч. 9 152-ФЗ «О персональных данных», такие персональные данные обрабатываются оператором, которому они предоставлены субъектом персональных данных, без передачи (распространения, предоставления, доступа) и возможности осуществления иных действий с персональными данными неограниченному кругу лиц.

8.4.6. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

8.4.7. В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц. Отказ оператора в установлении субъектом персональных данных запретов и условий, предусмотренных 152-ФЗ «О персональных данных», не допускается.

8.4.8. Оператор обязан в срок не позднее трех рабочих дней с момента получения соответствующего согласия субъекта персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения.

8.4.9. Установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных субъектом персональных данных для распространения, не распространяются на случаи обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации.

8.4.10. Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению. Указанные в данном требовании персональные данные могут обрабатываться только оператором, которому оно направлено.

8.4.11. Действие согласия субъекта персональных данных на обработку персональных данных, разрешенных субъектом персональных данных для распространения, прекращается с момента поступления оператору требования, указанного в пункте выше.

8.4.12. Субъект персональных данных вправе обратиться с требованием прекратить передачу (распространение, предоставление, доступ) своих персональных данных, ранее разрешенных субъектом персональных данных для распространения, к любому лицу, обрабатывающему его персональные данные, в случае несоблюдения положений статьи 10.1 152-ФЗ «О персональных данных» или обратиться с таким требованием в суд. Данное лицо обязано прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента получения требования субъекта персональных данных или в срок, указанный во вступившем в законную силу решении суда, а если такой срок в решении суда не указан, то в течение трех рабочих дней с момента вступления решения суда в законную силу.

---

# 9. Обеспечение конфиденциальности и безопасности персональных данных при их обработке

## 9.1. Безопасность персональных данных при их обработке

9.1.1. Безопасность персональных данных, обрабатываемых Оператором, обеспечивается принятием правовых, организационных и технических мер, определенных действующим законодательством Российской Федерации, а также внутренними нормативными документами Оператора в области защиты информации.

9.1.2. Обеспечение Оператором защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных достигается, в частности, следующими принятыми мерами:
- определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
- применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
- применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
- оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
- учетом машинных носителей персональных данных;
- обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
- восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
- установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
- контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных;
- взаимодействием с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных.

9.1.3. Выполнение мер Оператором, предусмотренных 152-ФЗ «О персональных данных», достигается, в частности:
- назначением ответственного за организацию обработки персональных данных;
- изданием документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
- применением правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со статьей 19 152-ФЗ «О персональных данных»;
- осуществлением внутреннего контроля и (или) аудита соответствия обработки персональных данных 152-ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора;
- оценкой вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных, который может быть причинен субъектам персональных данных в случае нарушения 152-ФЗ «О персональных данных», соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных 152-ФЗ «О персональных данных»;
- ознакомлением работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников.

## 9.2. Конфиденциальность персональных данных при их обработке

Обеспечение конфиденциальности персональных данных, обрабатываемых Оператором, является обязательным требованием для всех работников Оператора, допущенных к обработке персональных данных в связи с исполнением трудовых обязанностей. Все работники, имеющие действующие трудовые отношения, деятельность которых связана с получением, обработкой и защитой персональных данных, подписывают обязательство о неразглашении, проходят инструктажи по обеспечению информационной безопасности под подпись и несут персональную ответственность за соблюдение требований по обработке и обеспечению безопасности персональных данных.

---

# 10. Уведомление уполномоченного органа по защите прав субъектов персональных данных

## 10.1. Порядок уведомления уполномоченного органа по защите прав субъектов персональных данных

10.1.1. В случаях, установленных Федеральным законом Российской Федерации от 27 июля 2006 г. № 152-ФЗ «О персональных данных», Оператор направляет уведомление об обработке персональных данных в уполномоченный орган по защите прав субъектов персональных данных.

10.1.2. В случае изменений сведений об обработке персональных данных Оператор уведомляет об этом уполномоченный орган по защите прав субъектов персональных данных в порядке, установленном частью 7 статьи 22 Федерального закона Российской Федерации от 27 июля 2006 г. № 152-ФЗ «О персональных данных», в срок не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения.

10.1.3. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Оператор с момента выявления такого инцидента уведомляет уполномоченный орган по защите прав субъектов персональных данных:

10.1.4. В течение 24 (двадцати четырех) часов – о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных по вопросам, связанным с выявленным инцидентом.

10.1.5. В течение 72 (семидесяти двух) часов – о результатах внутреннего расследования выявленного инцидента, а также о лицах, действия которых стали причиной выявленного инцидента (при наличии).

10.1.6. Оператор сообщает по запросу уполномоченного органа по защите прав субъектов персональных данных необходимую информацию в течение 10 (десяти) рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней, в случае направления Оператором в адрес уполномоченного органа по защите прав субъектов персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

---

# 11. Заключительные положения

Все отношения, касающиеся обработки персональных данных, не получившие отражения в настоящей Политике, регулируются согласно положениям законодательства РФ.

Оператор имеет право вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента ее утверждения.