ПОЛИТИКА в отношении обработки персональных данных ООО «НТФФ «ПОЛИСАН»

1. 1 Общие положения
   1. 1.1 Назначением настоящей Политики ООО «НТФФ «ПОЛИСАН» (далее – Общество) в отношении обработки персональных данных (далее – ПДн) является установление основных принципов и условий обработки ПДн, прав и обязанностей субъектов ПДн и Общества при обработке ПДн, а также реализуемых в Обществе требований и мер защиты ПДн.
   2. 1.2 Основные понятия, используемые в настоящей Политике:
      1. 1.2.1 персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
      2. 1.2.2 оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
      3. 1.2.3 обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
      4. 1.2.4 автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники;
      5. 1.2.5 распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
      6. 1.2.6 предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
      7. 1.2.7 блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
      8. 1.2.8 уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
      9. 1.2.9 обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
      10. 1.2.10 информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
      11. 1.2.11 трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
   3. 1.3 Сокращения, используемые в настоящей Политике:
      1. 1.3.1 ПДн – персональные данные;
      2. 1.3.2 ИСПДн – информационная система персональных данных;
      3. 1.3.3 Общество – ООО «НТФФ «ПОЛИСАН».
   4. 1.4 Действие настоящей Политики распространяется на все операции, совершаемые в Обществе с ПДн с использованием средств автоматизации или без их использования.
   5. 1.5 Настоящая Политика составлена в соответствии с требованиями Федерального закона РФ от 27.07.2006 №152-ФЗ «О персональных данных» (далее ФЗ-152).
   6. 1.6 Общество является оператором ПДн. Важным условием реализации целей деятельности Общества является обеспечение защиты прав и свобод субъекта ПДн при обработке его ПДн.
   7. 1.7 Ключевым принципом обработки ПДн Обществом является наличие конкретного, информированного и сознательного согласия Субъекта ПДн на их обработку, данного
   8. свободно, своей волей и в своем интересе, или наличие иного основания для обработки, указанного в ФЗ-152.
   9. 1.8 Основные права субъекта ПДн:
      1. 1.8.1 давать или не давать согласие на обработку своих ПДн;
      2. 1.8.2 отзывать согласие на обработку своих ПДн;
      3. 1.8.3 требовать от Общества уточнения, блокирования или уничтожения своих ПДн;
      4. 1.8.4 получать информацию, касающуюся обработки своих ПДн;
      5. 1.8.5 обжаловать действия или бездействие Общества.
   10. 1.9 Основные права Общества:
       1. 1.9.1 Получать ПДн от субъектов ПДн и от третьих лиц (лиц, не являющихся субъектами ПДн) в соответствии с действующим законодательством;
       2. 1.9.2 проверять полноту и точность предоставленных ПДн;
       3. 1.9.3 обрабатывать ПДн в случаях, предусмотренных ст.6 ФЗ-152;
       4. 1.9.4 продолжить обработку ПДн без согласия субъекта ПДн при наличии оснований, указанных в ФЗ-152.
   11. 1.10Основные обязанности Общества:
       1. 1.10.1 соблюдать конфиденциальность ПДн;
       2. 1.10.2 принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных ФЗ-152;
       3. 1.10.3 прекратить обработку ПДн по требованию субъекта ПДн в случаях, предусмотренных ФЗ-152;
       4. 1.10.4 предоставить по запросу субъекта ПДн информацию о обработке его ПДн;
       5. 1.10.5 при автоматизированной обработке ПДн использовать базы данных, находящиеся на территории Российской Федерации.
   12. 2.1 Соискатели на замещение вакантных должностей
   13. 2.2 Работники Общества и физические лица, состоявшие в трудовых отношениях с Обществом

       • Ведение кадрового делопроизводства и учета;

       • Формирование внутреннего кадрового резерва;

       • Исполнение требований трудового, налогового, пенсионного законодательства;

       • Содействие работникам в трудоустройстве, обучении и продвижении;

       • Обеспечение прав работников на обязательное социальное страхование;

       • Соблюдение требований охраны труда на рабочем месте, включая реализацию прав, предоставленных законодательством о специальной оценке условий труда;

       • Исполнение обязанностей по заполнению форм федерального статистического наблюдения;

       • Предоставление работникам гарантий, компенсаций и льгот в соответствии с действующим законодательством, а также дополнительных гарантий и компенсаций в соответствии с условиями заключенных трудовых договоров и соглашений к ним;

       • Оформление проездных документов при организации служебных поездок;

       • Ведение бухгалтерского учета;

       • Организация периодического медицинского осмотра работников;

       • Организация проведения специальной оценки условий труда;

   14. 2.3 Представители потенциальных и существующих клиентов Общества.

       • Взаимодействие с потенциальными и существующими клиентами Общества;

       • Поддержка и продвижение товаров Общества.

   15. 2.4 Лица, обращающиеся в Общество

       • Обработка обращений, поступающих в Общество;

       • Заключение договоров с субъектами ПДн;

   16. 2.5 Субъекты обращения лекарственных средств
   17. 2.6 Лица, посещающие места физического расположения Общества

1. 2 Цели обработки персональных данных

Цель обработки: Принятие решения о рассмотрении на вакантные должности либо занесении в базу внешнего кадрового резерва.

Цель обработки: Осуществление мониторинга эффективности и безопасности лекарственных препаратов в рамках деятельности по фармаконадзору.

Цель обработки: обеспечение пропускного режима в места физического расположения Общества.

1. 3 Правовые основания обработки персональных данных
   1. 3.1 Конституция РФ;
   2. 3.2 Трудовой, Налоговый, Гражданский кодексы РФ;
   3. 3.3 Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»;
   4. 3.4 Постановление Правительства РФ от 27.11.2006 N 719 «Об утверждении Положения о воинском учете»;
   5. 3.5 Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»;
   6. 3.6 Ст. 29 Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
   7. 3.7 Выполнение требований государственных нормативных актов в области охраны труда (ТК РФ, ФЗ-426 «О специальной оценке условий труда»);
   8. 3.8 Постановление Министерства труда и социального развития РФ № 73 «Об утверждении форм документов, необходимых для расследования и учета несчастных случаев на производстве и положения об особенностях расследования несчастных случаев на производстве в отдельных отраслях и организациях»;
   9. 3.9 Федеральный закон от 12.04.2010 N 61-ФЗ «Об обращении лекарственных средств»;
   10. 3.10 Требования регуляторов стран обращения лекарственных препаратов;
   11. 3.11 Заключение договора с субъектом ПДн;
   12. 3.12 Устав Общества;
   13. 3.13 Обращение субъекта ПДн;
   14. 3.14 Согласие субъекта ПДн;
   15. 3.15 Предоставление доступа неограниченного круга лиц к ПДн субъектом ПДн либо по его просьбе.
   16. 4.1 Соискатели на замещение вакантных должностей (объем менее 10 000 субъектов):
       1. 4.1.1 ФИО;
       2. 4.1.2 Дата рождения;
       3. 4.1.3 Адрес проживания;
       4. 4.1.4 Адрес регистрации;
       5. 4.1.5 Сведения об основном, дополнительном образовании и полученной квалификации;
       6. 4.1.6 Сведения о трудовом стаже;
       7. 4.1.7 Сведения об опыте работы: предыдущие места работы, занимаемые должности, выполняемые обязанности;
       8. 4.1.8 Сведения о семейном положении;
       9. 4.1.9 Сведения об отношении к воинской обязанности;
       10. 4.1.10 Номер телефона;
       11. 4.1.11 Адрес электронной почты.
   17. 4.2 Работники Общества и физические лица, состоявшие в трудовых отношениях с Обществом (объем менее 10 000 субъектов):
       1. 4.2.1 Адрес проживания;
       2. 4.2.2 Адрес регистрации;
       3. 4.2.3 Сведения об образовании;
       4. 4.2.4 Пол;
       5. 4.2.5 возраст;
       6. 4.2.6 образование;
       7. 4.2.7 квалификация, профессиональная подготовка и сведения о повышении квалификации;
       8. 4.2.8 сведения о трудовой деятельности и прекращении трудовых отношений;
       9. 4.2.9 реквизиты полиса добровольного медицинского страхования;
       10. 4.2.10 реквизиты кредитной организации, в которую переводится заработная плата работника;
       11. 4.2.11 Сведения о трудовом стаже;
       12. 4.2.12 Сведения о предыдущих местах работы;
       13. 4.2.13 Сведения о семейном положении;
       14. 4.2.14 Сведения об отношении к воинской обязанности;
       15. 4.2.15 ИНН;
       16. 4.2.16 СНИЛС;
       17. 4.2.17 Реквизиты документа, удостоверяющего личность;
       18. 4.2.18 Сведения о событиях, связанных с трудовой деятельностью (приеме на работу, переводе, увольнении, назначениях);
       19. 4.2.19 Сведения о заработной плате;
       20. 4.2.20 Реквизиты банковской карты;
       21. 4.2.21 Сведения о пригодности к работе (заключения от медицинских организаций).
   18. 4.3 Представители потенциальных и существующих клиентов Общества (объем менее 200 000 субъектов):
       1. 4.3.1 ФИО;
       2. 4.3.2 Дата рождения;
       3. 4.3.3 Занимаемые должность, подразделение, место работы;
       4. 4.3.4 Номер телефона;
       5. 4.3.5 Адрес электронной почты.
   19. 4.4 Лица, обращающиеся в Общество (объем менее 30 000 субъектов):
       1. 4.4.1 ФИО;
       2. 4.4.2 Занимаемые должность, подразделение, место работы;
       3. 4.4.3 Реквизиты документа, удостоверяющего личность;
       4. 4.4.4 Адрес проживания;
       5. 4.4.5 Номер телефона;
       6. 4.4.6 Адрес электронной почты;
       7. 4.4.7 Дата рождения.
   20. 4.5 Субъекты обращения лекарственных средств (объем менее 1 000 субъектов):
       1. 4.5.1 ФИО (инициалы);
       2. 4.5.2 Номер телефона;
       3. 4.5.3 Адрес электронной почты;
       4. 4.5.4 Сведения о состоянии здоровья (диагноз и показания к применению);
       5. 4.5.5 Должность, место работы;
       6. 4.5.6 Возраст;
       7. 4.5.7 Вес;
       8. 4.5.8 № медицинской карты или истории болезни.
   21. 4.6 Обработка специальных категорий ПДн осуществляется только для субъектов обращения лекарственных средств в рамках деятельности по фармаконадзору.
   22. 4.7 Обработка биометрических ПДн не осуществляется.
   23. 5.1 Условием для начала обработки ПДн является получение согласия Субъекта ПДн на обработку его ПДн, в любой позволяющей подтвердить факт его получения форме, или наличие иного основания, указанного в ФЗ-152.
   24. 5.2 Действия, совершаемые Обществом с ПДн: сбор, систематизация, накопление, обновление, хранение, передача, извлечение, использование, удаление, уничтожение, запись, уточнение (обновление, изменение), передача (распространение, предоставление, доступ), блокирование, накопление, обезличивание.
   25. 5.3 Способы обработки ПДн Обществом: с использованием средств автоматизации и без их использования.
   26. 5.4 Сроки обработки ПДн определены с учетом:
       1. 5.4.1 установленных целей обработки ПДн;
       2. 5.4.2 сроков действия договоров с субъектами ПДн и согласий субъектов ПДн на обработку их ПДн;
       3. 5.4.3 сроков, определенных:
       4. • Федеральным законом от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»;
       5. • Приказом Минкультуры РФ от 25.08.2010 № 558 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения»;
       6. • Приказом Минкультуры РФ от 31.07.2007 № 1182 «Об утверждении Перечня типовых архивных документов, образующихся в научно-технической и производственной деятельности организаций, с указанием сроков хранения».
   27. 5.5 Общество не раскрывает третьим лицам и не распространяет ПДн без согласия субъекта ПДн (если иное не предусмотрено федеральным законодательством Российской Федерации).
   28. 5.6 Общество не поручает обработку ПДн другому лицу если иное не предусмотрено согласием субъекта ПДн или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн.
   29. 5.7 Общество осуществляет трансграничную передачу ПДн только субъектов обращения лекарственных средств в рамках деятельности по фармаконадзору.
   30. 5.8 Общество осуществляет передачу обрабатываемых ПДн органам власти на основании и во исполнение действующего законодательства.
   31. 5.9 Передача ПДн Работников Общества и Физических лиц, состоявших втрудовых отношениях с Обществом осуществляется в:
       1. 5.9.1 Пенсионный фонд России;
       2. 5.9.2 Военные комиссариаты;
       3. 5.9.3 Органы прокуратуры;
       4. 5.9.4 Правоохранительные органы и органы безопасности;
       5. 5.9.5 Государственные инспекции труда;
       6. 5.9.6 ПАО Сбербанк, обслуживающее платежные карты работников;
       7. 5.9.7 ООО «Старлайнер» при организации служебных поездок;
       8. 5.9.8 Страховую компанию «Медэкспресс» в рамках действующего договора Добровольного медицинского страхования работников Общества;
       9. 5.9.9 Иные третьи стороны в целях предупреждения угрозы жизни и здоровью работника;
       10. 5.9.10 Фонд социального страхования;
       11. 5.9.11 Налоговые органы;
       12. 5.9.12 Биржу труда;
       13. 5.9.13 Городской информационно-расчетный центр.
   32. 5.10 Передача ПДн Субъектов обращения лекарственных средств осуществляется:
       1. 5.10.1 В регуляторные органы государств обращения лекарственных препаратов;
       2. 5.10.2 В предприятия-контрактеры в рамках деятельности по фармаконадзору.
   33. 5.11 Общество осуществляет обработку ПДн на законной и справедливой основе.
   34. 5.12 В Обществе не осуществляется принятие решений, порождающих юридические последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки ПДн.
   35. 5.13 Организационная структура ответственных лиц:
       1. 5.13.1 В организационную структуру ответственных лиц входят:
       2. • Лицо, ответственное за организацию обработки ПДн в Обществе;
       3. • Лица, ответственные за организацию обработки ПДн в ИСПДн Общества;
       4. • Лицо, ответственное за обеспечение безопасности ПДн в ИСПДн Общества;
       5. • Лица, доступ которых к ПДн необходим для выполнения ими трудовых обязанностей;
       6. 5.13.2 Лицо, ответственное за организацию обработки ПДн в Обществе подчиняется непосредственно генеральному директору Общества.
       7. 5.13.3 Лица, ответственные за организацию обработки ПДн в ИСПДн и Лицо, ответственное за обеспечение безопасности ПДн в ИСПДн подчиняются Лицу, ответственному за организацию обработки ПДн в Обществе.
       8. 5.13.4 Лицо, доступ которого к ПДн, содержащимся в конкретной ИСПДн, необходим для выполнения им трудовых обязанностей подчиняется Лицу, ответственному за организацию обработки ПДн в этой ИСПДн.
       9. 5.13.5 Все указанные в п.5.13.1 лица назначаются приказом Генерального директора Общества и выполняют обязательства по исполнению требований и процедур, установленных законодательством РФ о ПДн, настоящей Политикой и локальными нормативными актами Общества по вопросам обработки и обеспечения безопасности
       10. ПДн. Указанные лица несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством РФ ответственность за нарушение указанных требований и процедур.
   36. 5.14 Обществом для обеспечения выполнения обязанностей, предусмотренных ФЗ-152 и принятыми в соответствии с ним нормативными правовыми актами, принимаются меры, в том числе:
       1. 5.14.1 Приказом Генерального директора назначено лицо, ответственное за организацию обработки ПДн;
       2. 5.14.2 Приказом Генерального директора определены ИСПДн;
       3. 5.14.3 Приказом Генерального директора назначены лица ответственные за организацию обработки ПДн в каждой ИСПДн;
       4. 5.14.4 В Анкетах ИСПДн определены места хранения ПДн, как при автоматизированной обработкие, так и при обработке без использования средств автоматизации;
       5. 5.14.5 Приказом Генерального директора установлены лица, доступ которых к персональным данным необходим для выполнения ими трудовых обязанностей;
       6. 5.14.6 издана настоящая Политика и локальные акты по вопросам обработки и обеспечения безопасности ПДн, устанавления процедур, направленных на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений, в том числе:

          • Анкеты для каждой ИСПДн;

          • Приказы о назначении ответственных и допущенных лиц;

          • Положение об обработке и защите ПДн.

       7. 5.14.7 применяются правовые, организационные и технические меры по обеспечению безопасности ПДн;
       8. 5.14.8 Ответственным за организацию обработки ПДн в Обществе совместно с Ответственными за организацию обработки ПДн в ИСПДн осуществляется внутренний контроль соответствия обработки ПДн требованиям ФЗ-152 и принятых в соответствии с ним нормативных правовых актов, настоящей Политики, локальных актов Общества;
       9. 5.14.9 Ответственным за организацию обработки ПДн в Обществе совместно с Ответственным за защиту ПДн в ИСПДн проводится оценка вреда, который может быть причинен субъектам ПДн в случае нарушения требований федерального законодательства о ПДн, производится соотношение указанного вреда и принимаемых Обществом мер;
       10. 5.14.10 работники Общества, непосредственно осуществляющие обработку ПДн, ознакомлены с положениями законодательства РФ о ПДн, локальными актами Общества по вопросам обработки ПДн.
   37. 5.15 В Обществе реализуются требования к защите ПДн, в том числе:
       1. 5.15.1 Приказом Генерального директора назначено лицо, ответственное за обеспечение безопасности ПДн в ИСПДн;
       2. 5.15.2 Ответственным за обеспечение безопасности ПДн в ИСПДн:

          • применяются прошедшие в установленном порядке процедуру оценки соответствия (сертифицированные ФСТЭК России) средства защиты информации;

          • ведется контроль функционирования и использования электронных носителей ПДн;

          • осуществляется обнаружение попыток несанкционированного доступа к ПДн;

          • обеспечивается возможность восстановления модифицированных или уничтоженных ПДн.

          • ведется контроль за принимаемыми мерами по обеспечению безопасности ПДн;

       3. 5.15.3 В Обществе организован контрольно-пропускной режим;
       4. 5.15.4 ИСПДн входят в область действия и защищаются в рамках системы менеджмента (управления) информационной безопасности в соответствии с международным стандартом ISO/IEC 27001.
   38. 5.16 Общество прекращает обработку ПДн в следующих случаях:
       1. 5.16.1 при наступлении условий прекращения обработки ПДн или по истечении установленных сроков;
       2. 5.16.2 по достижении целей их обработки либо в случае утраты необходимости в достижении этих целей;
       3. 5.16.3 по требованию субъекта ПДн, если обрабатываемые в Обществе ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
       4. 5.16.4 в случае выявления неправомерной обработки ПДн, если обеспечить правомерность обработки ПДн невозможно;
       5. 5.16.5 в случае отзыва субъектом ПДн согласия на обработку его ПДн или истечения срока действия такого согласия (если ПДн обрабатываются Обществом исключительно на основании согласия субъекта ПДн);
       6. 5.16.6 в случае ликвидации Общества.
   39. 5.17Обработка ПДн осуществляется с использованием баз данных, находящихся исключительно на территории Российской Федерации.
   40. 6.1 При обработке ПДн обеспечиваются их точность, достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн.
   41. 6.2 Субъект ПДн или его законный представитель могут:
       1. 6.2.1 получить информацию, касающейся обработки ПДн субъекта;
       2. 6.2.2 в случае неточности ПДн направить запрос на их уточнение;
       3. 6.2.3 направить запрос на отзыв согласия на обработку ПДн;
       4. 6.2.4 направить запрос о неправомерности обработки ПДн.
   42. 6.3 Получить информацию, касающуюся обработки ПДн субъекта, уточнить ПДн и отзывать согласие субъекта ПДн можно отправив письменный запрос на адрес: 192102, Россия, Санкт-Петербург, ул. Салова, д. 72, к. 2, лит. А в порядке, установленном ст.14 ФЗ-152.
   43. 6.4 Запрос может быть направлен в форме электронного документа и подписан квалифицированной электронной подписью по адресу электронной почты: info@polysan.ru.
   44. 6.5 Формы запросов: свободная форма.
   45. 6.6 Общество осуществляет подготовку ответа на запрос в течение тридцати дней.
   46. 6.7 Общество сообщает в уполномоченный орган по защите прав субъектов ПДн по его запросу информацию, необходимую для осуществления деятельности указанного органа, в течение тридцати дней с даты получения такого запроса.