Политика Автономной некоммерческой организации «Агентство экологических инициатив»
в отношении обработки персональных данных
Общие положения
1.1. Настоящая Политика Автономной некоммерческой организации «Агентство экологических инициатив» (ОГРН 1237700275680, адрес: 108808, г. Москва, вн. тер. г. поселение Первомайское, пер. 3-й Рушниковский, дом 11) в отношении обработки персональных данных (далее — Политика) разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152‑ФЗ «О персональных данных» (далее — Закон о персональных данных) с целью обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.2. Политика действует в отношении всех персональных данных, которые обрабатываются Автономной некоммерческой организацией «Агентство экологических инициатив» (далее — Оператор).
1.3. Политика распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики.
1.4. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно‑телекоммуникационной сети Интернет на сайте Оператора.
1.5. Основные понятия, используемые в Политике:
персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
оператор персональных данных (оператор) — юридическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
1.6. Основные права и обязанности Оператора.
1.6.1. Оператор имеет право:
самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о персональных данных или другими федеральными законами;
поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора; лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных, соблюдать конфиденциальность персональных данных и принимать необходимые меры по обеспечению выполнения обязанностей, предусмотренных Законом о персональных данных;
в случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта при наличии оснований, указанных в Законе о персональных данных.
1.6.2. Оператор обязан:
организовывать обработку персональных данных в соответствии с требованиями Закона о персональных данных;
отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями Закона о персональных данных;
по запросу уполномоченного органа (Роскомнадзора) предоставлять необходимую информацию в течение 10 рабочих дней с даты получения такого запроса; указанный срок может быть продлен не более чем на пять рабочих дней при направленном мотивированном уведомлении.
1.7. Основные права субъекта персональных данных. Субъект персональных данных имеет право:
получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами, в доступной форме;
требовать уточнения своих персональных данных, их блокирования или уничтожения в случаях, предусмотренных законом;
давать предварительное согласие на обработку персональных данных в целях продвижения на рынке товаров, работ и услуг;
обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействие Оператора.
1.8. Контроль за исполнением требований настоящей Политики осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных у Оператора (указать Ф.И.О. и контактные данные уполномоченного при размещении документа).
1.9. Ответственность за нарушение требований законодательства Российской Федерации и нормативных актов Оператора в сфере обработки и защиты персональных данных определяется в соответствии с законодательством Российской Федерации.
Цели сбора персональных данных
2.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора.
2.2. Обрабатываются только персональные данные, необходимые для достижения заявленных целей.
2.3. Оператор обрабатывает персональные данные в следующих целях:
осуществление деятельности в соответствии с уставом, в том числе заключение и исполнение договоров с контрагентами;
исполнение трудового законодательства в рамках трудовых и иных непосредственно связанных с ним отношений (подбор персонала, ведение кадрового учета, начисление заработной платы, обеспечение личной безопасности сотрудников, организация обучения и повышения квалификации, ведение отчетности в уполномоченные органы и др.);
привлечение добровольцев, взаимодействие с участниками мероприятий и партнёрами, обработка заявок и заявлений физических лиц;
исполнение иных обязательств, предусмотренных законодательством и внутренними документами Оператора.
2.4. Обработка персональных данных работников осуществляется исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов.
Правовые основания обработки персональных данных
3.1. Правовыми основаниями обработки персональных данных являются нормы законодательства Российской Федерации, в частности: Конституция РФ; Гражданский кодекс РФ; Трудовой кодекс РФ; Налоговый кодекс РФ; Федеральные законы и иные нормативные акты, регулирующие отношения, связанные с деятельностью Оператора.
3.2. Также правовыми основаниями являются:
Устав Оператора;
договоры, заключаемые между Оператором и субъектами персональных данных;
согласие субъектов персональных данных на обработку их персональных данных (в случаях, требующих согласия).
Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных
4.1. Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки и не являются избыточными.
4.2. Оператор может обрабатывать персональные данные следующих категорий субъектов:
4.2.1. Кандидаты при приеме на работу: фамилия, имя, отчество; пол; гражданство; дата и место рождения; контактные данные; сведения об образовании, опыте работы, квалификации; иные данные, указанные в резюме и сопроводительных документах.
4.2.2. Работники и бывшие работники: фамилия, имя, отчество; пол; гражданство; дата и место рождения; фотография; паспортные данные; адрес регистрации и фактического проживания; контактные данные; ИНН; СНИЛС; сведения об образовании и квалификации; банковские реквизиты; сведения о трудовой деятельности; сведения, связанные с исполнением трудовых обязанностей и выполнением требований законодательства.
4.2.3. Члены семьи работников (в объеме, необходимом для исполнения обязанностей по трудовому законодательству): Ф.И.О., степень родства, год рождения и иные необходимые данные.
4.2.4. Клиенты и контрагенты (физические лица), добровольцы: Ф.И.О.; дата и место рождения; паспортные данные; адрес регистрации; контактные данные; иные персональные данные, необходимые для заключения и исполнения договоров и осуществления деятельности Оператора.
4.2.5. Представители клиентов и контрагентов (работники юридических лиц): Ф.И.О.; паспортные данные; контактные данные; должность; иные данные, необходимые для взаимодействия и исполнения договоров.
4.3. Обработка биометрических персональных данных осуществляется в соответствии с требованиями законодательства РФ.
4.4. Оператор не осуществляет обработку специальных категорий персональных данных (раса, национальность, политические взгляды, религиозные или философские убеждения, состояние здоровья и т.п.), за исключением случаев, предусмотренных законодательством РФ.
Порядок и условия обработки персональных данных
5.1. Обработка персональных данных осуществляется в соответствии с требованиями законодательства РФ.
5.2. Обработка осуществляется с согласия субъектов персональных данных, а также без такого согласия в случаях, предусмотренных законодательством РФ.
5.3. Оператор использует следующие способы обработки:
неавтоматизированная обработка;
автоматизированная обработка (в том числе с передачей данных по информационно‑телекоммуникационным сетям);
смешанная обработка.
5.4. Доступ к обработке персональных данных имеют работники Оператора, в должностные обязанности которых входит обработка персональных данных, а также уполномоченные лица и организации‑исполнители на основании договоров.
5.5. Источники получения персональных данных: непосредственно от субъекта персональных данных (устно, письменно, через электронные формы), из документов, содержащих персональные данные, из открытых источников (в случаях, предусмотренных законом), и иные способы, предусмотренные внутренними документами Оператора.
5.6. Раскрытие и распространение персональных данных третьим лицам без согласия субъекта не допускается, если иное не предусмотрено федеральным законом. Согласие на распространение персональных данных оформляется отдельно и в соответствии с требованиями законодательства и нормативных актов Роскомнадзора.
5.7. Передача персональных данных в уполномоченные органы (налоговые органы, правоохранительные органы, органы социального обеспечения и др.) осуществляется в порядке и на основаниях, установленных законодательством РФ.
5.8. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, включая:
определение угроз безопасности персональных данных при их обработке;
принятие локальных нормативных актов и регламентов по обработке и защите персональных данных;
назначение ответственных лиц за обеспечение безопасности персональных данных в структурных подразделениях;
организацию ведения учета документов, содержащих персональные данные;
обеспечение условий для работы с информационными системами персональных данных;
хранение персональных данных в условиях, исключающих несанкционированный доступ;
проведение обучения работников, имеющих доступ к персональным данным.
5.9. Сроки хранения персональных данных соответствуют целям обработки и требованиям законодательства. Если срок хранения персональных данных не установлен федеральным законом или договором, персональные данные не хранятся дольше, чем требуется для достижения целей их обработки.
5.9.1. Персональные данные на бумажных носителях хранятся в соответствии с требованиями законодательства об архивном деле и иными нормативными юридическими актами, регулирующими порядок хранения документов.
5.9.2. Срок хранения персональных данных в информационных системах соответствует срокам хранения на бумажных носителях, если иное не установлено нормативными актами.
5.10. Оператор прекращает обработку персональных данных в случаях:
выявления факта их неправомерной обработки (в течение трех рабочих дней с даты выявления);
достижения цели их обработки;
истечения срока действия или отзыва согласия субъекта персональных данных, если по закону обработка допускается только с согласия.
5.11. При достижении цели обработки персональных данных или отзыве согласия субъектом персональных данных Оператор прекращает обработку, если иное не предусмотрено договором или законодательством РФ.
5.12. По требованию субъекта персональных данных о прекращении обработки Оператор прекращает обработку в срок не более 10 рабочих дней с даты получения требования, за исключением случаев, предусмотренных Законом о персональных данных; данный срок может быть продлен не более чем на пять рабочих дней при направлении мотивированного уведомления субъекту.
5.13. При сборе персональных данных, в том числе через сеть Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение, извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории РФ, за исключением случаев, предусмотренных Законом о персональных данных.
Актуализация, исправление, удаление, уничтожение персональных данных; ответы на запросы субъектов
6.1. Подтверждение факта обработки персональных данных Оператором, правовые основания и цели обработки, а также иные сведения, предусмотренные ч. 7 ст. 14 Закона о персональных данных, предоставляются субъекту персональных данных или его представителю в течение 10 рабочих дней с момента обращения либо получения запроса; срок может быть продлен не более чем на пять рабочих дней при направленном мотивированном уведомлении.
6.2. В случае выявления неточных персональных данных Оператор блокирует соответствующие данные с момента обращения на период проверки. При подтверждении неточности данные уточняются в течение семи рабочих дней со дня представления необходимых сведений и блокирование снимается.
6.3. В случае выявления неправомерной обработки Оператор блокирует неправомерно обрабатываемые персональные данные с момента обращения или получения соответствующего запроса.
6.4. При выявлении факта неправомерной или случайной передачи (предоставления, распространения) персональных данных, повлекшей нарушение прав субъектов персональных данных, Оператор:
в течение 24 часов уведомляет Роскомнадзор о произошедшем инциденте, предполагаемых причинах, предполагаемом вреде и принятых мерах по устранению последствий, а также предоставляет сведения о лице, уполномоченном на взаимодействие с Роскомнадзором по вопросам инцидента;
в течение 72 часов предоставляет Роскомнадзору результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента (при наличии).
6.5. Порядок уничтожения персональных данных.
6.5.1. Условия и сроки уничтожения персональных данных:
достижение цели обработки либо утрата необходимости в достижении этой цели — в течение 30 дней;
достижение максимальных сроков хранения документов, содержащих персональные данные — в течение 30 дней;
подтверждение субъектом факта незаконного получения или ненужности персональных данных — в течение семи рабочих дней;
отзыв субъектом согласия на обработку персональных данных — в течение 30 дней, если дальнейшее хранение не требуется для целей обработки.
6.5.2. Персональные данные подлежат уничтожению при достижении целей обработки или отзыве согласия, если иное не предусмотрено договором или законодательством РФ.
6.5.3. Уничтожение персональных данных осуществляет ответственная комиссия, создаваемая приказом руководителя Оператора (в документе укажите состав комиссии и порядок её формирования).
6.5.4. Способы уничтожения персональных данных устанавливаются локальными нормативными актами Оператора.
Политика в отношении обработки файлов cookie
7.1. На сайте Оператора могут использоваться файлы cookie и веб‑сервисы (включая аналитические сервисы третьих лиц, например, Яндекс.Метрика), предназначенные для анализа посещаемости и поведения пользователей на сайте.
7.2. При использовании веб‑сервисов третьих лиц часть технических данных (данные cookie, тип браузера и его версия, операционная система, время доступа, адреса запрашиваемых страниц, реферер, параметры экрана, события JavaScript и иные технические параметры) может собираться и передаваться указанными третьими лицами в соответствии с их политиками конфиденциальности.
7.3. Пример: если на сайте используется веб‑сервис «Яндекс.Метрика» (правообладатель — ООО «Яндекс»), в состав собираемых данных могут входить: информация из cookie браузера, сведения о браузере и ОС, время доступа, адреса страниц, referrer, заголовки, размеры экрана, наличие JavaScript, часовой пояс, язык, а также агрегированные демографические и интересные характеристики. ООО «Яндекс» и/или его аффилированные лица могут обрабатывать такие данные в целях улучшения сервисов, анализа, создания продуктов, выявления угроз безопасности и др., и передавать часть данных третьим лицам в порядке, предусмотренном их политикой конфиденциальности.
7.4. Собранная с помощью cookie информация обычно не позволяет идентифицировать конкретного пользователя без дополнительной информации. Пользователь может отключить cookie в настройках своего браузера или использовать инструменты отказа от трекинга, при этом некоторые функции сайта могут работать некорректно.
7.5. Используя сайт Оператора, вы соглашаетесь на обработку данных о вас третьими лицами (включая Яндекс) в порядках и целях, указанных их политиками конфиденциальности. Контакты третьих лиц и ссылки на их политики размещаются на сайтах соответствующих провайдеров сервисов.
Заключительные положения
8.1. Настоящая Политика может быть изменена Оператором. Изменения вступают в силу с момента их публикации на сайте Оператора, если иное не предусмотрено соответствующими изменениями.
8.2. При размещении Политики на сайте рекомендуется дополнительно указать: контактные данные уполномоченного по защите персональных данных (Ф.И.О., e‑mail, телефон), адрес сайта и реквизиты организации.
8.3. Все вопросы, касающиеся обработки персональных данных и реализации настоящей Политики, можно направлять по контактам, указанным в размещаемой на сайте версии Политики.