Положение об обработке персональных данных клиентов и контрагентов

Работодатель / организация​ Утверждено № Номер документа​ от Дата документа.

Положение регулирует внутренние действия с данными клиентов-физлиц и представителей контрагентов. Данные юридического лица сами по себе не являются персональными данными. Ответственный за организацию обработки, его полномочия и замещение: Ответственный и замещение​. Сотрудники исполняют требования в пределах предоставленного доступа.

Реестр процессов ведётся раздельно по целям: заключение и исполнение договоров, обязательный учёт и отчётность, обработка обращений; иные цели включаются только после проверки основания. Для каждой цели фиксируются категории субъектов, конкретный перечень данных, основание, действия, способы и срок хранения. Наличие договора с юридическим лицом само по себе не разрешает любую обработку данных его работников. Конкретные процессы и особенности организации: Реестр процессов по целям​. Перед началом нового процесса проверяются необходимость данных, правовое основание, сроки и обязанности уведомления уполномоченного органа. Нельзя собирать данные «на всякий случай» или менять цель без законного основания. Согласие используется там, где оно является необходимым основанием, оформляется отдельно и подтверждается доказательствами. Для обработки по закону или исполнения договора применяется соответствующее основание.

Данные принимаются через предусмотренные реестром каналы с предоставлением субъекту необходимой информации; согласия и иные основания документируются.

Собираются только данные, необходимые для согласованной цели: идентификационные, контактные, договорные и расчётные сведения в применимом объёме. Копии документов личности не снимаются автоматически, если задача решается проверкой или записью необходимых реквизитов. Специальные категории и биометрия не собираются по умолчанию и требуют отдельной оценки основания и мер. При получении данных от третьего лица проверяются источник и основание передачи; субъекту предоставляется предусмотренная законом информация, если не применяется законное исключение. Сведения из открытого источника не считаются свободными для любой цели. Достоверность уточняется при изменениях и обращениях субъекта; данные разных целей не объединяются вопреки их совместимости. Если основанием является согласие, до его получения сообщаются оператор, цель, состав данных и иные необходимые условия. Согласие оформляется отдельно от иных подписываемых или подтверждаемых документов; сохраняются его версия, дата и доказательство волеизъявления. Отказ от необязательной обработки не подменяется согласием из-за молчания.

Допущенные роли: Перечень допущенных лиц/ролей​. Объём доступа ограничен целью и служебной необходимостью; пересмотр и прекращение доступа фиксируются. Трансграничная передача не осуществляется; подключение нового иностранного сервиса требует предварительной проверки.

Каналы и проверка личности: Каналы обращений и проверка личности​. Запрос регистрируется с датой получения, видом требования, контрольным сроком и исполнителем. Проверка личности должна быть соразмерной и не создавать избыточного сбора данных. Ответ готовится в доступной форме без раскрытия данных других лиц; отказ обосновывается применимой нормой. При споре о точности данные блокируются на период проверки в предусмотренных законом случаях, если это не нарушает права субъектов или третьих лиц. Запрос направляется ответственному. Информация об обработке предоставляется в течение 10 рабочих дней; мотивированное продление — не более 5 рабочих дней. Неточные данные уточняются в установленных законом случаях в течение 7 рабочих дней. Неправомерная обработка прекращается не позднее 3 рабочих дней; если обеспечить её правомерность невозможно, данные уничтожаются не позднее 10 рабочих дней в предусмотренном статьёй 21 порядке. При достижении цели обработка прекращается и данные уничтожаются не позднее 30 дней с этой даты, если не действует предусмотренное законом основание продолжения. При отзыве согласия обработка прекращается, а данные, сохранение которых больше не требуется для целей обработки, уничтожаются не позднее 30 дней с поступления отзыва с учётом исключений частей 4 и 5 статьи 21. По самостоятельному требованию о прекращении обработки применяется срок 10 рабочих дней с возможным мотивированным продлением не более чем на 5 рабочих дней и исключениями части 5.1 статьи 21. Если уничтожить данные в установленные сроки невозможно, они блокируются, а уничтожение обеспечивается не позднее шести месяцев, если иной срок не установлен федеральным законом. Причина невозможности и контроль исполнения документируются. Запреты и ограничения на распространение соблюдаются отдельно.

Документы распределяются по целям и срокам хранения с ограничением доступа; бумажные и электронные копии учитываются совместно. По завершении цели ответственный проверяет обязательные сроки хранения, незавершённые требования и иные законные основания. При их наличии сохраняется только необходимый объём с ограничением обычного использования. Отзыв согласия регистрируется сразу; обработка, основанная только на нём, прекращается в законном порядке. Наличие обязанности хранить отдельные учётные документы не разрешает продолжать рекламную или иную необязательную обработку. Уничтожение поручается уполномоченным лицам; фиксируются основание, перечень данных/носителей, дата, способ и подтверждение результата. При обработке по поручению оператор получает подтверждение исполнения от обработчика.

Сроки по видам данных и документов, прекращение, уничтожение и доказательства: Сроки хранения документов и ответственные​. При выявлении инцидента сотрудник немедленно уведомляет ответственного. При обстоятельствах части 3.1 статьи 21 оператор уведомляет уполномоченный орган в течение 24 часов, о расследовании — в течение 72 часов. Журналы, проверки и контроль сроков: Регистры и график контрольных проверок​. Проверки охватывают соответствие реестра фактическим процессам, законность оснований, сроки ответов, хранения и удаления. Нарушения фиксируются с исполнителем и сроком; повторная проверка подтверждает устранение. До допуска к данным сотрудники знакомятся с положением и обязанностью конфиденциальности; при изменениях проходят повторное ознакомление. Ответственные за ознакомление, график и форма подтверждения: Ознакомление и обучение сотрудников​. Меры технической защиты определяются отдельным внутренним положением; публичная политика публикуется отдельно. Должность подписанта​ __________ / ФИО подписанта​ /; полномочия Основание полномочий​.