Статьи

ПОЛИТИКА КОНФЕНДЕНЦИАЛЬНОСТИ
при обработке персональных данных ООО «Микрокредитная компания Мультизайм»

1. Общие положения
   1. Настоящий внутренний нормативный документ (далее - Политика) призван регулировать обработку персональных данных в ООО «Микрокредитная компания Мультизайм». Настоящая Политика разработана в соответствии с требованиями нормативно-правовых актов Российской Федерации, регулирующих отношения, связанные с обработкой персональных данных (далее - ПД). Политика определяет цели, принципы, способы и организацию обработки персональных данных в ООО «Микрокредитная компания Мультизайм» (далее - Компания), категории субъектов персональных данных (далее -субъекты ПД) и их права, права и обязанности Компании при обработке ПД, сроки и способы хранения ПД, а также перечень мер, применяемых Компанией в целях обеспечения безопасности ПД при их обработке. Действие настоящей Политики распространяется на все процессы, осуществляемые Компанией с персональными данными, в том числе: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПД, осуществляемых как с использованием средств автоматизации, так и без использования таких средств.
   2. Настоящая Политика является общедоступным документом, регламентирующим деятельности Компании при обработке и защите ПД.
   3. Изменение настоящей Политики может осуществляться в случае изменения законодательства Российской Федерации в области обработки персональных данных, и должно быть утверждено приказом.
   4. Настоящий документ подлежит размещению в информационно - телекомуникационной сети интернет на официальном сайте Компании – autocash.ru
2. Правовые основы
   1. Компания осуществляет обработку ПД в соответствии со следующими нормативно-правовыми актами:
      • Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных»;
      • Федеральным законом от 02.07.2010 №151-ФЗ «О микрофинансовой деятельности и микрофинансовых организациях»;
      • Федеральным законом от 07.08.2001 №115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма»;
      • Федеральным законом от 30.12.2004 №218-ФЗ «О кредитных историях»;
      • Федеральным законом от 27 июля 2006 г. №149-ФЗ «Об информации, информационных технологиях и о защите информации»;
      • Федеральным законом от 22 октября 2004 г. №125-ФЗ «Об архивном деле в Российской Федерации»;
      • Трудовым кодексом РФ;
      • Налоговым кодексом РФ;
      • Гражданский кодекс РФ
      • Приказом Министерства культуры РФ от 25 августа 2010 г. N 558 «ОБ УТВЕРЖДЕНИИ "ПЕРЕЧНЯ ТИПОВЫХ УПРАВЛЕНЧЕСКИХ АРХИВНЫХ ДОКУМЕНТОВ, ОБРАЗУЮЩИХСЯ В ПРОЦЕССЕ ДЕЯТЕЛЬНОСТИ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ОРГАНОВ МЕСТНОГО САМОУПРАВЛЕНИЯ И ОРГАНИЗАЦИЙ, С УКАЗАНИЕМ СРОКОВ ХРАНЕНИЯ»;
      • Постановлением Правительства Российской Федерации от 15.09.2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
      • Базовой моделью угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утверждена заместителем директора ФСТЭК России 15.02.2008 г.);
      • Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утверждена заместителем директора ФСТЭК России 14.02.2008 г.);
      • Иными нормативно-правовыми актами Российской Федерации и нормативными документами уполномоченных органов государственной власти.
3. Принципы обработки персональных данных
   1. Обработка ПД в Компании основана на следующих принципах:
      • законности целей, способов обработки ПД и добросовестности;
      • соответствия целей обработки ПД целям, заранее определенным и заявленным при сборе ПД, а также полномочиям Компании;
      • соответствия объема и характера обрабатываемых ПД, способов обработки ПД целям обработки ПД;
      • достоверности ПД, их актуальности и достаточности для целей обработки, недопустимости обработки избыточных по отношению к целям сбора ПД;
      • легитимности организационных и технических мер по обеспечению безопасности ПД;
      • непрерывности повышения уровня знаний работников Компании в сфере обеспечения безопасности ПД при их обработке;
      • стремления к постоянному совершенствованию системы защиты ПД;
      • хранение ПД в форме, позволяющей определить субъекта ПД, не дольше, чем этого требуют цели их обработки.
4. КАТЕГОРИИ СУБЪЕКТОВ ПД И ЦЕЛИ ОБРАБОТКИ ПД
   1. В соответствии с принципами обработки ПД, в Компании определены категории субъектов ПД и цели обработки ПД.
   2. Перечень ПД, подлежащих защите в Компании, формируется в соответствии с Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных», Уставом Компании, Правилами предоставления займов Компании и Заявлением-анкетой на предоставление займа (ее содержание - устанавливается Компанией).
   3. Сведениями, составляющими ПД, в Компании является любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПД).
   4. Компания обрабатывает ПД следующих категорий субъектов ПД:
      • работники;
      • родственники работников, указанные ими;
      • наемные работники, работающие по договорам гражданско-правового характера;
      • кандидаты на вакантные должности;
      • клиенты (заявители/ заемщики);
      • родственники и знакомые клиентов (заявителей/заемщиков), указанные ими при оформлении Заявления-анкеты на предоставление займа или Анкеты по оценке качества обслуживания;
      • представители контрагентов и партнеров в рамках договорных отношений Компании (в том числе руководители, участники (учредители), сотрудники и т.п.);
      • инвесторы;
      • участники (учредители) Компании.
   5. Компания не обрабатывает специальные категории ПД, касающиеся: расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, биометрических ПД, без письменного согласия субъекта ПД на обработку специальных категорий ПД.
   6. Компания производит обработку ПД в целях:
      1. Ведения микрофинансовой деятельности по предоставлению займов и обслуживанию клиентов, в том числе, но не ограничиваясь: для оценки платежеспособности клиента, обеспечения обоснованности принятия решения о выдаче ему займа и эффективности мер по возврату займа, а также с целью заключения и последующего исполнения договоров займа, принудительного взыскания задолженности по заключенным договорам займа, в том числе Компанией с привлечением третьих лиц, а также третьими лицами, в случае уступки им прав на взыскание соответствующей задолженности или привлечения их Компанией как агентов Компании для оказания содействия во взыскании такой задолженности;
      2. Обеспечения доступа Клиента к Личному кабинету Клиента на Сайте Компании;
      3. Ведения любого учета, как бухгалтерского, так и управленческого, статистического исследования, использования данных в документах, имеющих юридическое значение (требованиях, исках, жалоб, заявлений и т.д.);
      4. Заключения, исполнения и прекращения договоров с физическими, юридическим лицами, индивидуальными предпринимателями и иными лицами, в случаях, предусмотренных действующим законодательством и Уставом Компании;
      5. Предоставления Клиенту информации рекламного характера о товарах и услугах, реализуемых Компанией, а также его партнерами, а также для принятия Компанией или его партнерами решения о возможности применения к Клиенту программ лояльности, скидок и иных льготных условий и информирования Клиента о принятии таких решений;
      6. Получения кредитных отчетов в бюро кредитных историй;
      7. Предоставления в бюро кредитных историй информации о факте предоставления/отказа предоставления займа, об условиях заключенного с Клиентом договора займа, а также об исполнении Клиентом его обязанностей по соответствующему договору и иной информации, предусмотренной Федеральным законом от 30.12.2004 №218-ФЗ «О кредитных историях»;
      8. Обеспечения соблюдения трудового законодательства, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества, в том числе исполнения требований налогового законодательства в связи с исчислением и уплатой налога на доходы физических лиц, а также единого социального налога, пенсионного законодательства при формировании и представлении персонифицированных данных о каждом получателе доходов, учитываемых при начислении страховых взносов на обязательное пенсионное страхование и обеспечение, заполнения первичной статистической документации, ведения кадрового делопроизводства в соответствии с Трудовым кодексом РФ, Налоговым кодексом РФ, и иными нормативно-правовыми актами;
      9. Осуществления и выполнения функций, полномочий и обязанностей Компании, возложенных на нее законодательством Российской Федерации;
      10. Осуществления прав и законных интересов Компании;
      11. Иные цели, для достижения которых в соответствии с законодательством Российской Федерации Компания вправе обрабатывать ПД Клиента.
5. Получение пд от третьих лиц
   1. В целях подтверждения достоверности сведений, указанных Клиентом в Заявлении-анкете на предоставление займа, а также получения информации, необходимой для принятия решения о выдаче ему займа, Компания вправе направлять запросы в бюро кредитных историй. Компания вправе самостоятельно выбрать конкретное бюро кредитных историй для направления соответствующих запросов.
   2. В рамках реализации своего права на проверку достоверности указанной Клиентом информации Компания также вправе проводить проверку и уточнение предоставленных Клиентом данных посредством устных или письменных обращений к работодателю Клиента, а также иным лицам, контактные данные которых были предоставлены Клиентом Компании.
6. Организация обработки пд
   1. Способ обработки ПД Компанией: обработка ПД осуществляется оператором смешанным способом, совершаемым как с использованием средств автоматизации (вычислительной/компьютерной техники), так и без использования таких средств.
   2. Компания не принимает решений относительно субъектов ПД на основании исключительно автоматизированной обработки их ПД.
   3. Компания не осуществляет обработку данных о судимости субъектов ПД.
   4. Компания не осуществляет трансграничную передачу ПД.
   5. Работники Компании, допущенные к обработке ПД, обязаны:
      1. знать и неукоснительно выполнять положения:
         • законодательства Российской Федерации в области ПД;
         • настоящей Политики;
         • локальных актов по вопросам обработки ПД.
      2. обрабатывать ПД только в рамках выполнения своих должностных обязанностей;
      3. сообщать о действиях других лиц, которые могут привести к нарушению положений настоящей Политики;
      4. не разглашать ПД, обрабатываемые в Компании;
      5. сообщать об известных фактах нарушения требований настоящей Политики Лицу, ответственному за организацию обработки ПД в Компании.
   6. ПД Заявителя обрабатываются в следующем порядке:
      1. Сотрудник после получения ПД Заявителя вносит предоставленные ПД в информационную систему ПД Компании (совокупность содержащихся в базах данных ПД и обеспечивающих их обработку информационных технологий и технических средств). Заявление-анкета и иные письменные документы хранятся в специально отведенном для этого помещении.
      2. Сотрудник, обрабатывая ПД на компьютерной технике, совершает следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных), в том числе осуществляет: пересылку почтой и электронными способами, размещение на сайте Компании, передачу ПД в бюро кредитных историй и иные кредитные организации, а также государственные учреждения, в случае необходимости совершения юридических действий, в том числе по взысканию просроченной задолженности.
   7. В Компании организован прием и обработка обращений и запросов субъектов ПД или их представителей и (или) осуществляется контроль за приемом и обработкой таких обращений и запросов.
   8. В случае отзыва Согласия на обработку ПД, Компания вправе продолжать обрабатывать ПД в целях исполнения заключенного договора, соглашения, а также в целях исполнения Компанией требований законодательства.
   9. Компания вправе поручить обработку ПД другому лицу с согласия субъекта ПД, если иное не предусмотрено законодательством Российской Федерации, на основании заключаемого с этим лицом договора, условием которого является соблюдение конфиденциальности или неразглашение ПД.
   10. Компания вправе передавать ПД субъекта ПД следующим лицам, включая, но не ограничиваясь:
       • государственным органам (в рамках выполнения требований федерального законодательства);
       • АО «Райффайзенбанк»;
       • ПАО «Сбербанк»;
       • платежным системам денежных переводов (в том числе, но не ограничиваясь, Contact (ООО НКО «РАПИДА»));
       • платежным системам, предоставляющим клиентам возможность удобного погашения займа;
       • ОАО «Национальное бюро кредитных историй»;
       • ООО «Эквифакс Кредит Сервисиз».
   11. ПД не раскрываются третьим лицам, не распространяются иным образом без согласия субъекта ПД, если иное не предусмотрено законодательством Российской Федерации.
   12. Представители органов государственной власти (в том числе, контролирующих, надзорных, правоохранительных и иных органов), получают доступ к ПД, обрабатываемым в Компании, в объеме и порядке, установленном законодательством Российской Федерации.
7. Права и обязанности субъекта пд
   1. Клиент вправе в любой момент получить информацию, касающуюся обработки его ПД, если такое право не ограничено в соответствии с федеральными законами. Клиент вправе требовать от Компании уточнения его ПД, их блокирования или уничтожения в случае, если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
   2. Запросы субъектов ПД о предоставлении сведений об обрабатываемых Компанией ПД, а также запросы о блокировке, изменении, уточнении или удалении ПД принимаются Компанией к рассмотрению только в случае личного обращения субъекта ПД или его представителя (на основании доверенности, выданной в соответствии с законодательством).
   3. Компания рассматривает запросы Клиентов и направляет ответы на них в течение 30 (тридцати) дней с момента поступления обращения. Запросы Клиентов об изменении неполных, неточных или неактуальных ПД, а также запросы об удалении данных, которые были незаконно получены Компанией или не соответствуют заявленным целям обработки, подлежат рассмотрению в течение 7 (семи) рабочих дней.
   4. Ответ Компании на запрос Клиента выдается на руки Клиенту или его представителю по доверенности в форме (подписанной уполномоченным лицом Компании) копии, заверенной подписью сотрудника офиса продаж Компании и печатью, при условии предъявления документа, удостоверяющего личность (для представителя также доверенности).
   5. Срок хранения распечатанных в офисе продаж ответов (то есть заверенных сотрудником офиса продаж копий ответов) на обращения (запросы) – 1 (один) год с даты окончания срока, установленного для подготовки ответа.
8. Срок обработки пд
   1. Сроком окончания обработки ПД является дата достижения Компанией целей их обработки. Истечение срока обработки ПД не лишает Компанию права обрабатывать ПД Клиента в целях, определенных в пунктах: 4.6.3, 4.6.5, 4.6.7 настоящей Политики.
   2. Клиент в любое время вправе отозвать свое согласие на обработку ПД. Отзыв согласия на обработку ПД осуществляется в форме письменного Заявления об отзыве согласия на обработку персональных данных, направленного по адресу места нахождения Компании: 121165, г. Москва, ул. Киевская, д. 22, стр.1, офис 103. Отзыв Клиентом согласия на обработку ПД не лишает Компанию права обрабатывать ПД Клиента в целях, определенных в пунктах: 4.6.1, 4.6.3, 4.6.4, 4.6.7, 4.6.9.
9. Меры по защите пд
   1. Меры, необходимые и достаточные для обеспечения выполнения Компанией обязанностей оператора, предусмотренных законодательством Российской Федерации в области ПД, включают:
      • Назначение лица, ответственного за организацию обработки ПД в Компании;
      • Обеспечение режима безопасности помещений (где размещена информационная система ПД), который препятствует возможности неконтролируемого проникновения третьих лиц в помещения;
      • Принятие локальных нормативных актов и иных документов в области обработки и защиты ПД;
      • Доведение до сведения работников Компании положения законодательства Российской Федерации о ПД, локальных актов по вопросам обработки ПД, требований к защите ПД;
      • Ознакомление работников Компании, непосредственно осуществляющих обработку ПД, с положениями законодательства Российской Федерации о ПД, в том числе требованиями к защите ПД, документами, определяющими политику Компании в отношении обработки ПД, локальными актами по вопросам обработки ПД, и (или) обучение указанных работников.
      • Получение согласий субъектов ПД на обработку их ПД, за исключением случаев, предусмотренных законодательством Российской Федерации;
      • Обеспечение раздельного хранения ПД и их материальных носителей, обработка которых осуществляется в разных целях и которые содержат разные категории ПД, хранение материальных носителей ПД с соблюдением условий, обеспечивающих сохранность ПД и исключающих несанкционированный доступ к ним;
      • Установление запрета на передачу ПД по открытым каналам связи, вычислительным сетям вне пределов контролируемой зоны, Компании и сети Интернет без применения установленных в Компании мер по обеспечению безопасности ПД (за исключением общедоступных и (или) обезличенных ПД);
      • Осуществление внутреннего контроля соответствия обработки ПД Федеральному закону от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПД, настоящей Политике, локальным нормативным актам Компании;
      • Оценка вреда, который может быть причинен субъектам ПД в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом;
      • Определение угроз безопасности ПД при их обработке в информационных системах ПД;
      • Обнаружение фактов несанкционированного доступа к ПД и принятием мер;
      • Учет машинных носителей ПД;
      • Применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
      • Обнаружение фактов несанкционированного доступа к ПД и принятием мер;
      • Восстановление ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
      • Установление правил доступа к ПД, обрабатываемым в информационной системе ПД, а также обеспечением регистрации и учета всех действий, совершаемых с ПД в информационной системе ПД;
      • Контроль за принимаемыми мерами по обеспечению безопасности ПД и уровня защищенности информационных систем ПД;
      • Применение антивирусной защиты информационной системы ПД;
      • Применение правовых, организационных, технических, и иных мер по обеспечению безопасности ПД предусмотренных законодательством Российской Федерации в области ПД.
10. Хранение пд
    1. Сроки хранения ПД определяются Налоговым кодексом РФ, Федеральным законом от 06.12.2011г. N 402-ФЗ «О бухгалтерском учете», Приказом Министерства культуры РФ от 25 августа 2010 г. N 558 «ОБ УТВЕРЖДЕНИИ "ПЕРЕЧНЯ ТИПОВЫХ УПРАВЛЕНЧЕСКИХ АРХИВНЫХ ДОКУМЕНТОВ, ОБРАЗУЮЩИХСЯ В ПРОЦЕССЕ ДЕЯТЕЛЬНОСТИ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ОРГАНОВ МЕСТНОГО САМОУПРАВЛЕНИЯ И ОРГАНИЗАЦИЙ, С УКАЗАНИЕМ СРОКОВ ХРАНЕНИЯ", а также другим законодательством РФ, но не могут быть ранее даты достижения целей их обработки.
    2. Хранение ПД Заявителя осуществляется в документарной и бездокументарной (электронной) формах. В документарной форме документы хранятся по месту нахождения единоличного исполнительного органа Компании. В бездокументарной форме ПД хранятся обособленно и персонифицировано на магнитных носителях (жестких дисках). Компания обеспечивает ограничение доступа к указанным ПД для третьих лиц.
    3. Уничтожение ПД Заявителя осуществляется по истечении срока хранения ПД, установленного настоящими Правилами, путем удаления (стирания без возможности восстановления) ПД с магнитных носителей (жестких дисков), путем физического уничтожения письменных документов без возможности восстановления.
11. ОТВЕТСТВЕННОСТЬ
    1. Контроль исполнения требований настоящей Политики осуществляется ответственными лицами за организацию обработки и обеспечение безопасности ПД, назначаемые приказом Генерального директора Компании.
    2. Лица, виновные в нарушении норм, регулирующих получение, обработку, хранение и защиту обрабатываемых в Компании ПД, несут ответственность, предусмотренную законодательством Российской Федерации.