Главная → Политика обработки персональных данных

Политика обработки персональных данных

ТЕРМИНЫ, ОПРЕДЕЛЕНИЯ И СОКРАЩЕНИЯ
- Персональные данные (ПД) – любая информация, относящаяся к прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
- Оператор – ООО «Мерлион», самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных (ПД), а также определяющее цели обработки ПД, состав ПД, подлежащих обработке, действия (операции), совершаемые с ПД.
- Интернет-сайт – сайт, размещенный в сети Интернет по адресу: https://domfy.info/, а также иные сайты в сети Интернет, администратором и правообладателем которых является Оператор.
- Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
- Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
- Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных).
- Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
- Обезличивание персональных данных – действия, в результате которых становится невозможным, без использования дополнительной информации, определить принадлежность персональных данных конкретному субъекту персональных данных.
- Информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных ПД и обеспечивающих их обработку информационных технологий и технических средств.
ОБЩИЕ ПОЛОЖЕНИЯ
1. Политика об обработке персональных данных в ООО «Мерлион» (далее – Политика) определяет принципы и условия обработки ПД, меры по защите ПД, а также обязанности Оператора при их обработке.
2. Цель Политики – защита персональных данных субъектов персональных данных от несанкционированного доступа и разглашения. Персональные данные субъектов персональных данных являются конфиденциальной, охраняемой информацией.
3. Политика разработана в соответствии с положениями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – закон № 152-ФЗ), а также иными подзаконными нормативно-правовыми актами в сфере ПД.
4. Политика действует в отношении всех ПД, обрабатываемых Оператором, и является основой для организации работы по обработке ПД в компании Оператора.
5. Политика вступает в силу с даты её утверждения приказом генерального директора Оператора и действует до её отмены или внесения изменений в соответствии с действующим законодательством.
6. Все работники Организации должны быть ознакомлены с настоящей Политикой под роспись.
7. Во исполнение требований ч. 2 ст. 18.1 закона № 152-ФЗ Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на Интернет-сайте.
ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Обработка ПД Оператором осуществляется на основании следующих принципов:
  - обработка ПД осуществляется на законной и справедливой основе;
  - обработка ПД ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПД, несовместимая с целями сбора ПД;
  - не допускается объединение баз данных, содержащих ПД, обработка которых осуществляется в целях, несовместимых между собой;
  - обработке подлежат только ПД, которые отвечают целям их обработки;
  - содержание и объем обрабатываемых ПД должны соответствовать заявленным целям обработки. Обрабатываемые ПД не должны быть избыточными по отношению к заявленным целям их обработки;
  - при обработке ПД должны быть обеспечены точность ПД, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПД;
  - хранение ПД осуществляется в форме, позволяющей определить субъекта ПД, не дольше, чем этого требуют цели обработки ПД, если срок хранения ПД не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПД;
  - обрабатываемые ПД подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ, КАТЕГОРИИ И ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ДАННЫХ
1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. В зависимости от конкретных целей обработки персональных данных такая обработка может включать в себя, в частности, совершение всех или некоторых из следующих действий (операций) с персональными данными: сбор (получение), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
2. Для каждой цели обработки персональных данных Оператором определены:
  - соответствующие категории и перечень обрабатываемых персональных данных;
  - категории Субъектов персональных данных, персональные данные которых обрабатываются Компанией;
  - способы и сроки обработки и хранения персональных данных;
  - порядок уничтожения персональных данных.
3. Цели обработки персональных данных и соответствующие им категории и перечень обрабатываемых персональных данных, категории Субъектов персональных данных, способы обработки и перечень действий с ПД приведены в Приложении 1 к Политике, которое является его неотъемлемой частью.
4. Оператор может разрабатывать отдельные локально-нормативные акты в отношении разных категорий субъектов персональных данных.
ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Обрабатываемые Оператором ПД могут быть получены, как непосредственно от субъекта ПД, так и от иных третьих лиц, являющихся контрагентами Оператора. Если персональные данные возможно получить только у третьей стороны, то субъект персональных данных должен быть уведомлен об этом заранее и от него должно быть получено согласие. Должностное лицо Оператора должно сообщить субъекту персональных данных о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа дать письменное согласие на их получение.
2. Оператор не имеет права получать и обрабатывать персональные данные субъектов персональных данных о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции Российской Федерации Оператор вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.
3. Персональные данные соискателей могут быть получены следующими способами: непосредственно от соискателя (путем предоставления резюме, заполнения анкеты, участия в собеседовании); из общедоступных источников (например, из профессиональных социальных сетей); от третьих лиц (например, от рекомендателей, кадровых агентств с согласия соискателя).
4. Оператор использует следующие способы обработки персональных данных: автоматизированная обработка (с использованием средств автоматизации) и неавтоматизированная обработка (без использования средств автоматизации), а также смешанная, в том числе путем осуществления следующих действий – сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
5. Обработка персональных данных осуществляется с соблюдением требований законодательства Российской Федерации и Политики, а также положений локальных актов Оператора, регламентирующих вопросы обработки и защиты персональных данных.
6. Автоматизированная обработка персональных данных должна осуществляться в информационных системах персональных данных Оператора в строгом соответствии с настоящей Политикой.
7. Автоматизированная обработка персональных данных производится с помощью средств вычислительной техники, как установленных локально, так и объединённых в информационные системы персональных данных.
8. Доступ к информационным системам персональных данных предоставляется уполномоченным работникам только для исполнения ими своих трудовых функций и должностных обязанностей.
9. При автоматизированной обработке, персональные данные содержатся на машинных носителях персональных данных. Фиксация персональных данных на машинном носителе производится с использованием средств вычислительной техники (копирование персональных данных на любой съёмный или несъёмный машинный носитель, ввод персональных данных в базу данных и т.п.).
10. Неавтоматизированная обработка персональных данных осуществляется Оператором таким образом, чтобы персональные данные обособлялись от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных, в специальных разделах или на полях форм (бланков) и иными способами.
11. При неавтоматизированной обработке персональных данных, предполагающей использование типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных, Оператор обеспечивает выполнение следующих условий:
  1. типовая форма или связанные с ней документы (инструкция по её заполнению, карточки, реестры и журналы) должны содержать:
    - сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации;
    - реквизиты Оператора (наименование и адрес);
    - фамилию, имя, отчество (при наличии) и адрес субъекта персональных данных;
    - источник получения персональных данных;
    - сроки обработки персональных данных;
    - перечень действий с персональными данными, которые будут совершаться в процессе их обработки;
    - общее описание используемых Оператором способов обработки персональных данных;
  2. при необходимости получения письменного согласия на обработку персональных данных типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации;
  3. типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;
  4. типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.
12. При сохранении персональных данных на материальных носителях (в т.ч. машинных носителях) не допускается сохранение на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных, должны быть приняты меры по обеспечению раздельной обработки персональных данных. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных следует использоваться отдельный материальный носитель.
13. Оператор обеспечивает информирование лиц, осуществляющих обработку персональных данных без использования средств автоматизации (работники Оператора и другие лица, осуществляющие обработку персональных данных по поручению Оператора) о факте обработки ими персональных данных, обработка которых осуществляется Оператором без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также локальными нормативными документами Оператора.
14. Оператор вправе принимать решения, порождающие юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, на основании исключительно автоматизированной обработки его персональных данных, только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи производится Оператором только при наличии предварительного согласия субъекта персональных данных. Оператор обязано немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных в вышеуказанных целях.
ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА И СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Оператор вправе:
  - требовать от субъекта персональных данных предоставления персональных данных, необходимых для заключения договора, в том числе трудового и выполнения своих обязательств;
  - проверять достоверность предоставляемых персональных данных и запрашивать у субъекта персональных данных документы, подтверждающие достоверность предоставленных им персональных данных;
  - использовать полученные персональные данные в случаях, предусмотренных законодательством и локальными актами Оператора;
  - передавать персональные данные третьим лицам в случаях, предусмотренных законодательством Российской Федерации (в налоговые органы, органы статистики, Пенсионный фонд, Фонд социального страхования, военкоматы и т.д.), а также поручить обработку персональных данных третьим лицам при наличии соответствующих правовых оснований и соблюдении требований законодательства Российской Федерации;
  - самостоятельно устанавливать порядок обработки персональных данных, разрабатывать и утверждать локальные нормативные акты, регулирующие вопросы обработки и защиты персональных данных;
  - отказать в приеме на работу лицу, предоставившему недостоверные персональные данные;
  - реализовывать иные права, предусмотренные законодательством Российской Федерации.
2. Оператор обязан:
  - осуществлять обработку персональных данных субъекта персональных данных в целях, определенных в Приложении 1 к Политике;
  - предоставлять субъекту ПД по его запросу информацию, касающуюся обработки его ПД, либо на законных основаниях предоставить отказ;
  - по требованию субъекта ПД уточнять обрабатываемые ПД, блокировать или удалять, если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
  - уведомлять субъекта ПД об обработке в том случае, если ПД были получены не от субъекта ПД;
  - разъяснять субъекту персональных данных последствия непредоставления или предоставления недостоверных персональных данных;
  - не получать и не обрабатывать персональные данные, касающиеся политических, религиозных и иных убеждений, а также частной жизни, за исключением случаев, предусмотренных законодательством Российской Федерации. В случаях, когда обработка таких данных непосредственно связана с вопросами трудовых отношений, Оператор вправе получать и обрабатывать данные о частной жизни субъектов персональных данных только на основании его письменного согласия;
  - уничтожить/обеспечить уничтожение персональных данных субъектов персональных данных по достижении цели их обработки в сроки, установленные законодательством;
  - принимать меры по защите персональных данных от неправомерного доступа, изменения, раскрытия или уничтожения.
3. Субъект персональных данных обязан:
  - предоставлять Оператору или его уполномоченному представителю достоверные и полные персональные данные, необходимые для достижения целей, указанных в Приложении 1 к Политике;
  - в срок, не превышающий 5 рабочих дней, уведомлять Оператора об изменении своих персональных данных, которые могут повлиять на исполнение договора, в том числе трудового или реализацию прав и обязанностей Оператора и субъекта персональных данных;
  - соблюдать требования законодательства Российской Федерации, локальных нормативных актов Оператора в области защиты персональных данных.
4. Субъект персональных данных имеет право:
  1. На информацию, касающуюся обработки его персональных данных Оператором, а именно:
    - подтверждение факта обработки персональных данных Оператором;
    - касающейся целей и применяемых Оператором способов обработки персональных данных;
    - наименование и местонахождение Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
    - перечень обрабатываемых персональных данных, относящихся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
    - сроки обработки персональных данных, в том числе сроки их хранения;
    - порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом «О персональных данных»;
    - информацию об осуществленной или о предполагаемой трансграничной передаче данных;
    - наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
    - иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.
  2. Получить доступ к своим персональным данным, обрабатываемым Оператором.
  3. Требовать от Оператора уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не необходимыми для заявленной цели обработки.
  4. Требовать прекращения обработки своих ПД.
  5. Отозвать свое согласие на обработку ПД.
  6. Для реализации и защиты своих прав и законных интересов субъект ПД или его представители имеют право обратиться к Оператору по адресу электронной почты: info@merlion.com, либо по адресу: 143401, Московская Область, г. Красногорск, б-р. Строителей, д. 4, к. 1, этаж 8, кабинет 819.
УЧЕТ, ХРАНЕНИЕ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Оператор осуществляет учет персональных данных, обрабатываемых в информационных системах персональных данных (ИСПДн) и на материальных носителях (включая бумажные).
2. Хранение персональных данных осуществляется в условиях, обеспечивающих их безопасность и защиту от несанкционированного доступа, изменения, копирования, распространения, блокирования, уничтожения и иных неправомерных действий.
3. Сроки хранения персональных данных определяются в соответствии с законодательством Российской Федерации в том числе, но не ограничиваясь Федеральным законом от 22.10.2004 №125-ФЗ «Об архивном деле в Российской Федерации», Приказом Росархива от 20.12.2019 №236 «Об утверждении Перечня типовых архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения», договорами с субъектами персональных данных и внутренними актами Оператора и фиксируются в перечне документов, образующихся в деятельности организации, с указанием сроков их хранения.
4. Уничтожение персональных данных осуществляется в случаях, предусмотренных Законом о персональных данных и иными нормативными правовыми актами Российской Федерации.
5. Порядок учета, хранения и уничтожения персональных данных определен в Регламенте учета, хранения и уничтожения персональных данных Оператора.
ПОРЯДОК ОБНОВЛЕНИЯ И ИЗМЕНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Оператор обеспечивает актуальность и достоверность обрабатываемых персональных данных субъектов персональных данных.
2. Субъект персональных данных обязан своевременно, в срок, не превышающий 5 рабочих дней, уведомлять Оператора об изменении персональных данных, которые могут повлиять на исполнение трудового договора или реализацию прав и обязанностей Оператора (например, изменение фамилии, имени, отчества, адреса места жительства, паспортных данных и т.д.).
3. Обновление или изменение персональных данных субъектов персональных данных осуществляется на основании письменного заявления субъекта персональных данных и/или представленных им документов, подтверждающих такие изменения (например, копия паспорта, свидетельства о браке, диплома и т.д.).
4. Оператор, получив заявление об обновлении или изменении персональных данных субъекта персональных данных, обязан в течение 7 рабочих дней с момента получения заявления внести такие изменения.
5. В случае выявления неточных или неполных персональных данных субъектов персональных данных Оператор вправе самостоятельно внести необходимые уточнения или дополнения на основании имеющихся у него документов (например, на основании копии паспорта субъекта персональных данных). В этом случае Оператор обязан уведомить субъекта персональных данных о внесенных изменениях.
6. В целях обеспечения достоверности персональных данных Оператор вправе периодически проводить сверку персональных данных субъектов персональных данных с имеющимися у них документами (например, при проведении ежегодных отпусков, при оформлении кадровых документов и т.д.).
ПОРЯДОК ПЕРЕДАЧИ ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ
1. Обработка ПД в компании Оператора осуществляется:
  - работниками Оператора;
  - другими лицами, осуществляющими обработку ПД по поручению Оператора.
2. Обработка ПД другими лицами может осуществляться на основании соответствующего договора с Оператором, в котором содержится поручение на обработку ПД с согласия субъекта ПД, если иное не предусмотрено законом № 152-ФЗ.
3. При передаче ПД третьей стороне должны выполняться следующие условия:
  - передача (предоставление доступа) ПД третьей стороне осуществляется на основании договора, условием которого является обеспечение третьей стороной конфиденциальности ПД и безопасности ПД при их обработке;
  - передача (предоставление доступа) ПД третьей стороне осуществляется на основании действующего законодательства РФ;
  - наличие согласие субъекта ПД на передачу его ПД третьей стороне, за исключением случаев, предусмотренных законодательством.
4. Оператор вправе поручить обработку персональных данных другому лицу на основании договора с Оператором, в котором содержится поручение на обработку персональных данных с согласия субъекта персональных данных, если иное не предусмотрено законом № 152-ФЗ. В поручении должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цель их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные частью 5 статьи 18 и статьей 18.1 закона № 152-ФЗ, обязанность по запросу Оператора в течение срока действия поручения, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения Оператора требований, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 закона № 152-ФЗ, в том числе требование об уведомлении Оператора о случаях, предусмотренных частью 3.1 статьи 21 закона № 152-ФЗ.

ПОРЯДОК РАССМОТРЕНИЯ ОБРАЩЕНИЙ И/ИЛИ ЗАПРОСОВ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

При рассмотрении обращений и/или запросов субъектов персональных данных Оператор руководствуется законодательством Российской Федерации.
Запросы (обращения) субъектов персональных данных принимаются Оператором в следующих формах:
- Письменной: направляются почтой по адресу: 143401, Московская Область, г. Красногорск, б-р. Строителей, д. 4, к. 1, этаж 8, кабинет 819.
- Электронной: направляются на адрес электронной почты: info@merlion.com.
- Лично: передаются сотруднику Оператора по адресу: 143401, Московская Область, г. Красногорск, б-р. Строителей, д. 4, к. 1, этаж 8, кабинет 819.

Предоставление информации и/или принятие иных мер в связи с поступлением обращений и/или запросов производится в объеме и сроки, предусмотренные законодательством Российской Федерации. Установленный срок ответа на обращение и/или запрос о предоставлении информации, касающейся обработки персональных данных, может быть продлен на основании установленных ограничений с направлением в адрес субъекта персональных данных мотивированного уведомления, содержащего сведения о причинах продления срока предоставления запрашиваемой информации.

Запрос/сообщение	Срок исполнения
Информация о наличии/отсутствии ПД	10 рабочих дней с даты получения запроса от субъекта ПД. Срок может быть продлен не более чем на 5 рабочих дней при условии направления мотивированного уведомления субъекту ПД с указанием причин продления.
Изменение/Актуализация ПД	7 рабочих дней со дня предоставления подтверждающих сведений субъектом ПД.
Уничтожение незаконно полученных/избыточных ПД	7 рабочих дней со дня предоставления подтверждающих сведений субъектом ПД.
Неправомерная обработка ПД	3 рабочих дня с даты выявления неправомерной обработки для прекращения обработки, 10 рабочих дней для уничтожения ПД.
Отзыв согласия на обработку ПД	Незамедлительно прекратить обработку ПД, за исключением случаев, когда обработка может осуществляться без согласия субъекта (например, в силу закона или договора). Уничтожение ПД (или обеспечение прекращения обработки) в срок до 30 дней с даты поступления отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами (например, в случае исполнения требований законодательства).
Предоставление информации уполномоченному органу (Роскомнадзору)	10 рабочих дней с даты получения запроса от Роскомнадзора. Возможно продление на 5 рабочих дней с мотивированным уведомлением.

Оператор, получив обращение и/или запрос и убедившись в его законности, предоставляет ему сведения, указанные в запросе, в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, и/или принимает иные меры в зависимости от специфики (особенностей) обращения и/или запроса. Предоставляемые Оператором сведения не могут содержать персональные данные, принадлежащие другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
Оператор вправе отказать в удовлетворении требований, указанных в обращении и/или запросе, путем направления ему мотивированного отказа, если у Оператора в соответствии с законодательством Российской Федерации имеются законные основания отказать в выполнении/удовлетворении поступивших требований.
Запросы (обращения) субъектов персональных данных регистрируются в реестре/журнале учета обращений (запросов) субъектов персональных данных.
Сроки предоставления информации или принятия мер в связи с поступлением обращений и/или запросов могут быть продлены до 6 месяцев при отсутствии у Оператора технической возможности уничтожить ПД в более короткие сроки.
Детальный порядок реагирования на запросы (обращения) субъектов персональных данных утвержден Регламентом реагирования на запросы (обращения) субъектов персональных данных Оператора.

МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ
1. При обработке ПД Оператор принимает необходимые правовые, организационные и технические меры для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПД, а также от иных неправомерных действий в отношении ПД.
2. Обеспечение безопасности ПД достигается, в частности:
  - назначением ответственного лица за организацию обработки ПД;
  - изданием документов, определяющих политику Оператора в отношении обработки ПД, локальных актов по вопросам обработки и защиты ПД, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
  - определением модели угроз безопасности персональным данным при их обработке в информационных системах персональных данных;
  - применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных субъектов, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности персональных данных;
  - обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
  - установлением правил доступа к персональным данным, обрабатываемым в информационных системах персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационных системах персональных данных;
  - осуществлением внутреннего контроля соответствия обработки персональных данных требованиям законов и нормативных правовых актов, требованиям к защите ПД, политике Оператора в отношении обработки ПД, локальным актам Оператора;
  - проведением оценки вреда, который может быть причинен субъектам ПД в случае нарушения требований законодательства Российской Федерации;
  - должностные инструкции ответственных лиц дополнены обязанностями по защите персональных данных;
  - работники Оператора, непосредственно осуществляющие обработку ПД, ознакомлены с положениями законодательства Российской Федерации о ПД, в том числе с требованиями к защите ПД, документами, определяющими политику Оператора в отношении обработки ПД, локальными актами Оператора по вопросам обработки ПД, проведено обучение работников.
3. Уровни защищенности персональных данных при их обработке в информационных системах персональных данных Оператора, требования к защите персональных данных, обеспечивающих уровни защищенности персональных данных, определяются в зависимости от актуальных угроз безопасности персональным данным с учётом возможного вреда субъекту персональных данных, объёма и содержания обрабатываемых персональных данных, вида деятельности, при осуществлении которого обрабатываются персональные данные в соответствии с требованиями Постановлений Правительства Российской Федерации, подзаконных нормативных правовых актов ФСТЭК России, ФСБ России и Минцифры России, а также договорами между Оператором, операторами персональных данных и субъектами персональных данных.
4. Использование, хранение и иная обработка биометрических персональных данных Оператором не осуществляется.
5. Защита персональных данных �