Политика ООО «Ле Пакс» в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика общества с ограниченной ответственностью «Ле Пакс» в отношении обработки персональных данных (далее – Политика) является основополагающим внутренним документом, разработанным во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных). Политика определяет ключевые принципы, цели, правовые основания, условия и порядок обработки персональных данных в целях обеспечения надлежащей защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Политика действует в отношении всех персональных данных, которые обрабатывает общество с ограниченной ответственностью «Ле Пакс» (далее – Оператор, ООО «Ле Пакс»).

1.3. Политика распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики, и является обязательной для исполнения всеми работниками Оператора, имеющими доступ к персональным данным.

1.4. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на официальном сайте Оператора.

1.5. Основные понятия, используемые в Политике:

• персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
• оператор персональных данных (оператор) – юридическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
• обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без их использования с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
• распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
• предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

1.6. Основные права и обязанности Оператора.

1.6.1. Оператор имеет право:

1. самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами;
2. поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку по поручению Оператора, обязано соблюдать принципы и правила обработки, предусмотренные Законом;
3. в случае отзыва субъектом персональных данных согласия на обработку персональных данных продолжить обработку без согласия при наличии оснований, указанных в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Закона о персональных данных.

1.6.2. Оператор обязан:

1. организовывать обработку персональных данных в соответствии с требованиями Закона о персональных данных;
2. обеспечивать неограниченный доступ к настоящей Политике;
3. принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа;
4. отвечать на обращения и запросы субъектов персональных данных и их законных представителей в сроки, установленные Законом о персональных данных;
5. сообщать в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) по запросу этого органа необходимую информацию в течение 10 рабочих дней с даты получения такого запроса.

1.7. Основные права субъекта персональных данных. Субъект персональных данных имеет право:

1. получать информацию, касающуюся обработки его персональных данных, в порядке и сроки, предусмотренные Законом о персональных данных;
2. требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
3. отозвать согласие на обработку персональных данных;
4. обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействие Оператора при обработке его персональных данных.

1.8. Контроль за исполнением требований настоящей Политики осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных у Оператора, назначаемым приказом Генерального директора.

2. Цели обработки персональных данных

2.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

2.2. Обработка Оператором персональных данных осуществляется в следующих целях:

• осуществление своей деятельности в соответствии с уставом ООО «Ле Пакс», в том числе заключение и исполнение договоров с контрагентами;
• исполнение трудового законодательства в рамках трудовых и иных непосредственно связанных с ним отношений, в том числе содействие работникам в трудоустройстве, привлечение и отбор кандидатов на работу;

2.3. Обработка Оператором персональных данных осуществляется в следующих целях:

• В сфере трудовых отношений:
• o осуществление процесса подбора и найма персонала, рассмотрение резюме и анкет кандидатов;
• o заключение, исполнение и прекращение трудовых договоров;
• o ведение кадрового делопроизводства в соответствии с Трудовым кодексом РФ;
• o расчет и начисление заработной платы, премий, иных вознаграждений, удержание налогов и отчислений во внебюджетные фонды;
• o организация постановки на индивидуальный (персонифицированный) учет работников в системах обязательного пенсионного и социального страхования;
• o организация обучения, аттестации, повышения квалификации и профессиональной переподготовки работников;
• o предоставление работникам и членам их семей предусмотренных законодательством льгот и компенсаций;
• o ведение воинского учета;
• o обеспечение личной безопасности работников и сохранности имущества.
• В сфере осуществления основной деятельности:
• o осуществление своей деятельности в соответствии с уставом ООО «Ле Пакс» в области права, включая предоставление юридических консультаций, комплексное правовое обслуживание бизнеса, представление интересов клиентов в государственных органах и в рамках судебных разбирательств, а также разработку и анализ правовой документации и иные правовые вопросы в зависимости от запросов заказчиков услуг.
• o заключение, исполнение, изменение и расторжение гражданско-правовых договоров;
• o предоставление правовых консультаций и ведение деловой переписки с представителями контрагентов;
• o ведение бухгалтерского и налогового учета, формирование и предоставление отчетности.
• В иных сферах:
• o исполнение судебных актов, актов других органов или должностных лиц, подлежащих исполнению в соответствии с законодательством РФ об исполнительном производстве;
• o обеспечение функционирования корпоративного веб-сайта и обработка заявок,

3. Правовые основания обработки персональных данных

3.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе:

• Конституция Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 08.02.1998 N 14-ФЗ «Об обществах с ограниченной ответственностью»;
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
• Федеральный закон от 15.12.2001 N 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
• Федеральный закон от 01.04.1996 N 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
• иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.

3.2. Правовым основанием обработки персональных данных также являются:

• устав ООО «Ле Пакс»;
• договоры, заключаемые между Оператором и субъектами персональных данных (включая трудовые договоры и договоры гражданско-правового характера);
• согласие субъектов персональных данных на обработку их персональных данных.

4. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных

4.1. Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям их обработки.

4.2. Оператор может обрабатывать персональные данные следующих категорий субъектов:

4.2.1. Кандидаты для приема на работу к Оператору (для целей исполнения трудового законодательства):

• фамилия, имя, отчество;
• пол;
• гражданство;
• дата и место рождения;
• контактные данные (номер телефона, адрес электронной почты);
• сведения об образовании, опыте работы, квалификации;
• сведения о прохождении курсов повышения квалификации и профессиональной переподготовки;
• сведения о знании иностранных языков;
• сведения о семейном положении;
• сведения о воинском учете;
• сведения о трудовой деятельности (включая данные трудовой книжки, сведения о поощрениях, награждениях и (или) дисциплинарных взысканиях);
• сведения о доходе с предыдущего места работы (при предоставлении);
• иные данные, указанные кандидатом в резюме, сопроводительных письмах, анкетах или сообщенные в ходе собеседования.

4.2.2. Работники и бывшие работники Оператора (для целей исполнения трудового законодательства):

• фамилия, имя, отчество;
• пол;
• гражданство;
• дата и место рождения;
• изображение (фотография для пропуска или личного дела);
• паспортные данные;
• адрес регистрации по месту жительства и адрес фактического проживания;
• контактные данные;
• индивидуальный номер налогоплательщика (ИНН);
• страховой номер индивидуального лицевого счета (СНИЛС);
• сведения о воинском учете;
• сведения об образовании, квалификации, профессиональной подготовке и повышении квалификации (включая реквизиты дипломов, сертификатов, удостоверений);
• сведения о трудовой деятельности (включая данные трудовой книжки, сведения о поощрениях, награждениях и (или) дисциплинарных взысканиях);
• сведения о семейном положении, составе семьи, наличии детей, родственных связях;
• сведения о социальных льготах;
• сведения о доходах (заработная плата, премии и т.д.), реквизиты банковского счета для перечисления заработной платы;
• сведения об удержании алиментов;
• сведения об инвалидности (если применимо для предоставления льгот);
• данные о регистрации брака;
• табельный номер.

4.2.3. Клиенты Оператора (физические лица) (для целей заключения и исполнения договоров, реализации программ лояльности):

• фамилия, имя, отчество;
• паспортные данные;
• ИНН, СНИЛС;
• контактные данные (телефон, e-mail).

4.2.4. Представители (работники) клиентов и контрагентов Оператора (юридических лиц)(для целей заключения и исполнения договоров):

• фамилия, имя, отчество;
• паспортные данные (в случаях, предусмотренных законом или договором для идентификации);
• контактные данные (рабочий и мобильный телефон, адрес электронной почты);
• замещаемая должность;
• наименование организации;
• данные доверенности (номер, дата, срок действия, объем полномочий).

4.2.5. Представители субподрядных организаций, привлекаемых для выполнения работ:

• фамилия, имя, отчество;
• должность;
• паспортные данные;
• контактные данные (рабочий и мобильный телефон, адрес электронной почты);
• наименование организации;
• данные доверенности (номер, дата, срок действия, объем полномочий).
• сведения о квалификации, аттестации (например, в Ростехнадзоре) и прохождении инструктажей по охране труда и промышленной безопасности.

4.3. Оператором не осуществляется обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, личной жизни, за исключением случаев, предусмотренных законодательством РФ.

5. Порядок и условия обработки персональных данных

5.1. Обработка персональных данных осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации, а также локальных актов Оператора.

5.2. Обработка персональных данных осуществляется с согласия субъектов персональных данных на обработку их персональных данных, а также без такового в случаях, предусмотренных законодательством Российской Федерации.

5.3. Оператор осуществляет обработку персональных данных следующими способами: неавтоматизированная обработка; автоматизированная обработка с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой; смешанная обработка персональных данных.

5.4. К обработке персональных данных допускаются работники Оператора, в должностные обязанности которых входит обработка персональных данных. Указанные работники имеют право получать только те персональные данные, которые необходимы им для выполнения своих должностных функций. В целях осуществления своей деятельности Оператор вправе поручать обработку персональных данных третьим лицам (обработчикам), в том числе компаниям, оказывающим услуги по ведению кадрового и бухгалтерского учета и иной вид сопровождения деятельности Оператора.

5.5. Не допускается раскрытие третьим лицам и распространение персональных данных без согласия субъекта, если иное не предусмотрено федеральным законом. Согласие на обработку ПДн, разрешенных для распространения, оформляется отдельно от иных согласий (требования к содержанию такого согласия утверждены Приказом Роскомнадзора от 24.02.2021 N 18). Передача персональных данных органам дознания и следствия, в Федеральную налоговую службу, Социальный фонд России и другие уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства РФ.

5.6. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий в том числе: в том числе:

• определяет угрозы безопасности персональных данных при их обработке в информационных системах;
• принимает локальные нормативные акты и иные документы, регулирующие отношения в сфере обработки и защиты персональных данных;
• назначает лиц, ответственных за обеспечение безопасности персональных данных;
• создает необходимые условия для работы с персональными данными;
• организует учет документов, содержащих персональные данные;
• организует работу с информационными системами, в которых обрабатываются персональные данные;
• хранит персональные данные в условиях, при которых обеспечивается их сохранность и исключается неправомерный доступ к ним;
• организует обучение работников, осуществляющих обработку персональных данных.

5.7. Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом или договором.

5.8. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

5.9. Оператор прекращает обработку персональных данных в следующих случаях:

• достигнута цель их обработки;
• истек срок действия или отозвано согласие субъекта персональных данных на обработку;
• выявлен факт их неправомерной обработки.

5.10. При сборе персональных данных, в том числе посредством сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации

6. Актуализация, исправление, удаление, уничтожение персональных данных, ответы на запросы субъектов

6.1. Подтверждение факта обработки персональных данных Оператором, правовые основания и цели обработки, а также иные сведения, указанные в части 7 статьи 14 Закона о персональных данных, предоставляются Оператором субъекту персональных данных или его представителю в течение 10 (десяти) рабочих дней с момента обращения либо получения запроса. Данный срок может быть продлен, но не более чем на 5 (пять) рабочих дней с направлением мотивированного уведомления с указанием причин продления. В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам.

6.2. В случае выявления неточных персональных данных при обращении субъекта или его представителя либо по их запросу или по запросу Роскомнадзора Оператор осуществляет блокирование персональных данных с момента такого обращения на период проверки. В случае подтверждения факта неточности Оператор на основании сведений, представленных субъектом, уточняет персональные данные в течение 7 (семи) рабочих дней со дня представления таких сведений и снимает блокирование.

6.3. В случае выявления неправомерной обработки персональных данных Оператор в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, прекращает неправомерную обработку. Об устранении допущенных нарушений Оператор уведомляет субъекта.

6.4. При достижении цели обработки персональных данных, а также в случае отзыва субъектом согласия на их обработку, Оператор обязан прекратить их обработку и уничтожить данные в срок, не превышающий 30 (тридцати) дней с даты достижения цели или получения отзыва, если иное не предусмотрено договором или законом.

6.5. Условия и сроки уничтожения персональных данных Оператором:

• достижение цели обработки либо утрата необходимости достигать эту цель – в течение 30 (тридцати) дней;
• достижение максимальных сроков хранения документов, содержащих персональные данные, – в течение 30 (тридцати) дней;
• отзыв субъектом согласия на обработку его персональных данных, если их сохранение более не требуется для цели их обработки, – в течение 30 (тридцати) дней;
• предоставление субъектом подтверждения того, что персональные данные получены незаконно или не являются необходимыми для заявленной цели обработки, – в течение 7 (семи) рабочих дней.

6.5.1. При достижении цели обработки, а также в случае отзыва субъектом согласия на обработку, персональные данные подлежат уничтожению, если:

• иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект;
• Оператор не вправе осуществлять обработку без согласия субъекта на основаниях, предусмотренных Законом о персональных данных;
• иное не предусмотрено другим соглашением между Оператором и субъектом.

6.6. В случае выявления факта неправомерной или случайной передачи (утечки) персональных данных, Оператор:

• в течение 24 часов уведомляет Роскомнадзор о произошедшем инциденте;
• в течение 72 часов уведомляет Роскомнадзор о результатах внутреннего расследования.