Политика безопасности в отношении обработки и защиты персональных данных

Общие положения

1.1. Настоящая Политика безопасности определяет основные принципы, цели и порядок обработки персональных данных, а также меры по обеспечению их безопасности, принимаемые ООО «Фкор» (далее — Оператор).

1.2. Политика является общедоступным документом и действует в отношении всей информации, которую Оператор может получить о субъектах персональных данных в рамках осуществляемой деятельности.

1.3. Действие Политики распространяется на все процессы обработки персональных данных, осуществляемые Оператором, в том числе с использованием средств автоматизации и без их использования.

1.4. Политика обязательна для ознакомления и исполнения всеми сотрудниками Оператора, имеющими доступ к персональным данным.

Термины и определения

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных — любое действие (операция) или совокупность действий, совершаемых с использованием средств автоматизации или без их использования с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.

2.3. Оператор персональных данных — ООО «Фкор», самостоятельно или совместно с другими лицами организующее обработку персональных данных.

2.4. Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Цели обработки персональных данных

3.1. Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей: заключение и исполнение договоров с Заказчиками; оказание услуг в соответствии с договорами; техническая поддержка пользователей платформ; исполнение требований законодательства Российской Федерации; иные цели, предусмотренные договорами и законодательством.

3.2. Не допускается обработка персональных данных, несовместимая с целями, заявленными при сборе данных.

Объём и категории обрабатываемых персональных данных

4.1. В рамках своей деятельности Оператор может обрабатывать следующие категории персональных данных: общие персональные данные (фамилия, имя, отчество, должность, место работы, корпоративная электронная почта, корпоративный номер телефона); данные авторизации (логины, хеши паролей, токены доступа, IP-адреса, сведения о сессиях); лог-данные (информация о действиях пользователей в информационных системах Оператора, время запросов, используемые функции); контактные данные (адрес электронной почты и номер телефона для связи, если предоставлены субъектом).

4.2. Оператор не обрабатывает специальные категории персональных данных, предусмотренные статьёй 10 152-ФЗ (сведения о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья).

4.3. Все базы данных, содержащие персональные данные граждан Российской Федерации, размещены на серверах, расположенных на территории Российской Федерации, в соответствии с требованиями статьи 18 152-ФЗ о локализации данных.

Правовые основания и условия обработки

5.1. Обработка персональных данных осуществляется Оператором на следующих основаниях: заключение и исполнение договоров с субъектами персональных данных; согласие субъекта персональных данных на обработку его данных, выраженное в письменной или электронной форме; исполнение требований федеральных законов, в том числе по предоставлению информации в государственные органы; иные основания, предусмотренные Федеральным законом № 152-ФЗ.

5.2. Субъект персональных данных вправе отозвать своё согласие на обработку данных путём направления письменного уведомления Оператору. В этом случае Оператор прекращает обработку данных и обеспечивает их уничтожение в срок, установленный законодательством, если иное не предусмотрено договором или законом.

5.3. Оператор не передаёт персональные данные третьим лицам без согласия субъекта, за исключением случаев, предусмотренных федеральным законом.

Меры по защите персональных данных

6.1. Оператор принимает все необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.

6.2. Организационные меры включают: назначение лица, ответственного за организацию обработки персональных данных; разработку локальных актов по обработке и защите персональных данных; проведение инструктажей и обучение сотрудников; организацию допуска сотрудников к данным по принципу минимальной необходимости; подписание сотрудниками соглашений о неразглашении.

6.3. Технические меры включают: изоляцию данных клиентов на уровне базы данных (Row-Level Security); хранение учётных данных и ключей доступа в защищённом хранилище секретов (HashiCorp Vault); аутентификацию пользователей через OAuth 2.0 / SSO; шифрование каналов связи с использованием TLS 1.3; шифрование персональных данных при хранении; ведение журналов аудита всех операций с персональными данными; регулярное резервное копирование и тестирование восстановления данных; антивирусную защиту и регулярное обновление программного обеспечения; использование систем обнаружения и предотвращения вторжений.

6.4. Физические меры включают ограничение доступа в помещения с серверным оборудованием, организацию пропускного режима и защиту от несанкционированного проникновения.

Права субъектов персональных данных

7.1. Субъекты персональных данных имеют право: получать информацию, касающуюся обработки их персональных данных, в порядке и сроки, предусмотренные 152-ФЗ; требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки; отозвать своё согласие на обработку персональных данных; обжаловать неправомерные действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

7.2. Запросы субъектов персональных данных рассматриваются Оператором в срок, установленный законодательством (не более 30 дней), с предоставлением письменного ответа.

Порядок действий при инцидентах

8.1. В случае выявления факта неправомерной передачи или доступа к персональным данным без законных оснований Оператор обязан: в течение 24 часов с момента выявления инцидента уведомить Роскомнадзор о произошедшем; в течение 72 часов предоставить в Роскомнадзор полные сведения о результатах внутреннего расследования, включая предполагаемый объём утечки и принятые меры.

8.2. Одновременно с уведомлением Роскомнадзора Оператор уведомляет субъектов персональных данных, чьи данные могли быть скомпрометированы, и принимает все возможные меры по минимизации последствий инцидента.

Ответственность

9.1. Сотрудники Оператора, виновные в нарушении правил обработки и защиты персональных данных, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством Российской Федерации.

9.2. За нарушения требований 152-ФЗ предусмотрены штрафы для юридических лиц: за обработку данных без законных оснований — до 300 000 рублей, при повторном нарушении — до 500 000 рублей; за неуведомление Роскомнадзора об инциденте — до 300 000 рублей; за утечку персональных данных — от 5 до 15 миллионов рублей в зависимости от числа пострадавших субъектов; за повторную утечку — оборотный штраф в размере от 1% до 3% от годовой выручки.

Заключительные положения

10.1. Настоящая Политика является общедоступным документом и подлежит опубликованию на официальном сайте Оператора, обеспечивая неограниченный доступ для всех заинтересованных лиц.

10.2. Политика пересматривается не реже одного раза в год, а также при существенных изменениях в законодательстве о персональных данных, появлении новых технологических угроз или изменении структуры обрабатываемых данных.

10.3. По требованию Заказчика (в том числе в рамках тендерных процедур) Оператор предоставляет заверенную копию настоящей Политики, перечень реализованных мер по защите персональных данных и подтверждение соответствия требованиям 152-ФЗ.

Контактная информация

Оператор: ООО «Фкор»

Юридический адрес: 105005, г. Москва, Плетешковский пер, д. 3а стр. 1, помещ. 3п

ИНН: 9701325500 | ОГРН: 1267700063102

Email: fcore@fcore.ru | Телефон: 8 (800) 222 38-79

Генеральный директор: Николаев А.К.