ПОЛИТИКА
ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
________________________________
ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика обработки персональной данных (далее – Политика) действует в отношении всей информации, которую _________ (далее – «Общество»), может получить от клиентов в рамках заключенных договоров на реализацию туристского продукта и от работников в рамках заключенных трудовых договоров.
1.2. Общество обеспечивает защиту обрабатываемых персональных данных от несанкционированного доступа и разглашения, неправомерного использования или утраты в соответствии с требованиями и нормами:
- Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных";
- ФЗ «Об основах туристской деятельности в РФ» № 132-ФЗ от 24.11.1996 г.
ТЕРМИНЫИ ПРИНЯТЫЕ СОКРАЩЕНИЯ
Персональные данные (далее - ПД) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Персональные данные, сделанные общедоступными субъектом персональных данных - ПД, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе.
Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Субъекты ПД:
- физические лица (субъекты персональных данных), заключившие с Обществом письменный договор на реализацию туристского продукта, который формируется Туроператором;
- физические лица (субъекты персональных данных), в отношении которых заказчик туристского продукта заключил с Обществом письменный договор на реализацию туристского продукта, который формируется Туроператором.
- физические лица, вступившее в трудовые отношения с Обществом.
ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ
Получение ПД
3.1.1.Все ПД следует получать у субъекта ПД. ПД могут быть получены не у субъекта ПД, если они получены в связи с исполнением договора, стороной которого или выгодоприобретателем по которому является субъект ПД.
3.1.2. Документы, содержащие ПД, создаются путем внесения сведений в учетные формы бланков документов (заявка, договор на реализацию туристского продукта).
3.1.3. Электронные базы данных, создаются путем заполнения форм регистрации, форм бронирования на сайте Общества.
Обработка ПД
3.2.1. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
3.2.2. Обработка персональных данных осуществляется Обществом исключительно для достижения целей, определенных договором между Субъектом и Обществом.
3.2.3. Категории обрабатываемых персональных данных: фамилия, имя, отчество, год, месяц и дата и рождения, место рождения, гражданство, адрес, образование, профессия, должность, место работы, стаж работы, семейное положение, состав семьи, серия номер паспорта, дата выдачи паспорта, орган выдавший паспорт, данные заграничного паспорта, номер телефона, адрес электронной почты, факс, сведения о доходах, пенсионное свидетельство.
3.2.4. Обработка персональных данных ведется как с использованием, так и без использования средств автоматизации.
Хранение ПД
3.3.1. ПД клиентов могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных так и на электронных носителях.
3.3.2. ПД работников могут быть получены только на бумажных носителях, проходить дальнейшую обработку и передаваться на хранение как на бумажных, так и на электронных носителях.
3.3.3. ПД, зафиксированные на бумажных носителях, хранятся в специальном шкафу.
3.3.4 Не допускается хранение и размещение документов, содержащих ПД, в открытых для общего доступа местах.
3.3.5. Хранение ПД в форме, позволяющей определить субъекта ПД, осуществляется в течение 3 лет, они подлежат уничтожению по достижении указанного срока или в случае утраты необходимости в их хранении (в случае отзыва субъектом согласия на обработку ПД).
Уничтожение ПД
3.4.1. Уничтожение документов, содержащих ПД, производится механическим путем. Допускается применение шредера. Уничтожение электронных носителей ПД, производится путем форматирования.
3.4.2. Для организации уничтожения ПД издается приказ Управляющего, определяющий:
- состав комиссии по уничтожению ПД,
- основание и состав документов ПД, подлежащих уничтожению,
- срок и способ уничтожения.
3.4.3. Факт уничтожения ПД подтверждается документально актом об уничтожении, подписанным членами комиссии.
Передача ПД
3.5.1. Для целей исполнения договора, заключенного между Субъектом и Обществом ПД передаются следующим третьим лицам: Туроператору, указанному в договоре на реализацию туристского продукта, перевозчику, указанному в договоре на перевозку, месту размещения (гостиница, база отдыха), указанному в договоре на размещение, налоговым органам, органам социального и пенсионного страхования.
3.5.2. Передача осуществляется с согласия субъекта ПД.
3.5.3. Передача ПД осуществляется с помощью сети Интернет, курьером или почтовой службой.
ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. В соответствии с требованиями нормативных документов в Обществе создана система защиты персональных данных (СЗПД), состоящая из подсистем правовой, организационной и технической защиты.
4.2. Подсистема правовой защиты представляет собой комплекс правовых, организационно-распорядительных и нормативных документов, обеспечивающих создание, функционирование и совершенствование СЗПД.
4.3. Подсистема организационной защиты включает в себя организацию структуры управления СЗПД, разрешительной системы, защиты информации при работе с сотрудниками и партнерами.
4.4. Подсистема технической защиты включает в себя комплекс технических, программных средств обеспечивающих защиту ПД.
4.5. Основными мерами защиты ПД, используемыми Обществом, являются:
4.5.1. назначение лица ответственного за обработку ПД, которое помимо прочего обязано осуществлять внутренний контроль за соблюдением Обществом и его работниками требований к защите ПД, а также доводить до сведения работников положений и требований к защите ПД;
4.5.2. оценка вреда, который может быть причинен субъектам ПД в случае нарушения Федерального закона «О персональных данных» №152-ФЗ от 27 июля 2006 года, соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» №152-ФЗ от 27 июля 2006 года;
4.5.3. разработка политики в отношении обработки персональных данных, реализуемых требований к защите персональных данных;
4.5.4. установление правил доступа к ПД, обрабатываемых в ИСПД, а также обеспечения регистрации и учета всех действий, совершаемых с ПД в ИСПД;
4.5.5. индивидуальные пароли доступа сотрудников в информационную систему;
4.5.6. применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
4.5.7. сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами;
4.5.8. хранение конфиденциальных документов в помещениях с ограниченным доступом;
4.5.9. организация учета машинных носителей персональных данных;
4.5.10. обнаружение фактов несанкционированного доступа к персональным данным и принятия мер;
4.5.11. восстановление ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
4.5.12. ознакомление работников Общества, непосредственно осуществляющих обработку персональных данных, с нормами законодательства Российской Федерации о персональных данных, в том числе с требованиям к защите персональных данных, с документами, определяющими политику Общества в отношении обработки персональных данных, и локальным актам по вопросам обработки персональных данных; 4.5.13. осуществление внутреннего контроля.