Политика в отношении обработки персональных данных в ИП Мерзляков А.А. (отель «Исторический отель «Курхаус Кранц»)
«УТВЕРЖДЕНО», приказ № 2 от 19.01.2023 г.
ОСНОВНЫЕ ПОНЯТИЯ, ИСПОЛЬЗУЕМЫЕ В ПОЛИТИКЕ
Персональные данные – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных);
Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
Субъект персональных данных – физическое лицо, которое прямо или косвенно определено, или определяемо с помощью персональных данных;
Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных;
Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожается материальные носители персональных данных.
Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
Обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования;
Оператор персональных данных – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;
Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1 Настоящий документ (далее – Политика) определяет политику в отношении обработки персональных данных ИП Мерзляков А.А., расположенному по адресу: Калининградская область, г. Калининград, ул. Нарвская д. 81/41, (факт.адрес: Калининградская область, г. Зеленоградск, Курортный пр-т, 16) (далее – Оператор)
1.2 Настоящая Политика разработана во исполнение требований п.2ч.1 ст.18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных)
1.3 Понятия, содержащиеся в ст.3 Закона о персональных данных, используются в настоящей Политике с аналогичным значением.
1.4 Действие настоящей Политики распространяется на все операции, совершаемые Оператором с персональными данными с использованием средств автоматизации или без их использования.
1.5 Права и обязанности Оператора:
1.5.1. Оператор имеет право:
получать от субъекта персональных данных достоверные информацию и/или документы, содержащие персональные данные;
требовать от субъекта персональных данных своевременного уточнениям предоставленных персональных данных.
1.5.2. Оператор обязан:
обрабатывать персональные данные в порядке, установленном действующим законодательством РФ;
рассматривать обращения субъекта персональных данных (его законного представителя) по вопросам обработки персональных данных и давать мотивированные ответы;
предоставлять субъекту персональных данных (его законному представителю) возможность безвозмездного доступа к его персональным данным;
принимать меры по уточнению, уничтожению персональных данных субъекта персональных данных в связи с его (его законного представителя) обращением с законными и обоснованными требованиями;
организовывать защиту персональных данных в соответствии с требованиями законодательства РФ.
1.6. Основные права и обязанности субъектов персональных данных.
1.6.1. Субъект персональных данных имеет право:
на полную информацию о его персональных данных, обрабатываемых Оператором;
на доступ к своим персональным данным, включая право на получение копии любой записи, содержащей его персональные данные;
на уточнение его персональных данных, блокирование или уничтожение в случаях, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
на прекращение обработки его персональных данных по требованию;
на отзыв согласия на обработку персональных данных;
на принятие предусмотренных законом мер по защите своих прав.
1.6.2. Субъект персональных данных обязан:
предоставлять Оператору только достоверные данные о себе;
предоставлять документы, содержащие персональные данные в объеме, необходимом для цели обработки;
сообщать Оператору об уточнении (обновлении, изменении) своих персональных данных.
1.6.3. Лица, передавшие Оператору недостоверные сведения о себе, либо сведения о другом субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством РФ.
2. ОБЪЕМ И КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ, КАТЕГОРИЙ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ, ЦЕЛИ СБОРА ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1. Персональные данные обрабатываются Оператором в следующих целях:
2.1.1. Организация проживания и временного размещения в отеле «Курхаус Кранц»:
Категории обрабатываемых персональных данных: иные.
Перечень обрабатываемых персональных данных: фамилия, имя, отчество, пол, дата рождения, место рождения, гражданство, данные документа, удостоверяющего личность, место регистрации и место жительства, место работы, номера телефонов, адрес электронной почты.
Категории субъектов персональных данных: физические лица (гости), состоящие в договорных отношениях с Оператором.
Способы обработки персональных данных: смешанная.
Сроки обработки и хранения: до достижения целей обработки.
2.1.2. Получение отзывов о качестве сервиса отеля «Курхаус Кранц»:
Категории обрабатываемых персональных данных: иные.
Перечень обрабатываемых персональных данных: фамилия, имя, отчество, адрес электронной почты, телефон.
Категории субъектов персональных данных: физические лица (гости), состоящие в договорных отношениях с Оператором.
Способы обработки персональных данных: смешанная.
Сроки обработки и хранения персональных данных: до достижения цели обработки.
2.1.3. Ведение кадрового и бухгалтерского делопроизводства.
Категории обрабатываемых персональных данных: иные, специальные.
Перечень обрабатываемых персональных данных: фамилия, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего личность, сведения о дате выдаче и выдавшем его органе, полис обязательного медицинского страхования, данные документов об образовании и о квалификации (наименовании образовательного учреждения, специальность и квалификация по документу об образовании, серия и номер документа об образовании), данные документов о воинской обязанности и (или) воинском учете (воинское звание, состав, рода войск, военный билет, приписное свидетельство), данные документов о состоянии здоровья (паспорт здоровья, результаты анализов и исследований при прохождении работниками медицинских осмотров), данные документов об актах гражданского состояния (рождение, заключение брака, расторжение брака, усыновление (удочерение), установление отцовства, перемена имени и смерть), данные о занимаемых ранее должностях и стаже работы (сведения о продолжительности общего трудового стажа, страхового стажа, непрерывного стажа и др.), данные свидетельства о постановке на учет физического лица в налоговом органе, почтовый и электронный адреса, абонентские номера телефонов (личные и рабочие).
категории субъектов персональных данных: работники, состоящие в трудовых отношениях с Оператором, физические лица (гости), состоящие в договорных отношениях с Оператором.
способы обработки персональных данных: смешанная.
Сроки обработки и хранения: до достижения цели обработки.
2.1.4. Направление рассылок об услугах Оператора.
Категории обрабатываемых персональных данных: иные.
Перечень обрабатываемых персональных данных: номер телефона, адрес электронной почты.
Категории субъектов персональных данных: физические лица (гости), состоящие в договорных отношениях с Оператором.
Способы обработки персональных данных: смешанная.
Сроки обработки и хранения: до достижения цели обработки.
2.1.5. Обеспечение безопасности, осуществление пропускного и внутриобъектового режима:
категории обрабатываемых персональных данных: иные, биометрические.
перечень обрабатываемых персональных данных: фамилия, имя, отчество, должность, биометрические персональные данные, такие как, фотографическое изображение, видеоизображение.
категории субъектов персональных данных: работники, состоящие в трудовых отношениях с Оператором.
способы обработки персональных данных: смешанная.
сроки обработки и хранения: до прекращения трудовых отношений с работником.
2.1.6. Выплата заработной платы сотрудникам, а также иных выплат, предусмотренных трудовым законодательством:
категории субъектов персональных данных: работники, состоящие в трудовых отношениях с Оператором.
способы обработки персональных данных: смешанная.
2.1.7. Рассмотрение кандидатуры для трудоустройства и учет в кадровом резерве:
категории обрабатываемых персональных данных: иные.
перечень обрабатываемых персональных данных: фамилия, имя, отчество, дата и место рождения, сведения о семейном положении, сведения о регистрации по месту жительства и по месту временного пребывания, сведения об основном документе, удостоверяющем личность (серия, номер, дата выдачи, код подразделения), ИНН, СНИЛС, сведения об образовании и квалификации работника, сведения о работе на текущем и предыдущих местах работы, адрес электронной почты, абонентский телефонный номер.
категории субъектов персональных данных: физические лица (кандидаты на вакантные должности).
способы обработки персональных данных: смешанная.
сроки обработки и хранения: на срок, необходимый для рассмотрения кандидатуры и принятия решения о приеме либо об отказе в приеме на работу. Для включения в кадровый резерв – на срок с момента направления согласия на обработку персональных данных Оператору до момента отзыва согласия на обработку персональных данных посредством письменного заявления, адресованного Оператору.
2.2. Уничтожение персональных данных для всех целей обработки персональных данных осуществляется следующим способом:
для уничтожения материальных носителей персональных данных приказом создается комиссия по уничтожению персональных данных из состава сотрудников Оператора. Физическое уничтожение материальных носителей персональных данных в бумажном виде производится путем шредирования – уничтожение документа посредством его разрезания на мелкие полосы либо кусочки в специальном устройстве, либо специализированной организацией, с которой у Оператора заключено соответствующее соглашение. Уничтожение осуществляется на территории сторонней организации в присутствии членов комиссии. Акты об уничтожении материальных носителей персональных данных хранятся у ответственного за обеспечение безопасности персональных данных.
2.3. Оператор обеспечивает соответствие содержания и объема обрабатываемых персональных данных заявленных целям обработки.
2.4. Оператор обрабатывает биометрические персональные данные при условии письменного согласия соответствующих субъектов персональных данных, а также в иных случаях, предусмотренных законодательством Российской Федерации.
2.5. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, Оператором не осуществляется.
2.6. Трансграничная передача персональных данных Оператором не осуществляется.
3. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
3.1. Правовыми основаниями обработки персональных данных Оператором являются:
«Конституция Российской Федерации» (принята всенародным голосованием 12.12.1993 с изменениями, одобренными в ходе общероссийского голосования 01.07.2020);
«Трудовой кодекс Российской Федерации» от 30.12.2001 № 197-ФЗ, ред. от 30.04.2021, с изм. и доп., вступившими в силу с 01.05.2021;
Гражданский кодекс Российской Федерации от 30.11.1994 г.№ 51-ФЗ;
Федеральный закон от 27 июня 2006 г.№ 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Федеральный закон от 26 декабря 2008 г. № 294-ФЗ « О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля»;
Указ Президента РФ от 6 марта 1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера»;
Постановление Правительства Российской Федерации от 06 июля 2008 г. № 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;
Постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при обработке в информационных системах персональных данных»;
Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении состава и содержания организационных и технических- мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
Договоры, заключаемые между Оператором и субъектами персональных данных;
Согласия субъектов персональных данных на обработку персональных данных;
Иные основания, когда согласие на обработку персональных данных не требуется в силу закона.
4. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. Обработка персональных данных Оператором осуществляется следующими способами:
автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники (п.4 ст.3 152-ФЗ)
4.2. Перечень действий, совершаемых Оператором с персональными данными: сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передача), блокирование, уничтожение, а также осуществление любых иных действий в соответствии с действующим законодательством РФ.
4.3. Обработка персональных данных осуществляется оператором при условии получения согласия субъекта персональных данных (далее – Согласие), за исключением установленных законодательством РФ случаев, когда обработка персональных данных может осуществляться без такого Согласия.
4.4. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает Согласие свободно, своей волей и в своем интересе.
4.5. Согласие дается в любой позволяющей подтвердить факт его получения форме. В предусмотренных законодательством РФ случаях Согласие оформляется в письменной форме.
4.6. Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, обращение субъекта персональных данных с требованием о прекращении обработки персональных данных, истечение срока действия Согласия или отзыв Согласия субъектом персональных данных, а также выявление неправомерной обработки персональных данных.
4.7. Согласие может быть отозвано путем письменного уведомления, направленного в адрес Оператора заказным почтовым отправлением.
4.8. В соответствии с требованиями 152-ФЗ «О персональных данных» в договорах с лицами, осуществляющими обработку персональных данных по поручению Оператора, определен перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, установлены обязанности такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, указываются требования к защите обрабатываемых персональных данных в соответствии со ст.19 152-ФЗ «О персональных данных». Перечень третьих лиц утверждается приказом и предоставляется по письменному запросу.
4.9. Оператор при обработке персональных данных принимает или обеспечивает принятие необходимых мер для защиты персональных данных от неправомерного или случайного доступа к ним.
4.10. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, в течение срока не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных установлен федеральным законом, договором, стороной которого является субъект персональных данных.
4.11. При осуществлении хранения персональных данных Оператор использует базы данных, находящиеся на территории РФ.
5. АКТУАЛИЗАЦИЯ, ИСПРАВЛЕНИЕ, УДАЛЕНИЕ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, ОТВЕТЫ НА ЗАПРОСЫ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ НА ДОСТУП К ПЕРСОНАЛЬНЫМ ДАННЫМ.
5.1. Субъект персональных данных имеет право обращаться к Оператору по вопросам обработки своих персональных данных:
для получения информации, касающейся обработки его (субъекта) персональных данных;
для уточнения своих персональных данных, их блокирования или уничтожения, если они являются неточными, устаревшими;
для подачи жалобы на неправомерную обработку его (субъекта) персональных данных;
для отзыва своего согласия на обработку персональных данных.
5.2. Согласно требованиям 152-ФЗ «О персональных данных» запрос должен содержать:
серию, номер документа, удостоверяющего личность субъекта персональных данных (его представителя), сведения об органе и дате выдаче указанного документа;
сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором, либо сведения, подтверждающие факт обработки персональных данных Оператором;
подпись субъекта персональных данных (его представителя);
в случае, если запрос направлен представителем субъекта персональных данных, он должен содержать документ (копию документа), подтверждающий полномочия представителя.
5.3. Запросы субъектов персональных данных или их представителей принимаются по адресу: 238326 Калининградская область, г. Зеленоградск, Курортный пр-т, д. 16
Также запрос, подписанный электронной подписью, может быть направлен на адрес электронной почты: info@kurhaus.ru
5.4. Ответ на запрос направляется субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение или запрос, если иное не указано в обращении, в срок не превышающий 10 (десять) дней со дня обращения. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней с направлением мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
При отказе в предоставлении информации или осуществления действия, отраженного в запросе, субъекту направляется мотивированный ответ, содержащий ссылку на положение части 8 сч.14 152-ФЗ «О персональных данных» или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий 10 (десять) дней со дня обращения субъекта персональных данных или его представителя.
5.5. В случае выявления неправомерной обработки персональных данных или неточных персональных данных Оператор обеспечивает блокирование персональных данных на период проведения проверки.
5.6. В случае подтверждения факта неточности персональных данных Оператор обеспечивает уточнение персональных данных (в том числе при обработке персональных данных другим лицом, действующим по поручению), в течение 7 (семь) дней со дня предоставления таких сведений и снимает блокирование персональных данных.
5.7. В случае выявления неправомерной обработки персональных данных Оператор в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, обеспечивает прекращение неправомерной обработки персональных данных (в том числе при обработке персональных данных другим лицом, действующим по поручению).
5.8. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Оператор обеспечивает уничтожение персональных данных (в том числе при обработке персональных данных третьим лицом, действующим по поручению), в срок не превышающий 30 (тридцати) дней с даты поступления указанного отзыва (за исключением случаев мотивированного отказа в отзыве согласия, установленных законодательством Российской Федерации).
5.9. По истечению сроков хранения персональных данных, Оператор обеспечивает уничтожение персональных данных (в том числе при обработке персональных данных третьим лицом, действующим по поручению), в срок не превышающий 30 (тридцать) дней.
6. ОБЕСПЕЧЕНИЕ КОНФИДЕНЦИАЛЬНОСТИ И БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ.
6.1. Безопасность персональных данных, обрабатываемых Оператором, обеспечивается принятием правовых, организационных и технических мер, определенных действующим законодательством Российской Федерации, а также внутренними нормативными документами Оператора в области защиты информации.
6.2. Обеспечение Оператором защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных достигается следующими мерами:
Назначение лица, ответственного за организацию обработки персональных данных и обеспечение безопасности персональных данных, обрабатываемых в информационных системах персональных данных;
Определение перечня работников, имеющих доступ к персональным данным;
Разработка и утверждение организационно-распорядительных документов, определяющих порядок обработки персональных данных;
Определение перечня мест хранения материальных носителей персональных данных;
Организация порядка уничтожения персональных данных по истечении срока их обработки;
Учет машинных носителей персональных данных;
Проведение внутренних проверок за соблюдением требований по обеспечению безопасности персональных данных;
Ознакомление работников Оператора, осуществляющих обработку персональных данных, с требованиями законодательства Российской Федерации, организационно-распорядительными документами, определяющими порядок обработки и обеспечения персональных данных;
Повышение уровня осведомленности работников о требованиях по обеспечению безопасности персональных данных;
Физическая защита помещений, в которых осуществляется обработка персональных данных (пропускной режим, электронная система доступа в помещения, видеонаблюдение);
Обеспечение антивирусной защиты информационных систем персональных данных;
Обновление программного обеспечения на регулярной основе;
Защита сетевой инфраструктуры (разграничение доступа, межсетевое экранирование);
Учет событий информационной безопасности и определение порядка реагирования на инциденты;
Применение прошедших в установленном порядке процедур оценки соответствия средств защиты информации.
6.3. Обеспечение конфиденциальности персональных данных, обрабатываемых Оператором, является обязательным требованием для всех работников Оператора, допущенных к обработке персональны данных в связи с исполнением трудовых обязанностей. Все работники, имеющие действующие трудовые отношения, деятельность которых связана с получением, обработкой и защитой персональных данных, подписывают обязательство о неразглашении, проходят инструктажи по обеспечению информационной безопасности под роспись и несут персональную ответственность за соблюдение требований по обработке и обеспечению безопасности персональных данных.
7. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ.
7.1. Все отношения, касающиеся обработки персональных данных, не получивших отражения в настоящей Политике, регулируются согласно положениям законодательства Российской Федерации.
7.2. Оператор имеет право вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента ее утверждения.
