Политика обработки персональных данных в ООО ОГК «Курортный»

1.Общие положения
1.1.Основные понятия, используемые в Политике:
Персональные данные/ПД — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
Оператор — юридическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Под термином «Оператор» в Политике подразумевается ООО "ОГК «Курортный».
Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.
Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Закон — Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных».
Клиент — физическое лицо, заказавшее или имеющее намерение заказать услуги, товары Оператора.
Субъект персональных данных — физическое лицо, которое прямо или косвенно определено, или определяемо с помощью персональных данных;
Биометрические персональные данные — это сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются Оператором для установления личности субъекта персональных данных.
Политика — настоящая Политика в отношении обработки персональных данных.
Безопасность персональных данных — состояние защищённости ПД, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность ПД при их обработке в информационных системах ПД;
Конфиденциальность персональных данных — обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта ПД или наличия иного законного основания.
Несанкционированный доступ (несанкционированные действия) — доступ к информации или действия с информацией, осуществляемые с нарушением установленных прав и (или) правил доступа к информации или действий с ней с применением штатных средств информационной системы или средств, аналогичных им по своим функциональному предназначению и техническим характеристикам;
Угрозы безопасности персональных данных — совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение ПД, а также иных несанкционированных действий при их обработке в информационной системе ПД.
1.2.       Политика определяет порядок обработки персональных данных Оператором, процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений, правила доступа к ПД, обрабатываемым в информационной системе, а также обеспечения регистрации и учета всех действий, совершаемых с ПД в информационной системе ПД.
1.3.       Политика направлена на обеспечение безопасности персональных данных, защиту прав, свобод, законных субъектов персональных данных.
Все вопросы, связанные с обработкой ПД, не урегулированные Политикой, разрешаются в соответствии с действующим законодательством в области персональных данных.
1.4.       Политика разработана во исполнение требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
1.5.       Понятия, определенные в пункте 1.1 используются в Политике с аналогичным значением, установленным в ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
1.6.       Действие Политики распространяется на все операции, совершаемые Оператором с персональными данными с использованием средств автоматизации или без их использования.

1.7.       Основные права и обязанности Оператора.
1.7.1.      Оператор имеет право:
-        получать от субъекта персональных данных достоверную информацию и/или документы, содержащие персональные данные;
-        самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом или другими федеральными законами;
-        в случае отзыва субъектом персональных данных согласия на обработку персональных данных продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе;
-        осуществлять иные права Оператора, предусмотренные Законом.
1.7.2.      Оператор обязан:
-        обрабатывать персональные данные в порядке, установленном действующим законодательством РФ;
-        рассматривать обращения субъекта персональных данных (его законного представителя) по вопросам обработки персональных данных и давать мотивированные ответы;
-        предоставлять субъекту персональных данных (его законному представителю) возможность безвозмездного доступа к его персональным данным, а также по его просьбе к информации, указанной в ч.7 ст. 14 и иных положениях Закона;
-        принимать меры по уточнению, блокированию и уничтожению персональных данных субъекта персональных данных в связи с его (его законного представителя) обращением с законными и обоснованными требованиями;
-        организовывать защиту персональных данных в соответствии с требованиями законодательства РФ;
-        принимать меры по недопущению, устранению последствий инцидентов информационной безопасности, которые могли или могут привести к возникновению угроз безопасности персональных данных (включают в себя мероприятия, направленные на определение границ инцидента, а также ликвидацию последствий и возмещения ущерба);
— получать согласие субъекта ПД на обработку его ПД в случаях и в отношении того объема и категорий (из числа указанных в Политике), для которых действующим законодательством предусмотрено обязательное письменное согласие субъекта ПД;
-        разъяснять субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) согласие на их обработку, если в соответствии с федеральным законом предоставление персональных данных и (или) получение Оператором согласия на обработку персональных данных являются обязательными;
-        сообщать в уполномоченный орган по защите прав субъектов персональных данных (Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)) по запросу данного органа необходимую информацию в течение 10 рабочих дней с даты получения такого запроса. Данный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить в Роскомнадзор мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации;
исполнять иные обязанности, возложенные на Оператора Законом.

1.8.  Основные права и обязанности субъектов персональных данных:
1.8.1.      Субъекты персональных данных имеют право:
-        на полную информацию об их персональных данных, обрабатываемых Оператором;
-        на доступ к их персональным данным, включая право на получение копии любой записи, содержащей их персональные данные, за исключением случаев, предусмотренных федеральным законом;
-        на уточнение их персональных данных, их блокирование или уничтожение в случаях, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
-        на отзыв согласия на обработку персональных данных;
-        на принятие предусмотренных законом мер по защите своих прав;
-        на осуществление иных прав, предусмотренных законодательством РФ.
1.8.2.      Субъекты персональных данных обязаны:
-        предоставлять Оператору только достоверные данные о себе;
-        предоставлять документы, содержащие персональные данные в объеме, необходимом для цели обработки.
1.8.3.      Лица, передавшие Оператору недостоверные сведения о себе, либо сведения о другом субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством РФ.

2.Цели обработки, категории персональных данных, категории субъектов персональных данных

2.1.  Оператор руководствуется конкретными, заранее определенными целями обработки персональных данных, в соответствии с которыми персональные данные были предоставлены субъектом персональных данных. Цели обработки, категории и перечень персональных данных, категории субъектов персональных данных, перечень действий с персональными данными приведены в Приложении № 1 к настоящей Политике.
2.2.  Оператор обеспечивает соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки и, в случае необходимости, принимает меры по устранению их избыточности по отношению к заявленным целям обработки.
2.3.  Оператор не обрабатывает биометрические персональные данные субъектов персональных данных.
2.4.  Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, Оператором не осуществляется.
2.5.  В случае появления необходимости обработки специальных категорий персональных данных, обработка осуществляется в соответствии с требованиями Закона.
2.6.  Трансграничная передача персональных данных Оператором не осуществляется.
2.7.  В случае появления необходимости осуществить трансграничную передачу персональных данных, передача производится в соответствии с требованиями, установленными Законом и международными договорами Российской Федерации.

3.Правовые основания обработки персональных данных

3.1.Правовыми основаниями обработки персональных данных Оператором являются:
Конституция Российской Федерации;
Трудовой кодекс Российской Федерации;
Закон РФ от 07.02.1992 № 2300−1 «О защите прав потребителей»;
Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Закон РФ от 27 декабря 1991 г. № 2124−1 «О средствах массовой информации»;
Указ Президента Р Ф от 6 марта 1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера»;
Постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
Постановление Правительства Российской Федерации от 18.11.2020 № 1853 «Об утверждении Правил предоставления гостиничных услуг в Российской Федерации»;
Федеральный закон от 24.11.1996 № 132-ФЗ «Об основах туристской деятельности в Российской Федерации»
иные нормативные (подзаконные) правовые акты;
устав Оператора;
договоры, заключенные между Оператором и субъектами персональных данных;
договоры, заключенные между Оператором и юридическими лицами/индивидуальными предпринимателями в пользу субъекта персональных данных;
иные договоры, связанные с деятельностью Оператора;
согласия субъектов персональных данных на обработку персональных данных.
3.2.            В случае признания какого-либо нормативного акта, указанного в Политике, утратившим силу, либо внесения изменений в указанные нормативные акты, Оператор руководствуется вновь принятым нормативным правовым актом, либо новой редакцией нормативного акта. Положения Политики в части указания недействующего нормативного акта считаются утратившими силу.

4. Перечень действий, совершаемых с персональными данными, способы, сроки обработки и хранения персональных данных

4.1. Обработка персональных данных для каждой цели их обработки Оператором может осуществляться следующими способами:
неавтоматизированная обработка персональных данных;
автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
смешанная обработка персональных данных.
4.2. Перечень действий, совершаемых Оператором с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
4.3. Обработка персональных данных осуществляется Оператором при условии получения согласия субъекта персональных данных (далее — Согласие), за исключением установленных законодательством РФ случаев, когда обработка персональных данных может осуществляться без такого Согласия.
4.4. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает Согласие свободно, своей волей и в своем интересе.
4.5. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются Оператором.
4.6. При бронировании клиентом услуг Оператора на Сайте нажатием кнопки «Согласен на обработку персональных данных» посетитель Сайта подтверждает ознакомление и согласие с Политикой и дает согласие на обработку своих П Д Оператором или уполномоченным Оператором лицом, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, обезличивание, блокирование, удаление, уничтожение, передачу (предоставление, доступ) своих ПД третьим лицам в целях заключения и исполнения заключенного с Оператором договора на услуги Оператора или третьих лиц, реализуемых на территории Оператора, продвижения услуг Оператора, своевременного и качественного оказания услуг, на срок до достижения цели обработки персональных данных.
4.7. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом и Политикой.
В соответствии с требованиями Закона в договорах с лицами, осуществляющими обработку персональных данных по поручению Оператора, определяется перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, установлены обязанности такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, указываются требования к защите обрабатываемых персональных данных в соответствии со ст. 19 Закона.
4.8. Не допускается раскрытие третьим лицам персональных данных без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Оператор не занимается распространением ПД субъектов персональных данных.
4.9.  Передача персональных данных органам дознания и следствия, в Федеральную налоговую службу, Социальный фонд России и другие уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.
4.10.   Оператор при обработке персональных данных принимает или обеспечивает принятие необходимых правовых, организационных и технических мер для защиты персональных данных, от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, в том числе меры, указанные в разделе 6 Политики.
4.11.   Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, в течение срока не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных.
4.12.   При осуществлении хранения персональных данных Оператор использует базы данных, находящиеся на территории РФ.
4.13.   Сроки обработки и хранения персональных данных определены с учетом:
установленных целей обработки персональных данных;
сроков действия договоров с субъектами персональных данных и согласий субъектов персональных данных на обработку их персональных данных;
законодательства об архивном деле в РФ (Федеральный закон от 22.10.2004 N 125- ФЗ «Об архивном деле в Российской Федерации», Приказ Росархива от 20.12.2019 N 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения» (зарегистрирован в Минюсте России 06.02.2020 N 57 449).
4.14. Прекращение обработки персональных данных осуществляется по истечении установленных сроков обработки персональных данных, при истечении срока действия или отзыве согласия субъекта персональных данных на обработку его персональных данных (за исключением случаев, когда Оператор вправе продолжить обработку персональных данных на ином правовом основании), при достижении цели обработки персональных данных или утрате необходимости в достижении цели, после обращении субъекта персональных данных к Оператору с требованием о прекращении обработки персональных данных (за исключением случаев, предусмотренных ч. 5.1 ст. 21 Закона), при выявлении неправомерной обработки персональных данных.

4. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов персональных данных на доступ к персональным данным

 
4.1. Субъект персональных данных имеет право обратиться к Оператору по вопросам обработки своих персональных данных в следующих случаях:
— для получения информации, касающейся обработки его (субъекта) персональных данных, в том числе информации о способах исполнения Оператором обязанностей, установленных статьей 18.1 Закона;
— для уточнения своих персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленной цели обработки;
— для подачи жалобы на неправомерную обработку его (субъекта) персональных данных;
— для отзыва своего согласия на обработку персональных данных;
— для требования о прекращении обработки персональных данных;
— в иных случаях, установленных Законом.
4.2. Согласно требованиям статьи 14 Закона запрос должен содержать:
— серию, номер основного документа, удостоверяющего личность субъекта персональных данных (его представителя), сведения о дате выдачи указанного документа и выдавшем его органе;
— сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
— подпись субъекта персональных данных (его представителя);
— в случае, если запрос направлен представителем субъекта персональных данных, он должен содержать документ (копию документа), подтверждающий полномочия данного представителя.
4.3. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации, на адрес электронной почты Оператора hotel.kurortniy@gmail.com .
4.4. Ответ на запрос направляется субъекту персональных данных или его представителю в срок, установленный Законом. Оператор предоставляет сведения, указанные в части 7 статьи 14 Закона, субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
4.5. В случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении либо при получении запроса субъекта персональных данных или его представителя Оператор дает в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 Закона или иного федерального закона, являющееся основанием для такого отказа, в срок, н превышающий 10 (десяти) рабочих дней со дня обращения субъекта персональных данных или его представителя либо с даты получения запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
4.6. Если сведения, указанные в части 7 статьи 14 Закона, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе обратиться повторно к Оператору или направить ему повторный запрос в целях получения сведений, указанных в части 7 статьи 14 Закона, и ознакомления с такими персональными данными не ранее чем через 30 (тридцать) дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.
4.7. Субъект персональных данных вправе обратиться повторно к Оператору или направить ему повторный запрос в целях получения сведений, указанных в части 7 статьи 14 Закона, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в части 4 статьи 14 Закона, в случае, если такие сведения и (или) Обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в части 3 статьи 14 Закона, должен содержать обоснование направления повторного запроса.
4.8. Оператор вправе отказать субъекту ПД в выполнении повторного запроса, не соответствующего условиям, предусмотренным частями 4 и 5 статьи 14 Закона. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Операторе.
4.9. В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
4.10. В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов уточняет персональные данные либо обеспечивает их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в течение 7 (семи) рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
4.11. В случае выявления неправомерной обработки персональных данных, осуществляемой Оператором или лицом, действующим по поручению Оператора, Оператор в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, прекращает неправомерную обработку персональных данных или обеспечивает прекращение неправомерной обработки персональных данных лицом, действующим по поручению Оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, Оператор в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки персональных данных, уничтожает такие персональные данные или обеспечивает их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Оператор уведомляет субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.
4.12. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, Оператор обязан с момента выявления такого инцидента Оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных:
1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
При направлении вышеуказанных уведомлений Оператор руководствуется Порядком и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора от 14.11.2022 N 187, и Требованиями к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных», утвержденных Приказом Роскомнадзора от 27.10.2022 N 178, а в случае признания указанных нормативных правовых актов утратившими силу — нормативными правовыми актами, принятыми взамен утративших действие.
4.13. В случае достижения цели обработки персональных данных Оператор прекращает обработку персональных данных или обеспечивает ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим, но поручению Оператора) и уничтожает персональные данные или обеспечивает их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий 30 (тридцати) дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом или другими федеральными законами.
4.14. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Оператор прекращает их обработку или обеспечивает прекращение такой обработки (если обработка персональных данных осуществляется другим липом, действующим по поручению Оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожает персональные данные или обеспечивает их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законом или другими федеральными законами.
4.15. В случае обращения субъекта персональных данных к Оператору с требованием о прекращении обработки персональных данных Оператор в срок, не превышающий 10 (десяти) рабочих дней с даты получения Оператором соответствующего требования, прекращает их обработку или обеспечивает прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), за исключением случаев, предусмотренных пунктами 2 — 11 части 1 статьи 6. частью 2 статьи 10 и частью 2 статьи 11 Закона. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.
4.16. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в частях 3 — 5.1 статьи 21 Закона, Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и обеспечивает уничтожение персональных данных в срок не более чем 6 (шесть) месяцев, если иной срок не установлен федеральными законами.
4.17. Согласие субъекта на обработку персональных данных может быть отозвано путем письменного уведомления, направленного в адрес Оператора 357 601, Ставропольский край, г. Ессентуки, ул. Интернациональная, д. 11, посредством оператора почтовой связи. В уведомлении обязательно должны быть указаны: фамилия, имя, отчество (полностью) субъекта ПД, сведения о документе, удостоверяющем личность, дата рождения.
 

5. Обеспечение конфиденциальности и безопасности персональных данных при их

обработке

5.1. Безопасность персональных данных, обрабатываемых Оператором, обеспечивается исполнением требований действующего законодательства Российской Федерации, а также внутренних нормативных документов Оператора.
5.2. Обеспечение Оператором защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных достигается, в частности, но не ограничиваясь, следующими принятыми мерами:
— назначение лица, ответственного за организацию обработки персональных данных;
— назначение лица, ответственного за обеспечение безопасности персональных данных, обрабатываемых в информационных системах персональных данных;
— определение перечня работников, имеющих доступ к персональным данным;
— разработка и утверждение организационно-распорядительных документов, определяющих порядок обработки персональных данных;
— определение перечня мест хранения материальных носителей персональных данных;
— организация порядка уничтожения персональных данных по истечении срока их обработки;
— учет машинных носителей персональных данных;
— определение угроз безопасности персональных данных при их обработке, формирование на их основе модели угроз;
— проведение внутренних проверок за соблюдением требований по обеспечению безопасности персональных данных;
— ознакомление работников Оператора, осуществляющих обработку персональных данных, с требованиями законодательства Российской Федерации, организационно- распорядительными документами, определяющими порядок обработки и обеспечения безопасности персональных данных;
— повышение уровня осведомленности работников о требованиях по обеспечению безопасности персональных данных;
— проведение оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения Закона, соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей, предусмотренных Законом;
— обеспечение антивирусной защиты информационных систем персональных данных;
— обновление программного обеспечения на регулярной основе;
— защита сетевой инфраструктуры (разграничение доступа, межсетевое экранирование);
— обеспечение отказоустойчивости и резервного копирования;
— определение правил доступа к персональным данным, обрабатываемых в информационных системах персональных данных;
— регистрация и учет событий информационной безопасности;
— определение порядка реагирования на инциденты информационной безопасности;
— проведение внешних тестирований на проникновение;
— применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
— проведение оценки эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
5.3. Обеспечение конфиденциальности персональных данных, обрабатываемых Оператором, является обязательным требованием для всех работников Оператора, допущенных к обработке персональных данных в связи с исполнением трудовых обязанностей. Все работники, имеющие действующие трудовые отношения, деятельность которых связана с получением, обработкой и защитой персональных данных, несут персональную ответственность за соблюдение требований по обработке и обеспечению безопасности персональных данных.

6. Заключительные положения
 
6.1. Политика вступает в силу с момента ее утверждения Оператором.
6.2. Политика является открытым и общедоступным документом. Во исполнение требований Закона Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет. Действующая редакция Политики размещается на сайте Оператора hotel.kurortniy@gmail.com, а также на стойке службы приема и размещения Отеля «Курортный».
6.3. Оператор имеет право вносить изменения в Политику. При внесении изменений в титульном листе документа указывается последняя версии Политики. Изменения, вносимые в Политику, вступают в силу со дня их утверждения приказом директора, если иное не установлено самими изменениями.

Приложение 1

 

Цели обработки, категории и перечень персональных данных, категории субъектов персональных данных, перечень действий с персональными данными
Цели обработки персональных данных
№ 1:
Цель обработки данных: Ведение кадровой работы (в т.ч. привлечение и отбор кандидатов на трудоустройство) и организация учета работников, регулирование трудовых и иных, непосредственно связанных с ними отношений, осуществление налогового, бухгалтерского, статистического и других видов учета, определенных законами РФ
Категории персональных данных
Персональные данные
фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; семейное положение; социальное положение; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; данные водительского удостоверения; данные документа, содержащиеся в свидетельстве о рождении; реквизиты банковской карты; номер расчетного счета; номер лицевого счета; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации); отношение к воинской обязанности, сведения о воинском учете; сведения об образовании;
Специальные категории персональных данных
сведения о состоянии здоровья;
Категории субъектов, персональные данные которых обрабатываются:
Работники; Соискатели; Родственники работников; Уволенные работники; Законные представители;
Перечень действий:
сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); обезличивание; блокирование; удаление; уничтожение;
№ 2:
Цель обработки данных: Заключение с Клиентами договоров оказания услуг и их дальнейшее исполнение
Категории персональных данных
Персональные данные
фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; ИНН; гражданство; данные документа, удостоверяющего личность; данные документа, удостоверяющего личность за пределами Российской Федерации; данные документа, содержащиеся в свидетельстве о рождении; реквизиты банковской карты; номер расчетного счета; номер лицевого счета;
Категории субъектов, персональные данные которых обрабатываются:
Клиенты; Посетители сайта; Законные представители;
Перечень действий:
сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); использование; передача (предоставление, доступ); обезличивание; блокирование; удаление; уничтожение;
№ 3:
Цель обработки данных: Ведение уставной деятельности в части заключения, учета и исполнения договоров с контрагентами
Категории персональных данных
Персональные данные
фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; место рождения; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; данные документа, удостоверяющего личность; реквизиты банковской карты; номер расчетного счета; номер лицевого счета; профессия; должность;
Категории субъектов, персональные данные которых обрабатываются:
Контрагенты; Представители контрагентов; Выгодоприобретатели по договорам; Законные представители;
Перечень действий:
сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); обезличивание; блокирование; удаление; уничтожение;
№ 4:
Цель обработки данных: Контроль и улучшение качества услуг и сервисов, в том числе предложенных на Сайте Оператора, обратная связь с субъектами ПД, в том числе обработка их запросов и обращений, информирование о работе Оператора
Категории персональных данных
Персональные данные
фамилия, имя, отчество; адрес электронной почты; номер телефона; данные документа, удостоверяющего личность;
Категории субъектов, персональные данные которых обрабатываются:
Клиенты; Посетители сайта;
Перечень действий:
сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); обезличивание; блокирование; удаление; уничтожение;
№ 5:
Цель обработки данных: Информирование субъекта ПД о специальных предложениях, новых продуктах и услугах Оператора, событиях, направление любых информационных сообщений, включая рекламу и иных сведений от имени Оператора с согласия субъекта ПД
Категории персональных данных
Персональные данные
фамилия, имя, отчество; адрес электронной почты; номер телефона;
Категории субъектов, персональные данные которых обрабатываются:
Клиенты; Посетители сайта;
Перечень действий:
сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); обезличивание; блокирование; удаление; уничтожение.