Политика обработки персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Разработка и утверждение Политики обработки персональных данных в унитарном предприятии "Хотокси" (далее – Предприятие) (далее – Политика) является одной из мер по защите персональных данных, принимаемых Предприятием в соответствии с требованиями статьи 17 Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее – Закон).

1.2. Политика разъясняет субъектам персональных данных, как и для каких целей их персональные данные собираются, используются или иным образом обрабатываются, а также отражает имеющиеся в связи с этим права и механизм их реализации.

1.3. Настоящая Политика не применяется к обработке персональных данных работников, членов их семей и кандидатов на занятие вакантных должностей. Обработка персональных данных указанных лиц осуществляется на основании отдельного документа.

1.4. Предприятие является оператором, осуществляющим обработку персональных данных (далее - Предприятие, Оператор).

Юридический адрес: 224017, г. Брест, ул. Богданчука, д. 121.

1.5. В настоящей Политике используются термины и их определения в значениях, установленных в Законе.

1.6. Целью Политики являются обеспечение соблюдения требований законодательства о персональных данных и защита интересов субъектов персональных данных.

1.7. Действие настоящей Политики распространяется на все операции (процессы), совершаемые Оператором с персональными данными с использованием средств автоматизации или без их использования, за исключением персональных данных лиц, названных в пункте 1.3 Политики.

1.8. Предоставляя свои персональные данные, субъект персональных данных выражает свое согласие на обработку его персональных данных на условиях, изложенных в Политике, и подтверждает, что ознакомлен с Политикой и согласен с ее условиями.

ГЛАВА 2

ЦЕЛИ И ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Предприятие осуществляет обработку персональных данных в соответствии с законодательством и настоящей Политикой в целях:

рассмотрения обращений граждан, в том числе индивидуальных предпринимателей, и юридических лиц согласно абзацу двадцатому статьи 6, абзацу шестнадцатому пункта 2 статьи 8 Закона, в соответствии с Законом Республики Беларусь от 18 июля 2011 г. N 300-З "Об обращениях граждан и юридических лиц" (как в отношении заявителей, так и в отношении иных лиц, персональные данные которых указываются заявителем в обращении), Указом Президента Республики Беларусь от 15 октября 2007 г. N 498 "О дополнительных мерах по работе с обращениями граждан и юридических лиц";

рассмотрения запросов государственных органов (в отношении лиц, указанных в запросах) согласно абзацу двадцатому статьи 6, абзацу шестнадцатому пункта 2 статьи 8 Закона;

реализации законодательства в области борьбы с коррупцией в соответствии с абзацем двадцатым статьи 6, абзацем шестнадцатым пункта 2 статьи 8 Закона, согласно Закону Республики Беларусь от 15 июля 2015 г. N 305-З "О борьбе с коррупцией";

обработки персональных данных, когда они указаны в документе, адресованном Оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа;

заключения договоров, их дальнейшего исполнения, сопровождения и прекращения;

отправки уведомлений, получения коммерческих предложений;

предоставления информации о своей деятельности;

осуществления административных процедур;

исполнительного производства, судов;

обработки персональных данных без согласия субъекта персональных данных в случаях, когда это прямо предусматривается Законом и иными законодательными актами.

2.2. Обработка персональных данных в Предприятии осуществляется в соответствии со следующими принципами:

обработка персональных данных осуществляется на законной основе;

обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, не совместимая с целями сбора персональных данных;

не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

обработке подлежат только те персональные данные, которые отвечают целям их обработки;

содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки;

обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям обработки;

обработка персональных данных носит прозрачный характер;

при обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к заявленным целям их обработки;

хранение персональных данных осуществляется в форме, позволяющей идентифицировать субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных, если иной срок хранения персональных данных не установлен законодательством Республики Беларусь. Персональные данные подлежат удалению по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Республики Беларусь;

предоставленные персональные данные остаются в первичном виде и не изменяются в процессе сбора и обработки данных.

ГЛАВА 3

КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ, ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Предприятие обрабатывает персональные данные следующих категорий субъектов персональных данных:

физических лиц - при заключении и исполнении договоров, а также представляющих интересы юридических лиц и индивидуальных предпринимателей, действующих на основании доверенности или без нее;

физических лиц, данные о которых указаны в обращениях и иных документах, адресованных Министерству финансов, в том числе обратившихся за осуществлением административных процедур;

физических лиц - в рамках исполнительного производства, судов.

3.2. Предприятие в рамках осуществления своей деятельности обрабатывает различные категории персональных данных, в том числе:

фамилию, собственное имя, отчество (если таковое имеется);

число, месяц, год рождения;

место рождения;

пол;

сведения о гражданстве (подданстве);

вид и реквизиты документа, удостоверяющего личность;

идентификационный номер;

адрес регистрации по месту жительства (месту пребывания), адрес фактического проживания;

номера рабочих, домашних (стационарных) и мобильных телефонов, адрес электронной почты или сведения о других способах связи;

видеозапись.

3.3. Предприятие обеспечивает соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки в течение установленных сроков согласно утверждаемому Реестру персональных данных.

3.4. Предприятие обрабатывает следующие персональные данные собственника имущества Предприятия:

фамилия, имя, отчество;

число, месяц, год рождения (далее - дата рождения);

адрес регистрации по месту жительства;

данные о реквизитах документов, удостоверяющих личность;

банковские реквизиты.

Цель обработки персональных данных: обеспечение исполнения требований Устава Предприятия и исполнения налоговый обязательств.

Основание обработки персональных данных: абз. 20 ст. 6 Закона о защите персональных данных – обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами.

Срок обработки персональных данных: в течение срока, когда субъект персональных данных является собственником имущества.

Сотрудники, имеющие доступ к персональным данным: руководитель предприятия (директор), бухгалтер (главный бухгалтер).

3.5. Предприятие обрабатывает следующие персональные данные контрагентов-физических лиц, состоявших и состоящих в гражданско-правовых отношениях с Предприятием, а также потенциальных контрагентов-физических лиц:

фамилия, имя, отчество;

дата рождения;

идентификационный номер;

контактный телефон;

адрес регистрации по месту жительства;

номер государственного социального страхования;

данные реквизитов документов, удостоверяющих личность;

банковские реквизиты.

Цели обработки персональных данных: заключение и исполнение Предприятием гражданско- правовых договоров.

Основание обработки персональных данных: абз. 15 ст. 6 Закона о защите персональных данных - при получении персональных данных оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором.

Срок обработки персональных данных: в течение срока действия гражданско-правового договора, а также 3 года после проведения налоговыми органами проверки соблюдения налогового законодательства (если налоговыми органами проверка соблюдения налогового законодательства не проводилась – 10 лет после окончания срока действия договора).

Сотрудники, имеющие доступ к персональным данным: руководитель предприятия (директор), бухгалтер (главный бухгалтер)

3.6. Предприятие обрабатывает следующие персональные данные представителей контрагентов-юридических лиц, индивидуальных предпринимателей, состоявших и состоящих в договорных отношениях с Предприятием, а также представителей потенциальных контрагентов- юридических лиц, индивидуальных предпринимателей.

фамилия, имя, отчество;

дата рождения;

идентификационный номер;

контактный телефон;

адрес регистрации по месту жительства;

должность;

данные реквизитов документов, удостоверяющих личность.

Цели обработки персональных данных: заключение и исполнение Предприятием договоров в процессе осуществления предпринимательской деятельности.

Основание обработки персональных данных: абз. 20 ст. 6 Закона о защите персональных данных – обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами (ст. 49, пункт 5 статьи 186 Гражданского кодекса Республики Беларусь).

Срок обработки персональных данных: в течение срока действия гражданско-правового договора, а также 3 года после проведения налоговыми органами проверки соблюдения налогового законодательства (если налоговыми органами проверка соблюдения налогового законодательства не проводилась – 10 лет после окончания срока действия договора).

Сотрудники, имеющие доступ к персональным данным: руководитель предприятия (директор), бухгалтер (главный бухгалтер), начальник отдела продаж и маркетинга, специалисты по работе с клиентами, кладовщики

3.7. Предприятие обрабатывает следующие персональные данные граждан, направивших обращения в адрес Предприятия:

фамилия, собственное имя, отчество (если таковое имеется) либо инициалы;

адрес места жительства (места пребывания);

данные, содержащиеся в обращении субъекта персональных данных.

Цель обработки персональных данных: подготовка ответов на обращения граждан.

Основание обработки персональных данных: абз. 16 ст. 6 Закона о защите персональных данных – при обработке персональных данных, когда они указаны в документе, адресованном оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа (пункт 1 статьи 3 Закона Республики Беларусь от 18.07.2011 № 300-З «Об обращениях граждан и юридических лиц»).

Срок обработки персональных данных: в течение срока рассмотрения обращения, а также в течение 5 лет с даты последнего обращения субъекта персональных данных.

Сотрудники, имеющие доступ к персональным данным: руководитель предприятия (директор), бухгалтер (главный бухгалтер), начальник отдела продаж и маркетинга.

3.7. Предприятие обрабатывает следующие персональные данные граждан в процессе осуществления видеонаблюдения в месте осуществления деятельности (ул. Богданчука, 121 в г. Бресте):

Изображение человека;

Цель обработки персональных данных: обеспечение общественной безопасности, обеспечение сохранности имущества.

Основание обработки персональных данных: абз. 20 ст. 6 Закона о защите персональных данных – обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами (Указ Президента Республики Беларусь от 28.11.2013 № 527 «О вопросах создания и применения системы видеонаблюдения в интересах обеспечения общественного порядка», Постановление Совета Министров Республики Беларусь от 30.12.2013 № 1164 «О критериях отнесения объектов к числу подлежащих обязательному оборудованию средствами системы видеонаблюдения за состоянием общественной безопасности»).

Срок обработки персональных данных: 30 суток с даты проведения видеосъёмки.

Сотрудники, имеющие доступ к персональным данным: руководитель предприятия (директор).

ГЛАВА 4

ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Обработка персональных данных Предприятием включает в себя следующие действия с персональными данными: сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление, иные действия в соответствии с законодательством.

4.2. Обработка персональных данных допускается только с соблюдением требований законодательства.

4.3. При обработке персональных данных Оператор принимает необходимые правовые, организационные и технические меры по обеспечению защиты персональных данных от несанкционированного или случайного доступа к ним, изменения, блокирования, копирования, распространения, предоставления, удаления персональных данных, а также от иных неправомерных действий в отношении персональных данных.

4.4. Основанием обработки персональных данных является согласие субъекта персональных данных, за исключением случаев, установленных законодательством, когда обработка персональных данных осуществляется без получения такого согласия.

4.5. Согласие субъекта персональных данных представляет собой свободное, однозначное, информированное выражение его воли, посредством которого он разрешает обработку своих персональных данных.

4.6. Обработка персональных данных от имени Предприятия или в его интересах может осуществляться уполномоченными лицами на основании актов законодательства, решений соответствующих государственных органов, договора (соглашения), заключенного с третьим лицом в соответствии с законодательством. При этом Предприятие фиксирует в договоре (соглашении) обязанность лица, осуществляющего обработку персональных данных по поручению Предприятия, соблюдать принципы и правила обработки персональных данных, предусмотренные Политикой и законодательством.

4.7. В случае если Предприятие поручает обработку персональных данных уполномоченному лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Предприятие. Уполномоченное лицо несет ответственность перед Предприятием.

4.8. Способы обработки персональных данных Предприятием:

неавтоматизированная обработка персональных данных;

автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без такой передачи;

смешанная обработка персональных данных.

4.9. Предприятие передает персональные данные:

субъекту персональных данных в отношении него самого - без ограничений, кроме случаев, прямо предусмотренных требованиями законодательства;

третьим лицам - в случаях, предусмотренных требованиями законодательства.

4.10. Персональные данные хранятся:

на бумажных носителях;

в документах в электронном виде;

в информационных системах (ресурсах), обеспечивающих автоматическую обработку, хранение информации.

4.11. Хранение персональных данных осуществляется в форме, позволяющей идентифицировать субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, за исключением случаев, когда срок хранения установлен законодательством.

4.12. Условием прекращения обработки персональных данных могут являться достижение целей обработки персональных данных, истечение срока обработки персональных данных, отзыв согласия субъекта персональных данных на обработку его персональных данных, а также выявление неправомерной обработки персональных данных.

ГЛАВА 5

ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА И СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Предприятие как оператор, осуществляющий обработку персональных данных, имеет право:

получать от субъекта персональных данных достоверные информацию и/или документы, содержащие персональные данные;

запрашивать у субъекта персональных данных информацию об актуальности и достоверности предоставленных персональных данных;

отказать субъекту персональных данных в удовлетворении требований о прекращении обработки его персональных данных и/или их удалении при наличии оснований для обработки персональных данных, предусмотренных Законом и иными законодательными актами, в том числе если они являются необходимыми для заявленных целей их обработки, с уведомлением об этом субъекта персональных данных в пятнадцатидневный срок.

5.2. При обработке персональных данных Предприятие обязано:

разъяснять субъекту персональных данных его права, связанные с обработкой персональных данных;

получать согласие субъекта персональных данных, за исключением случаев, предусмотренных Законом и иными законодательными актами;

обеспечивать защиту персональных данных в процессе их обработки;

предоставлять субъекту персональных данных информацию о его персональных данных, а также о предоставлении его персональных данных третьим лицам, за исключением случаев, предусмотренных Законом и иными законодательными актами;

вносить изменения в персональные данные, которые являются неполными, устаревшими или неточными, за исключением случаев, когда иной порядок внесения изменений в персональные данные установлен законодательными актами либо если цели обработки персональных данных не предполагают последующих изменений таких данных;

прекращать обработку персональных данных, а также осуществлять их удаление или блокирование (обеспечивать прекращение обработки персональных данных, а также их удаление или блокирование уполномоченным лицом) при отсутствии оснований для обработки персональных данных, предусмотренных Законом и иными законодательными актами;

уведомлять Национальный центр защиты персональных данных о нарушениях систем защиты персональных данных незамедлительно, но не позднее трех рабочих дней после того, как Министерству финансов стало известно о таких нарушениях, за исключением случаев, предусмотренных Национальным центром защиты персональных данных;

осуществлять изменение, блокирование или удаление недостоверных или полученных незаконным путем персональных данных субъекта персональных данных по требованию Национального центра защиты персональных данных, если иной порядок внесения изменений в персональные данные, их блокирования или удаления не установлен законодательными актами;

исполнять иные требования Национального центра защиты персональных данных об устранении нарушений законодательства о персональных данных;

выполнять иные обязанности, предусмотренные Законом и иными законодательными актами.

5.3. Субъект персональных данных имеет право:

на получение информации, касающейся обработки своих персональных данных;

на внесение изменений в свои персональные данные в случае, если персональные данные являются неполными, устаревшими или неточными;

на отзыв своего согласия на обработку персональных данных;

на получение информации о предоставлении своих персональных данных третьим лицам;

на прекращение обработки своих персональных данных, включая их удаление, при отсутствии оснований для обработки персональных данных, предусмотренных Законом и иными законодательными актами;

на обжалование действий (бездействия) и решений Оператора, нарушающих его права при обработке персональных данных, в уполномоченный орган по защите прав субъектов персональных данных в порядке, установленном законодательством;

на осуществление иных прав, предусмотренных законодательством Республики Беларусь.

5.4. Субъект персональных данных обязан:

предоставлять Оператору исключительно достоверные сведения о себе;

в случае необходимости представлять Оператору документы, содержащие персональные данные в объеме, необходимом для цели их обработки;

информировать Оператора об изменениях своих персональных данных.

5.5. Лицо, предоставившее Оператору неполные, устаревшие, недостоверные сведения о себе, либо сведения о другом субъекте персональных данных без согласия последнего, несет ответственность в соответствии с законодательством.

 5.6. Для реализации прав, указанных в пункте 5.3 необходимо подать заявление в письменной форме при личном обращении в Предприятие с предъявлением документа, удостоверяющего личность субъекта персональных данных (за исключением, когда обращение осуществляется в форме электронного документа, подписанного электронной цифровой подписью).

5.7. Заявление, указанное в пункте 5.6 должно содержать:

фамилию, собственное имя, отчество (если таковое имеется);

адрес места жительства (места пребывания);

дату рождения;

идентификационный номер, при отсутствии такого номера – номер документа, удостоверяющего личность – указывается в случаях, если эта информация указывалась при даче своего согласия оператору или обработка персональных данных осуществляется без согласия на основании законодательства;

изложение сути требований;

личную подпись.

5.8. Субъект персональных данных вправе обратиться за разъяснениями о механизме реализации своих прав к лицу, ответственному за осуществление внутреннего контроля за обработкой персональных данных по месту нахождения Предприятия.

ГЛАВА 6

ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Предприятие до начала осуществления трансграничной передачи персональных данных обязано убедиться в том, что иностранным государством, на территорию которого предполагается осуществлять передачу персональных данных, обеспечивается надежная защита прав субъектов персональных данных.

Трансграничная передача персональных данных на территории иностранных государств, не отвечающих вышеуказанному требованию, может осуществляться только в случаях, предусмотренных в пункте 1 статьи 9 Закона.

6.2. Перечень стран, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных, определен Национальным центром защиты персональных данных.