Положение об обработке и защите персональных данных
в базах персональных данных, владельцем которых является продавец

Управление этим сайтом https://glowroom.com.ua (далее — «Сайт») осуществляется ФЛП Горяча Ольга Васильевна, который зарегистрирован и действует в соответствии с требованиями законодательства Украины (далее — «Продавец»).

Содержание

  1. Общие понятия и сфера применения
  2. Перечень баз персональных данных
  3. Цель обработки персональных данных
  4. Порядок обработки персональных данных: получение согласия, уведомление о правах и действиях с персональными данными субъекта персональных данных
  5. Местонахождение базы персональных данных
  6. Условия раскрытия информации о персональных данных третьим лицам
  7. Защита персональных данных: способы защиты, ответственное лицо, работники, которые непосредственно осуществляют обработку и/или имеют доступ к персональным данным в связи с выполнением своих служебных обязанностей, срок хранения персональных данных
  8. Права субъекта персональных данных
  9. Порядок работы с запросами субъекта персональных данных
  10. Государственная регистрация базы персональных данных

1. Общие понятия и сфера применения 

1.1. Определение терминов:

ответственное лицо — определённое лицо, которое организует работу, связанную с защитой персональных данных при их обработке, в соответствии с законом;

владелец базы персональных данных — физическое или юридическое лицо, которому законом или по согласию субъекта персональных данных предоставлено право на обработку этих данных, которое утверждает цель обработки персональных данных в данной базе данных, устанавливает состав этих данных и процедуры их обработки, если иное не определено законом;

государственный реестр баз персональных данных — единая государственная информационная система сбора, накопления и обработки сведений о зарегистрированных базах персональных данных;

общедоступные источники персональных данных — справочники, адресные книги, реестры, списки, каталоги, другие систематизированные сборники открытой информации, содержащие персональные данные, размещённые и опубликованные с ведома субъекта персональных данных. Не считаются общедоступными источниками персональных данных социальные сети и интернет-ресурсы, в которых субъект персональных данных оставляет свои персональные данные (кроме случаев, когда субъект персональных данных прямо указал, что персональные данные размещены с целью их свободного распространения и использования);

согласие субъекта персональных данных — любое документированное, добровольное волеизъявление физического лица о предоставлении разрешения на обработку его персональных данных в соответствии со сформулированной целью их обработки;

обезличивание персональных данных — удаление сведений, позволяющих идентифицировать лицо;

обработка персональных данных — любое действие или совокупность действий, осуществляемых полностью или частично в информационной (автоматизированной) системе и/или в картотеках персональных данных, связанных со сбором, регистрацией, накоплением, хранением, адаптацией, изменением, обновлением, использованием и распространением (распространением, реализацией, передачей), обезличиванием, уничтожением сведений о физическом лице;

персональные данные — сведения или совокупность сведений о физическом лице, которое идентифицировано или может быть конкретно идентифицировано;

распорядитель базы персональных данных — физическое или юридическое лицо, которому владельцем базы персональных данных или законом предоставлено право обрабатывать эти данные. Не является распорядителем базы персональных данных лицо, которому владельцем и/или распорядителем базы персональных данных поручено осуществлять работы технического характера с базой персональных данных без доступа к содержанию персональных данных;

субъект персональных данных — физическое лицо, в отношении которого в соответствии с законом осуществляется обработка его персональных данных;

третье лицо — любое лицо, за исключением субъекта персональных данных, владельца или распорядителя базы персональных данных и уполномоченного государственного органа по вопросам защиты персональных данных, которому владельцем или распорядителем базы персональных данных осуществляется передача персональных данных в соответствии с законом;

особые категории данных — персональные данные о расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в политических партиях и профессиональных союзах, а также данные, касающиеся здоровья или половой жизни.

1.2. Настоящее Положение является обязательным для применения ответственным лицом и сотрудниками продавца, которые непосредственно осуществляют обработку и/или имеют доступ к персональным данным в связи с выполнением своих служебных обязанностей.

2. Перечень баз персональных данных

2.1. Продавец является владельцем следующих баз персональных данных:

  • база персональных данных контрагентов.

3. Цель обработки персональных данных

3.1. Целью обработки персональных данных в системе является обеспечение реализации гражданско-правовых отношений, предоставление, получение и осуществление расчётов за приобретённые товары и услуги в соответствии с Налоговым кодексом Украины, Законом Украины «О бухгалтерском учёте и финансовой отчётности в Украине».

4. Порядок обработки персональных данных: получение согласия, уведомление о правах и действиях с персональными данными субъекта персональных данных

4.1. Согласие субъекта персональных данных должно быть добровольным волеизъявлением физического лица о предоставлении разрешения на обработку его персональных данных в соответствии со сформулированной целью их обработки.

4.2. Согласие субъекта персональных данных может быть предоставлено в следующих формах:

  • документ на бумажном носителе с реквизитами, позволяющими идентифицировать этот документ и физическое лицо;
  • электронный документ, содержащий обязательные реквизиты, позволяющие идентифицировать этот документ и физическое лицо. Добровольное волеизъявление физического лица о предоставлении разрешения на обработку его персональных данных целесообразно удостоверять электронной подписью субъекта персональных данных;
  • отметка на электронной странице документа или в электронном файле, обрабатываемом в информационной системе на основе документированных программно-технических решений.

4.3. Согласие субъекта персональных данных предоставляется при оформлении гражданско-правовых отношений в соответствии с действующим законодательством.

4.4. Уведомление субъекта персональных данных о включении его персональных данных в базу персональных данных, правах, определённых Законом Украины «О защите персональных данных», цели сбора данных и лицах, которым передаются его персональные данные, осуществляется при оформлении гражданско-правовых отношений в соответствии с действующим законодательством.

4.5. Обработка персональных данных о расовом или этническом происхождении, политических, религиозных или мировоззренческих убеждениях, членстве в политических партиях и профессиональных союзах, а также данных, касающихся здоровья или половой жизни (особые категории данных), запрещается.

5. Местонахождение базы персональных данных

5.1. Указанные в разделе 2 настоящего Положения базы персональных данных находятся по адресу продавца.

6. Условия раскрытия информации о персональных данных третьим лицам

6.1. Порядок доступа к персональным данным третьих лиц определяется условиями согласия субъекта персональных данных, предоставленного владельцу персональных данных на обработку этих данных, либо в соответствии с требованиями закона.

6.2. Доступ к персональным данным третьему лицу не предоставляется, если указанное лицо отказывается взять на себя обязательства по обеспечению выполнения требований Закона Украины «О защите персональных данных» либо не в состоянии их обеспечить.

6.3. Субъект отношений, связанных с персональными данными, подает запрос о доступе (далее — запрос) к персональным данным владельцу персональных данных.

6.4. В запросе указываются:

  • фамилия, имя и отчество, место проживания (место пребывания) и реквизиты документа, удостоверяющего личность физического лица, подающего запрос (для физического лица — заявителя);
  • наименование, местонахождение юридического лица, подающего запрос, должность, фамилия, имя и отчество лица, удостоверяющего запрос; подтверждение того, что содержание запроса соответствует полномочиям юридического лица (для юридического лица — заявителя);
  • фамилия, имя и отчество, а также иные сведения, позволяющие идентифицировать физическое лицо, в отношении которого подается запрос;
  • сведения о базе персональных данных, в отношении которой подается запрос, либо сведения о владельце или распорядителе этой базы персональных данных;
  • перечень персональных данных, которые запрашиваются;
  • цель и/или правовые основания для запроса.

6.5. Срок рассмотрения запроса на предмет его удовлетворения не может превышать десяти рабочих дней со дня его поступления. В течение этого срока владелец базы персональных данных уведомляет лицо, подающее запрос, о том, что запрос будет удовлетворен либо соответствующие персональные данные не подлежат предоставлению, с указанием основания, определенного соответствующим нормативно-правовым актом. Запрос удовлетворяется в течение тридцати календарных дней со дня его поступления, если иное не предусмотрено законом.

6.6. Отсрочка доступа к персональным данным третьих лиц допускается в случае, если необходимые данные не могут быть предоставлены в течение тридцати календарных дней со дня поступления запроса. При этом общий срок рассмотрения вопросов, затронутых в запросе, не может превышать сорока пяти календарных дней.

6.7. Уведомление об отсрочке доводится до сведения третьего лица, подавшего запрос, в письменной форме с разъяснением порядка обжалования такого решения.

6.8. В уведомлении об отсрочке указываются:

  • фамилия, имя и отчество должностного лица;
  • дата отправки уведомления;
  • причина отсрочки;
  • срок, в течение которого будет удовлетворен запрос.

6.9. Отказ в доступе к персональным данным допускается, если доступ к ним запрещен согласно закону.

6.10. В уведомлении об отказе указываются:

  • фамилия, имя, отчество должностного лица, которое отказывает в доступе;
  • дата отправки уведомления;
  • причина отказа.

6.11. Решение об отсрочке либо отказе в доступе к персональным данным может быть обжаловано в судебном порядке.

7. Защита персональных данных: способы защиты, ответственное лицо, работники, которые непосредственно осуществляют обработку и/или имеют доступ к персональным данным в связи с выполнением своих служебных обязанностей, срок хранения персональных данных

7.1. Владелец базы персональных данных оснащен системными и программно-техническими средствами и средствами связи, которые предотвращают потери, хищение, несанкционированное уничтожение, искажение, подделку, копирование информации и соответствуют требованиям международных и национальных стандартов.

7.2. Ответственное лицо организует работу, связанную с защитой персональных данных при их обработке, в соответствии с законом. Ответственное лицо определяется приказом Владельца базы персональных данных.
Обязанности ответственного лица по организации работы, связанной с защитой персональных данных при их обработке, указываются в должностной инструкции.

7.3. Ответственное лицо обязано:

  • знать законодательство Украины в сфере защиты персональных данных;
  • разработать процедуры доступа сотрудников к персональным данным в соответствии с их профессиональными, служебными или трудовыми обязанностями;
  • обеспечивать выполнение сотрудниками Владельца базы персональных данных требований законодательства Украины в сфере защиты персональных данных и внутренних документов, регулирующих деятельность Владельца базы персональных данных по обработке и защите персональных данных;
  • разработать порядок (процедуру) внутреннего контроля за соблюдением требований законодательства Украины в сфере защиты персональных данных и внутренних документов, регулирующих деятельность Владельца базы персональных данных, который, в частности, должен содержать нормы о периодичности осуществления такого контроля;
  • уведомлять Владельца базы персональных данных о фактах нарушений сотрудниками требований законодательства Украины в сфере защиты персональных данных и внутренних документов не позднее одного рабочего дня с момента выявления таких нарушений;
  • обеспечивать хранение документов, подтверждающих предоставление субъектом персональных данных согласия на обработку своих персональных данных и уведомление указанного субъекта о его правах.

7.4. В целях выполнения своих обязанностей ответственное лицо имеет право:

  • получать необходимые документы, в том числе приказы и иные распорядительные документы, выданные Владельцем базы персональных данных и связанные с обработкой персональных данных;
  • делать копии полученных документов, в том числе копии файлов и любых записей, хранящихся в локальных вычислительных сетях и автономных компьютерных системах;
  • участвовать в обсуждении вопросов, связанных с организацией работы по защите персональных данных;
  • вносить предложения по улучшению деятельности и совершенствованию методов работы, подавать замечания и варианты устранения выявленных недостатков в процессе обработки персональных данных;
  • получать пояснения по вопросам обработки персональных данных;
  • подписывать и визировать документы в пределах своей компетенции.

7.5. Работники, которые непосредственно осуществляют обработку и/или имеют доступ к персональным данным в связи с выполнением своих служебных (трудовых) обязанностей, обязаны соблюдать требования законодательства Украины в сфере защиты персональных данных и внутренних документов по обработке и защите персональных данных.

7.6. Работники, имеющие доступ к персональным данным, в том числе осуществляющие их обработку, обязаны не допускать разглашения персональных данных любым способом. Обязательство сохраняет силу после прекращения деятельности, связанной с персональными данными, кроме случаев, установленных законом.

7.7. Лица, имеющие доступ к персональным данным и осуществляющие их обработку, в случае нарушения требований Закона Украины «О защите персональных данных» несут ответственность в соответствии с законодательством Украины.

7.8. Персональные данные не должны храниться дольше, чем это необходимо для цели, для которой они хранятся, но в любом случае не дольше срока хранения данных, определенного согласием субъекта персональных данных на обработку этих данных.

8. Права субъекта персональных данных

8.1. Субъект персональных данных имеет право:

  • знать о местонахождении базы персональных данных, содержащей его персональные данные, ее назначении и наименовании, местонахождении и/или месте проживания (пребывания) владельца или распорядителя такой базы либо поручить получение этой информации уполномоченным лицам, кроме случаев, установленных законом;
  • получать информацию об условиях предоставления доступа к персональным данным, в частности информацию о третьих лицах, которым передаются его персональные данные;
  • на доступ к своим персональным данным, содержащимся в соответствующей базе персональных данных;
  • получать не позднее чем через тридцать календарных дней со дня поступления запроса ответ о том, хранятся ли его персональные данные, а также получать содержание таких данных;
  • предъявлять мотивированное требование с возражением против обработки своих персональных данных органами государственной власти и органами местного самоуправления при осуществлении ими своих полномочий;
  • предъявлять мотивированное требование об изменении или уничтожении своих персональных данных, если они обрабатываются незаконно или являются недостоверными;
  • на защиту своих персональных данных от незаконной обработки и случайной утраты, уничтожения или повреждения;
  • обращаться по вопросам защиты своих прав в органы государственной власти и органы местного самоуправления;
  • применять средства правовой защиты в случае нарушения законодательства о защите персональных данных.

9. Порядок работы с запросами субъекта персональных данных

9.1. Субъект персональных данных имеет право на получение любых сведений о себе у любого субъекта отношений, связанных с персональными данными, без указания цели запроса, кроме случаев, установленных законом.

9.2. Доступ субъекта персональных данных к данным о себе осуществляется бесплатно.

9.3. Субъект персональных данных подает запрос о доступе к персональным данным владельцу базы персональных данных.
В запросе указываются:

  • фамилия, имя и отчество, место проживания (пребывания) и реквизиты документа, удостоверяющего личность;
  • иные сведения, позволяющие идентифицировать субъекта персональных данных;
  • сведения о базе персональных данных либо о владельце или распорядителе базы;
  • перечень персональных данных, которые запрашиваются.

9.4. Срок рассмотрения запроса не может превышать десяти рабочих дней со дня его поступления.

9.5. Запрос удовлетворяется в течение тридцати календарных дней со дня его поступления, если иное не предусмотрено законом.

10. Государственная регистрация базы персональных данных

10.1. Государственная регистрация баз персональных данных осуществляется в соответствии со статьей 9 Закона Украины  «О защите персональных данных»