Политика в отношении обработки персональных данных и обеспечения их конфиденциальности

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности в ООО «Эльдорадо» (далее — Оператор).

1.2. Политика действует в отношении всех персональных данных, которые Оператор получает и обрабатывает, в том числе персональных данных пользователей сайта Оператора.

1.3. Политика разработана в соответствии с Конституцией Российской Федерации, Законом № 152-ФЗ, Трудовым кодексом Российской Федерации, Налоговым кодексом Российской Федерации, Федеральным законом от 07.08.2001 № 115-ФЗ, а также принятыми в соответствии с ними подзаконными актами, в том числе постановлением Правительства Российской Федерации от 01.11.2012 № 1119 и приказом ФСТЭК России от 18.02.2013 № 21.

1.4. Политика утверждается приказом Генерального директора, действует бессрочно до замены её новой редакцией и подлежит опубликованию в свободном доступе на сайте Оператора в сети «Интернет» (часть 2 статьи 18.1 Закона № 152-ФЗ).

2. Основные понятия

2.1. В Политике используются понятия в значениях, установленных статьёй 3 Закона № 152-ФЗ:

• персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
• оператор — ООО «Эльдорадо», самостоятельно организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели и состав обрабатываемых персональных данных;
• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с персональными данными с использованием средств автоматизации или без их использования;
• пользователь сайта — физическое лицо, направляющее Оператору сведения через формы обратной связи, размещённые на сайте Оператора.

3. Категории субъектов и состав обрабатываемых персональных данных

3.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• Пользователи сайта (формы обратной связи): фамилия, имя, отчество (при указании), номер телефона, адрес электронной почты, а также иные сведения, добровольно сообщённые пользователем в тексте обращения.
• Контрагенты и их представители (единоличный исполнительный орган): фамилия, имя, отчество, паспортные данные, дата рождения, адрес регистрации, должность и реквизиты документа о полномочиях, идентификационный номер налогоплательщика.
• Работники Оператора: персональные данные в объёме, предусмотренном трудовым законодательством Российской Федерации.

3.2. При обращении через сайт Оператор дополнительно обрабатывает технические данные, автоматически передаваемые устройством пользователя (IP-адрес, дата и время обращения, сведения журналов сервера), исключительно для обеспечения работоспособности сайта и информационной безопасности.

3.3. Оператор не обрабатывает специальные категории персональных данных (статья 10 Закона № 152-ФЗ) и биометрические персональные данные (статья 11 Закона № 152-ФЗ). Оператор не использует сторонние системы веб-аналитики и не осуществляет идентификацию пользователей и построение их профилей на основе cookie-файлов; используемые cookie-файлы носят технический характер и необходимы для функционирования сайта.

4. Цели обработки персональных данных

• рассмотрение обращений пользователей, направленных через форму обратной связи, и обратная связь с ними;
• идентификация и проверка полномочий единоличного исполнительного органа контрагента, проверка благонадёжности и комплаенс-рисков контрагента;
• заключение, исполнение и сопровождение агентских договоров, договоров поставки нефтепродуктов и связанных с ними документов;
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации, в том числе Федеральным законом № 115-ФЗ, налоговым и трудовым законодательством;
• ведение кадрового, бухгалтерского и налогового учёта.

5. Правовые основания обработки

5.1. Правовыми основаниями обработки являются: Закон № 152-ФЗ и иные нормативные правовые акты, регулирующие деятельность Оператора; договоры, стороной, выгодоприобретателем или поручителем по которым является субъект персональных данных; согласия субъектов персональных данных на обработку их персональных данных.

5.2. Обработка персональных данных единоличного исполнительного органа контрагента и передача их получателям осуществляются на основании отдельного согласия субъекта персональных данных, оформляемого в соответствии со статьёй 9 Закона № 152-ФЗ.

6. Порядок и условия обработки персональных данных

6.1. Обработка осуществляется с соблюдением принципов и условий, предусмотренных статьями 5–7 Закона № 152-ФЗ, на законной и справедливой основе, ограничивается достижением конкретных, заранее определённых и законных целей. Обработке подлежат только персональные данные, отвечающие целям их обработки; их содержание и объём соответствуют заявленным целям и не являются избыточными.

6.2. Обработка осуществляется смешанным способом — с использованием средств автоматизации и без их использования.

6.3. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ).

6.4. Трансграничная передача персональных данных Оператором не осуществляется.

6.5. Сведения, поступившие через форму обратной связи, используются исключительно для обработки соответствующего обращения и не передаются третьим лицам, за исключением случаев, предусмотренных законодательством Российской Федерации.

6.6. Оператор не принимает решений, порождающих юридические последствия в отношении субъектов, исключительно на основании автоматизированной обработки их персональных данных.

7. Предоставление персональных данных третьим лицам

7.1. Оператор вправе предоставлять (передавать) персональные данные контрагентов и их представителей поставщикам, включая вертикально-интегрированные нефтяные компании и уполномоченные ими сбытовые организации, кредитным организациям и лицам, привлекаемым для проверки контрагентов, — в целях, указанных в разделе 4, и на основании согласия субъекта персональных данных либо в силу требований законодательства Российской Федерации.

7.2. Персональные данные пользователей сайта третьим лицам не предоставляются, за исключением случаев, предусмотренных законодательством Российской Федерации (в том числе по мотивированным запросам уполномоченных государственных органов).

7.3. Оператор не осуществляет распространение персональных данных неограниченному кругу лиц в порядке статьи 10.1 Закона № 152-ФЗ.

8. Сроки хранения. Актуализация, блокирование и уничтожение

8.1. Персональные данные хранятся не дольше, чем этого требуют цели их обработки, если срок хранения не установлен федеральным законом или договором. Обращения пользователей хранятся в течение срока, необходимого для их рассмотрения, и не более 1 года; документы, содержащие персональные данные контрагентов, — в течение срока действия договора и последующих 5 лет; кадровые документы — в сроки, установленные законодательством об архивном деле.

8.2. При достижении целей обработки, отзыве согласия или истечении срока хранения персональные данные подлежат уничтожению в срок, не превышающий 30 дней. Уничтожение подтверждается актом и выгрузкой из журнала регистрации событий (приказ Роскомнадзора от 28.10.2022 № 179).

8.3. При выявлении неправомерной обработки или неточности персональных данных Оператор осуществляет их блокирование, уточнение либо уничтожение в сроки, установленные статьёй 21 Закона № 152-ФЗ.

9. Меры по обеспечению безопасности персональных данных

9.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона № 152-ФЗ, в том числе:

• назначение лица, ответственного за организацию обработки персональных данных;
• издание Политики и локальных актов по вопросам обработки и защиты персональных данных, ознакомление с ними работников;
• определение угроз безопасности и уровня защищённости информационной системы персональных данных; применение мер в соответствии с приказом ФСТЭК России № 21;
• разграничение прав доступа, применение средств защиты информации, двухфакторной аутентификации, шифрования каналов передачи и хранилищ;
• резервное копирование, журналирование доступа, антивирусную защиту, регулярное обновление программного обеспечения;
• осуществление внутреннего контроля соответствия обработки требованиям законодательства и оценку вреда, который может быть причинён субъектам.

9.2. При установлении факта неправомерной передачи (предоставления, распространения, доступа) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования (часть 3.1 статьи 21 Закона № 152-ФЗ).

10. Права субъектов персональных данных

10.1. Субъект персональных данных имеет право (статьи 14–14.1 Закона № 152-ФЗ):

• получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных законом;
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

10.2. Для реализации своих прав субъект направляет Оператору запрос по адресу места нахождения Оператора или на адрес электронной почты eldoradozip@mail.ru. Запрос рассматривается в течение 10 рабочих дней с даты его получения; указанный срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя.

11. Заключительные положения

11.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её утверждения приказом и опубликования на сайте Оператора, если иное не предусмотрено новой редакцией.

11.2. Действующая редакция Политики размещена в свободном доступе на сайте Оператора и предоставляется любому лицу по его запросу.

11.3. Контроль за исполнением Политики возлагается на лицо, ответственное за организацию обработки персональных данных. За нарушение требований законодательства о персональных данных виновные лица несут ответственность, предусмотренную законодательством Российской Федерации (статья 13.11 КоАП РФ, статья 272.1 УК РФ).