1. Общие положения
1.1. Настоящая Политика определяет цели, правовые основания, порядок и условия обработки персональных данных (далее — ПДн), права субъектов ПДн и меры по защите ПДн в акционерном обществе «Балтийская химическая компания» (далее — Оператор). Политика разработана во исполнение ч. 1 и 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) на основании Положения об обработке и защите персональных данных АО «БХК».
1.2. Политика является общедоступным документом и опубликована на сайте Оператора https://bxk.ru. Политика действует в отношении всех ПДн, которые обрабатывает Оператор, в том числе полученных через сайт.
1.3. Сведения об Операторе: АО «Балтийская химическая компания» (АО «БХК»), ИНН 7811458644, ОГРН 1107847075060; адрес: 193318, г. Санкт-Петербург, ул. Ворошилова, д. 2, литера А, пом. 5-Н; электронная почта для обращений по вопросам ПДн: info@bxk.ru. Оператор внесён в реестр операторов, осуществляющих обработку ПДн, регистрационный номер 78-14-001490.
1.4. Основные понятия используются в значении, установленном ст. 3 152-ФЗ: персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту ПДн); обработка ПДн — любое действие или совокупность действий с ПДн, совершаемых с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение; распространение — действия, направленные на раскрытие ПДн неопределённому кругу лиц; предоставление — действия, направленные на раскрытие ПДн определённому лицу или кругу лиц.
2. Принципы обработки
2.1. Оператор обрабатывает ПДн законно и справедливо; только для конкретных, заранее определённых и законных целей; в объёме, необходимом для этих целей; не объединяет базы данных, обработка которых ведётся в несовместимых целях; обеспечивает точность ПДн и при необходимости их актуализацию; хранит ПДн не дольше, чем требуют цели обработки или федеральный закон, и уничтожает либо обезличивает их по достижении целей (ст. 5 152-ФЗ).
2.2. Избыточные ПДн, полученные от субъекта (например, в файлах, приложенных к заявке), Оператором не используются и уничтожаются вместе с заявкой.
3. Цели, категории субъектов, состав ПДн, правовые основания и сроки
| Цель | Субъекты | Персональные данные | Правовое основание | Срок хранения |
|---|---|---|---|---|
| Рассмотрение заявок и обращений, поступивших через сайт, по телефону и электронной почте; подготовка расчётов и коммерческих предложений | Посетители сайта, представители заказчиков | Имя, контактный телефон, адрес электронной почты, организация, сведения из комментария и приложенных файлов; перечень просмотренных страниц сайта и источник перехода (если посетитель не отказался от cookie) | Согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ) | До достижения цели, но не более 1 года с даты последнего обращения; при заключении договора — в сроки цели «Заключение и исполнение договоров»; при отзыве согласия — уничтожение в течение 30 дней |
| Заключение и исполнение договоров | Представители и работники контрагентов | Фамилия, имя, отчество, должность, контактные данные, данные доверенностей | Договор; законный интерес Оператора (п. 5, 7 ч. 1 ст. 6 152-ФЗ) | 5 лет после окончания отчётного года, в котором договор исполнен или прекращён |
| Кадровый и бухгалтерский учёт | Работники, бывшие работники, родственники работников | Фамилия, имя, отчество, дата рождения, паспортные данные, адреса регистрации и проживания, ИНН, СНИЛС, сведения об образовании и трудовой деятельности, банковские реквизиты, сведения воинского учёта, фотография, сведения о состоянии здоровья в объёме медицинских заключений о пригодности к работе | Исполнение обязанностей по трудовому, налоговому законодательству, законодательству о бухгалтерском учёте и страховании (п. 2 ч. 1 ст. 6; п. 2.3 ч. 2 ст. 10 152-ФЗ); согласие работника — для сведений сверх требований закона | Личные дела, личные карточки, приказы по личному составу, лицевые счета — 50 лет (документы до 01.01.2003 — 75 лет); документы бухгалтерского и налогового учёта — 5 лет после отчётного года; иные — по номенклатуре дел |
| Подбор персонала | Кандидаты на трудоустройство | Фамилия, имя, отчество, контактные данные, сведения из резюме | Согласие соискателя (п. 1 ч. 1 ст. 6 152-ФЗ) | До принятия решения; при отказе — не более 30 дней; при согласии на включение в кадровый резерв — не более 1 года |
| Обучение, переподготовка, повышение квалификации, аттестация работников | Работники | Фамилия, имя, отчество, паспортные данные, фотография, СНИЛС, контактные данные, адрес регистрации, удостоверения, сведения об образовании и квалификации | Письменное согласие работника на передачу (ст. 9 152-ФЗ; ст. 88 ТК РФ) | В составе личного дела — в сроки кадрового учёта |
| Оформление допуска работников на объекты заказчиков | Работники | Фамилия, имя, отчество, паспортные данные, фотография, контактный телефон, адреса регистрации и проживания, удостоверения, допуски, сведения о квалификации | Письменное согласие работника на передачу (ст. 9 152-ФЗ; ст. 88 ТК РФ) | Срок работ на объекте и 1 год после их окончания |
| Статистика посещений сайта | Посетители сайта | Файлы cookie, IP-адрес, сведения о браузере и устройстве, адреса просмотренных страниц, действия на страницах | Законный интерес Оператора (п. 7 ч. 1 ст. 6 152-ФЗ); посетитель вправе отказаться кнопкой «Отказаться» в уведомлении о cookie | В сервисе Яндекс Метрика — в сроки хранения данных сервисом; у Оператора — только в обезличенном (агрегированном) виде |
3.1. Биометрические ПДн Оператор не обрабатывает: фотографии работников используются для оформления пропусков и удостоверений и не используются для установления личности. Специальные категории ПДн не обрабатываются, за исключением сведений о состоянии здоровья работников в объёме медицинских заключений о пригодности к выполнению работы; такие сведения обрабатываются только на бумажных носителях.
3.2. Оператор не осуществляет трансграничную передачу ПДн и не принимает решений, порождающих юридические последствия для субъекта, на основании исключительно автоматизированной обработки.
3.3. Распространение ПДн осуществляется только на основании отдельного согласия субъекта на обработку ПДн, разрешённых для распространения (ст. 10.1 152-ФЗ): на сайте Оператора размещаются фамилия, имя, отчество и должность генерального директора.
4. Порядок и условия обработки
4.1. Оператор обрабатывает ПДн с использованием средств автоматизации и без них (смешанная обработка), с передачей по внутренней сети Оператора и по сети Интернет. Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
4.2. Запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации.
4.3. Согласие на обработку ПДн при отправке заявки через сайт даётся отдельной отметкой в форме заявки; отметка не проставлена по умолчанию, рядом с ней размещена ссылка на настоящую Политику.
4.4. Оператор поручает обработку ПДн следующим лицам (ч. 3 ст. 6 152-ФЗ):
а) ООО «Яндекс» (119021, г. Москва, ул. Льва Толстого, д. 16) — сбор и хранение статистики посещений сайта (сервис Яндекс Метрика) на условиях использования сервиса. Посетитель может отказаться от сбора статистики кнопкой «Отказаться» в уведомлении о cookie. При записи сессий поля формы заявки исключаются из записи. Подробнее — в Политике использования файлов cookie на сайте;
б) хостинг-провайдер — хранение данных сайта и корпоративной почты на серверах в Российской Федерации по договору хостинга.
Лица, обрабатывающие ПДн по поручению Оператора, обязаны соблюдать конфиденциальность ПДн и обеспечивать их безопасность в соответствии со ст. 19 152-ФЗ.
4.5. Оператор передаёт ПДн в ФНС России, Социальный фонд России, военные комиссариаты и иные государственные органы в случаях, предусмотренных федеральными законами. ПДн работников передаются заказчикам, образовательным организациям и банку в рамках зарплатного проекта только с письменного согласия работника, в котором указываются наименование и адрес получателя.
4.6. Иным лицам и сервисам, в том числе сервисам искусственного интеллекта и мессенджерам, ПДн не передаются.
4.7. Оператор и его работники, получившие доступ к ПДн, не раскрывают их третьим лицам и не распространяют без согласия субъекта, если иное не предусмотрено федеральным законом.
5. Хранение и уничтожение ПДн
5.1. ПДн хранятся в форме, позволяющей определить субъекта, не дольше, чем требуют цели обработки, если срок хранения не установлен федеральным законом или договором, стороной которого является субъект. Сроки хранения по каждой цели указаны в разделе 3.
5.2. Оператор уничтожает ПДн или обеспечивает их уничтожение:
— по достижении цели обработки или при утрате необходимости в её достижении — в срок не более 30 дней;
— при отзыве субъектом согласия, если нет иного основания для обработки, — в срок не более 30 дней с даты поступления отзыва;
— при выявлении неправомерной обработки, если обеспечить её правомерность невозможно, — в срок не более 10 рабочих дней с даты выявления; неправомерная обработка прекращается в срок не более 3 рабочих дней. Об уничтожении Оператор уведомляет субъекта, а если обращение или запрос поступили от Роскомнадзора — также Роскомнадзор.
5.3. По требованию субъекта о прекращении обработки Оператор прекращает обработку в срок не более 10 рабочих дней с даты получения требования, за исключением случаев, когда обработка допускается без согласия субъекта. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления.
5.4. Если уничтожить ПДн в указанные сроки невозможно, Оператор блокирует их и уничтожает в срок не более 6 месяцев, если иной срок не установлен федеральным законом.
5.5. Уничтожение ПДн подтверждается актом, а при обработке в информационной системе — актом и выгрузкой из журнала регистрации событий.
6. Права субъекта ПДн
6.1. Субъект ПДн имеет право получить сведения об обработке его ПДн, в том числе: подтверждение факта обработки; правовые основания и цели обработки; применяемые способы обработки; наименование и место нахождения Оператора и сведения о лицах (кроме работников Оператора), которые имеют доступ к ПДн или которым они могут быть раскрыты на основании договора или федерального закона; состав обрабатываемых ПДн и источник их получения; сроки обработки и хранения; порядок осуществления своих прав; наименование и адрес лица, обрабатывающего ПДн по поручению Оператора; сведения о способах исполнения Оператором обязанностей по ст. 18.1 152-ФЗ; иные сведения, предусмотренные федеральными законами.
6.2. Субъект ПДн вправе требовать уточнения, блокирования или уничтожения своих ПДн, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки; отозвать согласие на обработку ПДн; требовать прекращения обработки ПДн; обжаловать действия или бездействие Оператора в Роскомнадзор или в суд.
7. Порядок обращения субъектов
7.1. Запросы и обращения направляются на адрес электронной почты info@bxk.ru или почтой по адресу Оператора, указанному в п. 1.3.
7.2. Запрос должен содержать: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате его выдачи и выдавшем органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (например, дату заявки или номер договора) либо иным образом подтверждающие факт обработки ПДн Оператором; подпись субъекта или его представителя. Запрос в форме электронного документа подписывается электронной подписью.
7.3. Оператор предоставляет ответ на запрос в течение 10 рабочих дней с даты обращения или получения запроса. Срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления с указанием причин продления.
7.4. На запросы Роскомнадзора Оператор отвечает в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления.
8. Меры по обеспечению безопасности ПДн
8.1. Оператор принимает правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий (ст. 18.1, 19 152-ФЗ), в том числе:
— назначен ответственный за организацию обработки ПДн; приняты локальные акты по вопросам обработки и защиты ПДн; работники, допущенные к обработке ПДн, ознакомлены с ними под подпись;
— доступ к ПДн предоставляется только работникам, которым он необходим для выполнения должностных обязанностей;
— определены угрозы безопасности ПДн и уровень их защищённости в информационных системах; выполняются требования, установленные постановлением Правительства РФ от 01.11.2012 № 1119 и приказом ФСТЭК России от 18.02.2013 № 21;
— применяются индивидуальные учётные записи и пароли, антивирусная защита, шифрование соединения с сайтом и почтой, резервное копирование; обеспечиваются учёт и сохранность носителей ПДн и режим безопасности помещений;
— проводятся внутренний контроль соответствия обработки ПДн требованиям 152-ФЗ и оценка вреда, который может быть причинён субъектам ПДн.
8.2. При выявлении неправомерной или случайной передачи ПДн, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования.
9. Заключительные положения
9.1. Политика утверждается и изменяется приказом генерального директора и вступает в силу со дня утверждения. Действующая редакция постоянно размещена на сайте Оператора.
9.2. Политика пересматривается при изменении законодательства о ПДн, целей или порядка обработки ПДн.
9.3. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации о персональных данных.