1.Общие положения

1.1. Настоящая политика по организации обработки и обеспечению безопасности персональных данных (далее – «Политика») утверждена Акционерным обществом «Страховая компания ГАРДИЯ» (далее – АО «ГАРДИЯ», «Оператор») в целях реализации требований действующего законодательства Российской Федерации в области обработки и защиты персональных данных.

1.2. Политика является общедоступным документом, который раскрывает цели, правовые основания, способы и принципы обработки АО «ГАРДИЯ» персональных данных, права и обязанности АО «ГАРДИЯ» при обработке персональных данных, права субъектов персональных данных, а также включает перечень мер, применяемых АО «ГАРДИЯ» в целях обеспечения безопасности персональных данных при их обработке.

1.3. Настоящая Политика распространяется на все процессы АО «ГАРДИЯ», связанные с обработкой персональных данных, и обязательна для исполнения всеми работниками АО «ГАРДИЯ», осуществляющими обработку персональных данных в рамках выполнения своих должностных обязанностей.

1.4. АО «ГАРДИЯ» до начала обработки персональных данных уведомило уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных. Регистрационный номер АО «ГАРДИЯ» в реестре операторов персональных данных (https://pd.rkn.gov.ru/operators-registry/operators-list/): 08-0003803. АО «ГАРДИЯ» добросовестно и в соответствующий срок осуществляет актуализацию сведений, указанных в уведомлении.

2.Основные понятия, используемые в Политике

2.1. Персональные данные (далее также «ПДн») – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

2.2. Оператор персональных данных (оператор) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

2.3. Обработка персональных данных – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя, в том числе, сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;

2.4. Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;

2.5. Смешанная обработка персональных данных – обработка персональных данных как с использованием автоматизированных средств, так и без применения средств автоматизации;

2.6. Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

2.7. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

2.8. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

2.9. Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

2.10. Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

2.11. Специальные категории персональных данных – сведения, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также сведения о судимости;

2.12. Биометрические персональные данные – сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных;

2.13. Информационная система персональных данных (далее также «ИСПДн») – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

2.14. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;

2.15. Конфиденциальность персональных данных – режим ограниченного доступа, включающий в себя требование не раскрывать третьим лицам и не допускать распространение персональных данных без согласия субъекта персональных данных или наличия иного основания согласно действующему законодательству Российской Федерации.

3.Принципы обработки персональных данных

1. Оператор в своей деятельности обеспечивает соблюдение принципов обработки персональных данных, установленных статьей 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон «О персональных данных»), в том числе:

• осуществляет обработку персональных данных на законной и справедливой основе;
• ограничивает обработку персональных данных достижением конкретных, заранее определенных и законных целей и не допускает обработку персональных данных, несовместимой с целями их сбора;
• не допускает объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обрабатывает только персональные данные, которые отвечают целям их обработки;
• обеспечивает соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки и не допускает обработки избыточных персональных данных по отношению к заявленным целям их обработки;
• обеспечивает точность, достаточность и актуальность персональных данных по отношению к целям их обработки, обеспечивает принятие необходимых мер по удалению или уточнению неполных или неточных данных;
• осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;

• обеспечивает уничтожение персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

4.Основные права и обязанности Оператора

4.1. Оператор обязан:

• опубликовать документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего  Оператору  сайта  в  информационно-телекоммуникационной  сети «Интернет»;
• назначить лицо, ответственное за организацию обработки персональных данных;
• принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами;
• принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
• при сборе персональных данных, в том числе посредством информационно- телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (далее также «РФ»), за исключением случаев, предусмотренным законодательством;
• до начала обработки персональных данных, полученных не от субъекта персональных данных, предоставить субъекту персональных данных информацию в соответствии с законодательством о персональных данных;
• в случае, если предоставление персональных данных и/или согласия на их обработку является обязательным в соответствии с требованиями законодательства РФ и субъект персональных данных отказывается предоставить персональные данные и/или предоставить согласие на их обработку, разъяснить юридические последствия непредоставления персональных данных и/или согласия на их обработку;
• при сборе персональных данных предоставить субъекту персональных данных по его просьбе информацию в соответствии с законодательством о персональных данных;
• принимать и рассматривать обращения субъектов персональных данных, направленные по адресам, указанными на официальном сайте Оператора в разделе https://gardia.sk/contact- us/, соответствующие требованиям Закона «О персональных данных», тщательно расследуя факты нарушений и принимать все необходимые меры для их немедленного устранения и урегулирования спорных и конфликтных ситуаций в досудебном порядке;
• по запросу субъекта персональных данных (его представителя) предоставить информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также возможность ознакомления с этими персональными данными безвозмездно, а в случае отказа в предоставлении информации предоставить ответ с мотивированным обоснованием такого отказа в течение десяти рабочих дней с даты получения запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более, чем на пять рабочих дней, в случае направления Оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации;
• внести необходимые изменения в персональные данные в срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными;
• уничтожить персональные данные в срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
• выполнять обязанности, установленные для операторов персональных данных, в случае получения от субъекта персональных данных требования о прекращении обработки персональных данных и/или отзыва согласия на обработку персональных данных;
• осуществлять (или обеспечить осуществление) уточнение, блокирование, уничтожение персональных данных в случаях, предусмотренных законодательством о персональных данных;
• устранять нарушения законодательства, допущенные при обработке персональных данных;
• предоставлять информацию по запросу уполномоченного органа по защите прав субъектов персональных данных, а также уведомлять уполномоченный орган по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, в порядке и сроки, предусмотренные законодательством о персональных данных;
• выполнять иные обязанности, предусмотренные законодательством о персональных данных.

4.2. Оператор имеет право:

• самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей оператора персональных данных, предусмотренных законодательством о персональных данных;
• обрабатывать персональные данные субъектов персональных данных в отсутствие согласия на обработку персональных данных в случаях, предусмотренных законодательством РФ;
• осуществлять передачу персональных данных субъектов персональных данных третьим лицам, а также поручать обработку персональных данных субъектов персональных данных третьим лицам на основании заключенных с ними договоров при наличии соответствующих правовых оснований и соблюдении требований;
• отказать субъекту персональных данных в предоставлении сведений об обработке его персональных данных в случаях, предусмотренных законодательством о персональных данных;
• реализовывать иные права, предусмотренные законодательством о персональных данных.

5.Права субъектов персональных данных

Субъект персональных данных имеет право:

• на получение информации, касающейся обработки его персональных данных Оператором, в порядке, форме и в сроки, установленные законодательством Российской Федерации в области персональных данных. Примечание: право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе, если обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, а также если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц;
• требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• принимать меры по защите своих прав, предусмотренные законом;
• отозвать свое согласие на обработку персональных данных;
• обратиться к Оператору для реализации и защиты своих прав и законных интересов;
• обжаловать действия или бездействие Оператора путем обращения в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке, если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований Закона «О персональных данных» или иным образом нарушает его права и свободы;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и/или компенсацию морального вреда в судебном порядке.

6.Цели, категории и перечень (объем) обрабатываемых персональных данных, категории субъектов персональных данных, способы и сроки обработки и хранения

Оператор осуществляет обработку персональных данных в следующих целях:

1. Ведение кадрового делопроизводства; обеспечение соблюдения трудового, налогового, пенсионного, страхового, иного применимого законодательства РФ и иных нормативных правовых актов (в том числе содержащих требования к оценке квалификации и деловой репутации должностных лиц, согласованию кандидатов на должности); содействие работникам в трудоустройстве, получении образования и продвижении по службе; обеспечение личной безопасности работников; контроль количества и качества выполняемой работы; обеспечение сохранности имущества; оказание содействия в открытии счета и выпуске платежной карты для начисления заработной платы; предоставление услуг такси и корпоративной мобильной связи; оформление доверенностей; изготовление визитных карточек; организация служебных командировок; предоставление страхования для работников и их родственников; предоставление работникам служебных  транспортных  средств;  подготовка, заключение и исполнение гражданско-правовых договоров.

Категории субъектов ПДн: работники; родственники работников; уволенные работники; исполнители по гражданско-правовым договорам; члены совета директоров.
Перечень обрабатываемых ПДн: фамилия, имя, отчество; год рождения; дата рождения; место рождения; семейное положение; доходы; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; данные водительского удостоверения; данные документа, удостоверяющего личность за пределами Российской Федерации; данные документа, содержащиеся в свидетельстве о рождении; реквизиты банковской карты; номер лицевого счета; профессия; должность; сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации);   отношение   к   воинской обязанности;  сведения  о  воинском  учете; сведения об образовании; данные свидетельства о заключении брака; сведения о знании и об уровне владения иностранными языками; сведения о степени родства; дата регистрации по месту жительства; сведения о прохождении обучения; сведения о повышении квалификации; сведения о профессиональной переподготовке; сведения о наградах (поощрениях), почетных званиях; сведения об отпусках; сведения о социальных льготах; структурное подразделение; реквизиты трудового договора; реквизиты трудовой книжки; сведения о факте и дате прекращения трудового договора; сведения о размере оклада; сведения о начисленной и удержанной заработной плате; сведения о начисленных и уплаченных страховых взносах; сведения о премиях; сведения о периодических выплатах; сведения о сумме дополнительного вознаграждения; сведения о выплатах материальной помощи и иных компенсаций; сведения о ценных призах и подарках.
Специальные категории ПДн: сведения о состоянии здоровья; сведения о судимости.
Способы обработки: смешанная.
Сроки обработки и хранения: срок хранения персональных данных, предусмотренный законодательством РФ, договором или согласием субъекта персональных данных на обработку его персональных данных.

2. Подбор персонала (соискателей) на вакантные должности оператора, ведение кадрового резерва

Категории субъектов ПДн: соискатели.
Перечень обрабатываемых ПДн: фамилия, имя, отчество; год рождения; дата рождения; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; данные документа,  удостоверяющего личность; профессия; должность; сведения об образовании; сведения о знании и об уровне владения иностранными языками; сведения о прохождении обучения; сведения о повышении квалификации; сведения о профессиональной переподготовке; сведения о трудовой деятельности (в том числе о наименовании текущего и предыдущих мест трудоустройства).
Способы обработки: смешанная.
Сроки обработки и хранения: срок хранения персональных данных, предусмотренный согласием  субъекта  персональных  данных  на
обработку его персональных данных.

3. Осуществление страховой и перестраховочной деятельности, включая:

• заключение, сопровождение, исполнение и расторжение договоров страхования(перестрахования);
• урегулирование убытков и осуществление страховых выплат;
• заключение и исполнение договоров со страховыми посредниками;
• выполнение требований законодательства о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;
• рассмотрение и учет обращений клиентов и иных лиц;
• организация и осуществление (самостоятельно или с привлечением третьих лиц) внешнего и внутреннего контроля и аудита.

Категории субъектов ПДн: контрагенты; представители контрагентов; клиенты; выгодоприобретатели по договорам страхования; законные представители;    представители клиентов, бенефициарные владельцы клиентов, застрахованные лица.
Перечень обрабатываемых ПДн: фамилия, имя, отчество; дата рождения; место рождения; семейное положение; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; СНИЛС; ИНН; гражданство; данные документа, удостоверяющего личность; реквизиты банковской карты; номер расчетного счета; номер лицевого счета; профессия; должность; данные миграционной карты данные документа, подтверждающего право на пребывание(проживание) в РФ; сведения о статусе публичного должностного лица; степень родства либо статус клиента по отношению к публичному должностному лицу; наименование работодателя; сведения об имуществе.
Специальные категории ПДн: сведения о состоянии здоровья.
Способы обработки: смешанная.
Сроки обработки и хранения: срок хранения персональных данных, предусмотренный законодательством РФ, договором или согласием субъекта персональных данных на обработку его персональных данных.

4. Осуществление общехозяйственной деятельности: подготовка, заключение и исполнение договоров на поставку товаров, выполнение работ и оказание услуг в пользу АО «ГАРДИЯ», проведение тендеров, принятие мер должной осмотрительности в отношении (потенциальных) контрагентов.

Категории субъектов ПДн: контрагенты; представители контрагентов.
Перечень обрабатываемых ПДн: фамилия, имя, отчество; адрес электронной почты; номер телефона; ИНН; номер расчетного счета; должность, реквизиты документа, удостоверяющего личность, и иные сведения, содержащиеся в документе, подтверждающем полномочия лица, подписывающего договор от имени контрагента.
Способы обработки: смешанная.
Сроки обработки и хранения: срок хранения персональных данных, предусмотренный законодательством РФ, договором или согласием субъекта персональных данных на обработку его персональных данных.

5. Сбор статистики по посещению сайта, персонализация сервисов и обеспечение удобства использования сайта Оператора
Категории субъектов ПДн: посетители сайта АО «ГАРДИЯ».
Перечень обрабатываемых ПДн:
Данные, содержащиеся в файлах cookie: сведения о пользовательской сессии (включая, но не ограничиваясь: сведения о посещенных страницах, сведения о количестве посещений страниц, сведения о длительности пользовательской сессии, сведения о действиях пользователя (переходы между разделами сайта и нажатия клавиш);
- сведения об устройстве пользователя (включая, но не ограничиваясь: сведения о браузере пользователя, сведения о системных языках пользователя, сведения о поддерживаемых шрифтах пользователя, сведения об операционной системе пользователя, сведения о стране и регионе пользователя, сведения о провайдере пользователя, сведения о разрешении экрана пользователя, сведения о количестве цветов экрана пользователя, сведения о внутреннем номере устройства, сведения о процессоре устройства, сведения о настройках устройства, сведения о аудио- и видеоустройствах, сведения об установленных плагинах).
Способы обработки: автоматизированная.
Сроки обработки и хранения: в течение срока использования сайта Оператора.

7.Правовые основания обработки ПДн

7.1. Правовым основанием обработки персональных данных является совокупность федеральных законов, законов и принятых на их основе нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе:

1. Трудовой кодекс РФ и иные нормативно-правовые акты, регулирующие трудовые отношения;
2. Налоговый кодекс РФ;
3. Гражданский кодекс РФ;
4. Федеральный закон от 26.12.1995 № 208-ФЗ «Об акционерных обществах»;
5. Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
6. Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
7. Федеральный закон от 29.12.2006 № 255-ФЗ «Об обязательном социальном страховании на случай временной нетрудоспособности и в связи с материнством»;
8. Федеральный закон от 28.12.2013 № 426-ФЗ «О специальной оценке условий труда»;
9. Федеральный закон от 27.07.2010 № 225-ФЗ «Об обязательном страховании гражданской ответственности владельца опасного объекта за причинение вреда в результате аварии на опасном объекте»;
10. Федеральный закон от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма»
11. Закон РФ от 27 ноября 1992 года № 4015-I «Об организации страхового дела в Российской Федерации»;
12. Постановление Правительства РФ от 24.12.2021 № 2464 «О порядке обучения по охране труда и проверки знания требований охраны труда»;
13. Постановление Госкомстата РФ от 05.01.2004 № 1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты»;
14. Приказ Минтруда России от 20.04.2022 № 223н «Об утверждении Положения об особенностях расследования несчастных случаев на производстве в отдельных отраслях и организациях, форм документов, соответствующих классификаторов, необходимых для расследования несчастных случаев на производстве»;
15. Нормативные правовые акты Банка России, регулирующие деятельность страховых организаций;
16. Нормативно-правовые акты, устанавливающие требования к хранению документов (в частности, Указание Банка России от 12 сентября 2018 г. № 4902-У «О перечне документов, сохранность которых должны обеспечить страховщики, и требованиях к обеспечению сохранности таких документов», Приказ Росархива от 20.12.2019 № 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения»);

7.2. Правовым основанием обработки персональных данных также являются:

1. Устав АО «ГАРДИЯ»;
2. согласия субъектов ПДн на обработку их ПДн (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям Оператора);
3. договоры, стороной которых либо выгодоприобретателем или поручителем по которым являются субъекты ПДн.

7.3. Оператор также вправе осуществлять обработку персональных данных, если это необходимо для осуществления прав и законных интересов Оператора или третьих лиц.

8.Порядок и условия обработки персональных данных

8.1. Обработка ПДн Оператором включает в себя сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение ПДн.

8.2. Оператор осуществляет обработку ПДн с использованием средств автоматизации и без использования средств автоматизации, а также смешанную обработку.

8.3. При сборе ПДн Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, прямо предусмотренных действующим законодательством Российской Федерации.

8.4. Оператор не осуществляет обработку биометрических персональных данных.

8.5. Оператор не осуществляет трансграничную передачу персональных данных.

8.6. Оператор установил следующие условия прекращения обработки ПДн:

1. достижение целей обработки ПДн и максимальных сроков хранения;
2. утрата необходимости в достижении целей обработки ПДн;
3. предоставление субъектом ПДн или его законным представителем сведений, подтверждающих, что ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
4. невозможность обеспечения правомерности обработки ПДн;
5. отзыв субъектом ПДн согласия на обработку ПДн, если сохранение ПДн более не требуется для целей обработки ПДн;
6. истечение сроков исковой давности для правоотношений, в рамках которых осуществляется либо осуществлялась обработка ПДн.

8.8. Оператор осуществляет сбор и обработку только тех персональных данных, которые необходимы для достижения заявленных в настоящей Политике целей.

8.9. Оператором не принимаются решения, порождающие юридические последствия в отношении субъектов ПДн или иным образом затрагивающие их права и законные интересы, на основании исключительно автоматизированной обработки их ПДн.

8.10. Заключаемые Оператором договоры с субъектами персональных данных не содержат положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации, а также положения, допускающие в качестве условия заключения договора бездействие субъекта персональных данных.

8.11. Оператор вправе передавать персональные данные в уполномоченные органы или сторонние организации в соответствии с требованиями действующего законодательства РФ (в частности, трудового, налогового, страхового законодательства РФ, законодательства о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма, законодательства об аудиторской деятельности, законодательства об акционерных обществах, законодательства в сфере социального и пенсионного обеспечения, законодательства о воинском учете в РФ).

8.12. Оператор также вправе передавать персональные данные или поручить обработку персональных данных третьим лицам, не указанным в п. 8.11 настоящей Политики, если иное не предусмотрено федеральным законом, на основании согласия субъекта персональных данных и при наличии заключенного с таким третьим лицом договора, содержащего его обязательства о соблюдении конфиденциальности и обеспечении безопасности персональных данных.

8.13. Оператор вправе поручить хранение документов, содержащих в том числе персональные данные, третьему лицу на основании договора.

8.14. Сроки хранения персональных данных определяются в соответствии со сроком действия согласия субъекта на обработку его персональных данных, а также сроком действия договоров, стороной или выгодоприобретателем по которым является субъект персональных данных, сроками исковой давности, требованиями к срокам хранения документов, иными требованиями законодательства Российской Федерации.

9.Меры по надлежащей организации обработки и обеспечению безопасности ПДн

9.1.Оператор при обработке ПДн принимает все необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении них. Обеспечение безопасности ПДн достигается, в частности, следующими способами:

1. назначением лица, ответственного за организацию обработки ПДн, и лица, ответственного за обеспечение безопасности персональных данных в ИСПДн;
2. разработкой локальных нормативных актов Оператора по вопросам обработки и защиты персональных данных;
3. осуществлением внутреннего контроля и (или) аудита соответствия обработки ПДн Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, требованиям к защите ПДн, локальным актам Оператора;
4. ознакомлением сотрудников Оператора, непосредственно осуществляющих обработку ПДн, с положениями законодательства Российской Федерации о ПДн, в том числе с требованиями к защите ПДн, локальными актами Оператора в отношении обработки ПДн и (или) обучением указанных сотрудников;
5. определением угроз безопасности ПДн при их обработке в ИСПДн;
6. применением организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн, необходимых для выполнения требований к защите ПДн;
7. оценкой эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;
8. организацией режима безопасности помещений, в которых осуществляется обработка ПДн и (или) размещены ИСПДн Оператора;
9. определением мест хранения материальных носителей ПДн, а также обеспечением учета и сохранности материальных носителей ПДн;
10. выявлением фактов несанкционированного доступа к ПДн и принятием соответствующих мер;
11. восстановлением ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
12. установлением правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечением регистрации и учета всех действий, совершаемых с ПДн в ИСПДн;
13. контролем над принимаемыми мерами по обеспечению безопасности ПДн и уровнем защищенности ИСПДн.

9.2. Обязанности сотрудников Оператора, осуществляющих обработку и защиту ПДн, а также их ответственность, определяются в «Положении об организации обработки и обеспечении безопасности персональных данных» Оператора.

10.Доступ к Политике

10.1. Электронная версия действующей редакции Политики размещена на сайте Оператора в сети «Интернет» в разделе https://gardia.sk/privacy_policy/.

11.Порядок утверждения и внесения изменений в Политику

11.1. Политика утверждается и вводится в действие приказом руководителя Оператора и действует до ее отмены.

11.2. Оператор имеет право вносить изменения в Политику. Изменения утверждаются приказом руководителя Оператора.

11.2.1. Политика пересматривается по мере необходимости, но не реже одного раза в три года с момента проведения предыдущего пересмотра Политики.

11.2.2. Политика может пересматриваться ранее срока, указанного в п. 11.2.1 Политики, по мере внесения изменений:

1. в нормативные правовые акты Российской Федерации в сфере ПДн;
2. в локальные нормативные и индивидуальные акты Оператора, регламентирующие организацию обработки и обеспечение безопасности ПДн;
3. в договоры и соглашения, регламентирующие правоотношения Оператора с контрагентами и иными лицами;
4. в порядок организации Оператором обработки и обеспечения безопасности ПДн.