Політика конфіденційності та Положення про обробку і захист персональних даних

1. Загальні поняття та сфера застосування

1.1. Визначення термінів

• База персональних даних — іменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних.
• Відповідальна особа — визначена особа, яка організовує роботу, пов’язану із захистом персональних даних при їх обробці, відповідно до закону.
• Володілець бази персональних даних — фізична або юридична особа, якій законом або за згодою суб’єкта персональних даних надано право на обробку цих даних, яка затверджує мету обробки, встановлює склад та процедури обробки, якщо інше не визначено законом.
• Державний реєстр баз персональних даних — єдина державна інформаційна система збору, накопичення та обробки відомостей про зареєстровані бази персональних даних.
• Загальнодоступні джерела персональних даних — довідники, адресні книги, реєстри, списки, каталоги та інші систематизовані збірники відкритої інформації, які містять персональні дані, розміщені з відома суб’єкта. Соціальні мережі та інтернет-ресурси не вважаються загальнодоступними джерелами, окрім випадків, коли суб’єкт прямо зазначив про вільне поширення та використання даних.
• Згода суб’єкта персональних даних — будь-яке документоване, добровільне волевиявлення фізичної особи щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети.
• Знеособлення персональних даних — вилучення відомостей, які дають змогу ідентифікувати особу.
• Обробка персональних даних — будь-яка дія або сукупність дій (збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання, поширення, знеособлення, знищення) у інформаційній системі та/або картотеках.
• Персональні дані — відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.
• Розпорядник бази персональних даних — фізична чи юридична особа, якій володілець або закон надав право обробляти ці дані; не є розпорядником особа, що виконує лише технічні роботи без доступу до змісту персональних даних.
• Суб’єкт персональних даних — фізична особа, стосовно якої здійснюється обробка персональних даних.
• Третя особа — будь-яка особа, за винятком суб’єкта, володільця чи розпорядника та уповноваженого держоргану з питань захисту персональних даних, якій передаються персональні дані відповідно до закону.
• Особливі категорії даних — дані про расове чи етнічне походження, політичні, релігійні або світоглядні переконання, членство в партіях чи профспілках, а також дані щодо здоров’я чи статевого життя.

1.2. Це Положення є обов’язковим для відповідальної особи та співробітників Продавця, які безпосередньо здійснюють обробку та/або мають доступ до персональних даних у зв’язку з виконанням службових обов’язків.

2. Перелік баз персональних даних

2.1. Продавець є власником таких баз персональних даних:

• база персональних даних контрагентів.

3. Мета обробки персональних даних

3.1. Забезпечення реалізації цивільно-правових відносин, надання, отримання та здійснення розрахунків за придбані товари та послуги відповідно до Податкового кодексу України і Закону України «Про бухгалтерський облік та фінансову звітність в Україні».

4. Порядок обробки персональних даних

4.1. Згода суб’єкта персональних даних є добровільним волевиявленням щодо надання дозволу на обробку його персональних даних відповідно до сформульованої мети.

4.2. Форми надання згоди:

• паперовий документ з реквізитами, що ідентифікують документ і особу;
• електронний документ з обов’язковими реквізитами; бажано засвідчення електронним підписом суб’єкта;
• відмітка на електронній сторінці чи у файлі, що обробляється в інформаційній системі на основі документованих програмно-технічних рішень.

4.3. Згода надається під час оформлення цивільно-правових відносин відповідно до чинного законодавства.

4.4. Повідомлення суб’єкта про включення його персональних даних до бази, права, мету збору та осіб, яким передаються дані, здійснюється під час оформлення цивільно-правових відносин.

4.5. Обробка особливих категорій даних (п. 1.1) забороняється.

5. Місцезнаходження бази персональних даних

5.1. Бази персональних даних, зазначені у розділі 2, знаходяться за адресою Продавця.

6. Умови розкриття інформації про персональні дані третім особам

6.1. Порядок доступу третіх осіб визначається умовами згоди суб’єкта або вимогами закону.

6.2. Доступ не надається, якщо третя особа відмовляється забезпечити виконання вимог Закону України «Про захист персональних даних» або неспроможна їх забезпечити.

6.3. Суб’єкт відносин, пов’язаних з персональними даними, подає запит володільцю персональних даних.

6.4. У запиті зазначаються:

• ПІБ, місце проживання (перебування) і реквізити документа, що посвідчує фізичну особу (для фізичної особи — заявника);
• найменування, місцезнаходження юрособи, посада та ПІБ особи, що засвідчує запит; підтвердження повноважень (для юрособи — заявника);
• ПІБ та інші ідентифікаційні відомості щодо фізичної особи, стосовно якої робиться запит;
• відомості про базу персональних даних або про її володільця/розпорядника;
• перелік запитуваних персональних даних;
• мета та/або правові підстави запиту.

6.5. Строк вивчення запиту — не більше 10 робочих днів з дня надходження. Протягом цього строку заявника інформують про задоволення чи відмову із зазначенням підстав.

6.6. Запит задовольняється протягом 30 календарних днів з дня надходження, якщо інше не передбачено законом.

6.7–6.8. Відстрочення можливе, якщо дані неможливо надати протягом 30 днів; загальний строк — не більше 45 днів. Повідомлення про відстрочення надсилається письмово із зазначенням посадової особи, дати, причини та строку задоволення.

6.9–6.10. Відмова допускається, якщо доступ заборонено законом; у повідомленні вказуються посадова особа, дата та причина відмови.

6.11. Рішення про відстрочення або відмову може бути оскаржене до суду.

7. Захист персональних даних

7.1. Володілець використовує системні, програмно-технічні засоби та засоби зв’язку, що запобігають втратам, крадіжкам, несанкціонованому знищенню, викривленню, підробленню, копіюванню інформації та відповідають вимогам стандартів.

7.2. Відповідальна особа визначається наказом Володільця; її обов’язки фіксуються у посадовій інструкції.

7.3. Обов’язки відповідальної особи включають, зокрема:

• знання законодавства у сфері захисту персональних даних;
• розроблення процедур доступу співробітників до персональних даних;
• забезпечення дотримання вимог законодавства та внутрішніх документів;
• організацію внутрішнього контролю та визначення періодичності;
• повідомлення про виявлені порушення не пізніше одного робочого дня;
• зберігання документів щодо згод суб’єктів та повідомлення про їхні права.

7.4. Права відповідальної особи: отримувати документи, робити копії, брати участь в обговореннях, вносити пропозиції, одержувати пояснення, підписувати/візувати документи в межах компетенції.

7.5–7.7. Працівники зобов’язані дотримуватися законодавства та внутрішніх документів, не допускати розголошення персональних даних під час роботи та після її завершення; у разі порушень несуть відповідальність згідно із законом.

7.8. Персональні дані зберігаються не довше, ніж це необхідно для мети їх зберігання, але в будь-якому разі не довше строку, визначеного згодою суб’єкта.

8. Права суб’єкта персональних даних

• знати про місцезнаходження бази, її призначення та найменування, а також про володільця/розпорядника;
• отримувати інформацію про умови доступу та про третіх осіб, яким передаються дані;
• мати доступ до своїх персональних даних;
• отримувати протягом 30 календарних днів відповідь про наявність та зміст своїх даних;
• пред’являти вмотивовані вимоги щодо заперечення обробки органами влади у межах їхніх повноважень;
• вимагати зміни або знищення даних у разі незаконної обробки чи недостовірності;
• на захист даних від незаконної обробки та випадкової втрати/знищення/пошкодження;
• звертатися до уповноважених органів щодо захисту прав;
• застосовувати засоби правового захисту у разі порушення законодавства.

9. Порядок роботи з запитами суб’єкта персональних даних

9.1. Суб’єкт має право на одержання будь-яких відомостей про себе без зазначення мети запиту, крім випадків, установлених законом.

9.2. Доступ до даних про себе здійснюється безоплатно.

9.3. Запит подається володільцю бази та має містити:

• ПІБ, місце проживання (перебування) та реквізити документа, що посвідчує особу;
• інші ідентифікаційні відомості суб’єкта;
• відомості про базу персональних даних або про її володільця/розпорядника;
• перелік запитуваних персональних даних.

9.4. Строк вивчення запиту — до 10 робочих днів із повідомленням про результат та підстави у разі відмови.

9.5. Задоволення запиту — протягом 30 календарних днів з дня його надходження, якщо інше не передбачено законом.

10. Державна реєстрація бази персональних даних

10.1. Державна реєстрація баз персональних даних здійснюється відповідно до статті 9 Закону України «Про захист персональних даних».