Користувача угода

Правила обробки та захисту персональних даних у базах даних персональних даних, що належать продавцю

Зміст

Загальні концепції та сфера охоплення
Список баз даних персональних даних
Мета обробки персональних даних
Процедура обробки персональних даних: отримання згоди, повідомлення про права та дії з персональними даними суб'єкта персональних даних
Розташування бази даних персональних даних
Умови розкриття персональних даних третім особам
Захист персональних даних: методи захисту відповідальної особи, працівники, які безпосередньо опрацювати та/або мати доступ до персональних даних у зв'язку з виконанням ними своїх службових обов'язків, термін зберігання персональних даних
Права суб'єкта персональних даних
Процедура роботи із запитами суб'єкта персональних даних
Державна реєстрація бази даних персональних даних

1. Загальні концепції та сфера охоплення

1.1. Визначення термінів:

База даних персональних даних - названий набір замовлених персональних даних в електронній формі та/або у вигляді файлів карток персональних даних;

Відповідальна особа - призначена особа, яка організує роботу, пов'язану із захистом персональних даних під час їх обробки відповідно до закону;

Власником бази персональних даних є фізична чи юридична особа, якій за законом або за згодою суб'єкта персональних даних право обробляти ці дані, яка затверджує мету обробки персональних даних у цій базі даних, встановлює склад цих даних та порядок їх обробки, якщо інше не зазначено законом;

Державний реєстр баз даних персональних даних є єдиною державною інформаційною системою збору, накопичення та обробки інформації про зареєстровані бази даних персональних даних;

Загальнодоступними джерелами персональних даних є каталоги, адресні книги, регістри, списки, каталоги, інші систематизовані колекції відкритої інформації, що містить персональні дані, розміщені та опубліковані з відома суб'єкта персональних даних.

Згода суб'єкта персональних даних - будь-яка документована, добровільна волю фізичної особи на надання дозволу на обробку її/її персональних даних відповідно до заявленої мети їх обробки;

Анонімізація персональних даних - Видалення інформації, що дозволяє ідентифікувати людину;

Обробка персональних даних - будь-які дії або набір дій, здійснених повністю або частково в інформаційній (автоматизованій) системі та/або в карткових файлах персональних даних, пов'язаних зі збором, реєстрацією, накопиченням, зберіганням, адаптацією, зміною, оновленням, використанням та розповсюдженням (поширення, продаж, передача) , анонімізацією, знищенням інформації про людину;

Персональні дані - інформація або набір інформації про людину, яка ідентифікована або може бути конкретно ідентифікована;

Менеджер бази персональних даних – фізична чи юридична особа, якій власник бази даних персональних даних чи закон має право обробляти ці дані.

Суб'єкт персональних даних – фізичне особа, щодо якої відповідно до закону здійснюється обробка його/її персональних даних;

Третя сторона – будь-яке особа, за винятком суб'єкта персональних даних, власника або менеджера бази даних персональних даних та уповноваженого державного органу захисту персональних даних, якому власник або керуючий базою даних персональних даних передає персональні дані відповідно до закону;

Спеціальні категорії даних - персональні дані про расове або етнічне походження, політичні, релігійні або ідеологічні переконання, членство в політичних партіях і профспілках, а також дані, що стосуються здоров'я або сексуального життя.

1.2. Це Положення є обов'язковим для використання відповідальною особою та працівниками продавця, які безпосередньо обробити та/або мають доступ до персональних даних у зв'язку з виконанням ними своїх службових обов'язків.

2. Список баз даних персональних даних

2.1. Продавець є власником наступних баз даних персональних даних:

бази персональних даних контрагентів

3. Мета обробки персональних даних

3.1. Метою обробки персональних даних у системі є забезпечення здійснення цивільно-юридичних відносин, забезпечення, отримання та здійснення платежів за придбані товари та послуги відповідно до Податкового кодексу України, Закону України "Про бухгалтерську та фінансову звітність в Україні".

4. Процедура обробки персональних даних: отримання згоди, повідомлення про права та дії з персональними даними суб'єкта персональних даних

4.1. Згода суб'єкта персональних даних має бути добровільним вираженням волі фізичної особи до надання дозволу на обробку її персональних даних відповідно до заявленої мети їх обробки.

4.2. Згода суб'єкта персональних даних може бути надана у таких формах:

документ на папері з детальною інформацією, що дозволяє ідентифікувати цей документ та фізичну особу;

електронний документ, який має містити обов'язкові відомості, що дозволяють ідентифікувати цей документ та фізичну особу. Добровільне волевиявлення фізичної особи дозволити обробку своїх персональних даних має бути засвідчене електронним підписом суб'єкта персональних даних;
маркування на електронній сторінці документа або електронному файлі, який обробляється в інформаційній системі на основі документованого програмного забезпечення та технічних рішень.

4.3. Згода суб'єкта персональних даних надається під час реєстрації цивільно-юридичних відносин відповідно до чинного законодавства.

4.4. Повідомлення суб'єкта персональних даних про включення його персональних даних до бази персональних даних, права, визначені Законом України "Про захист персональних даних", мету збору даних та осіб, яким передаються його персональні дані, здійснюється під час реєстрації цивільно-юридичних відносин відповідно до чинного законодавства .

4.5. Забороняється обробка персональних даних про расове або етнічне походження, політичні, релігійні чи ідеологічні переконання, членство в політичних партіях і профспілках, а також даних, що стосуються здоров'я або статевого життя (спеціальні категорії даних).

5. Розташування бази даних персональних даних

5.1. Базу даних персональних даних, зазначену в розділі 2 цього Положення, можна знайти за адресою продавця.

6. Строки розкриття персональних даних третім особам

6.1. Порядок доступу до персональних даних третіх осіб визначається умовами згоди суб'єкта персональних даних, наданих власнику персональних даних для обробки цих даних, або відповідно до вимог закону.

6.2. Доступ до персональних даних третій стороні не надається, якщо ця особа відмовляється взяти на себе зобов'язання щодо забезпечення дотримання вимог Закону України "Про захист персональних даних" або не в змозі їх надати.

6.3. Суб'єкт відносин, пов'язаних із персональними даними, подає запит на доступ (ересинафтер, що називається запитом) до персональних даних власника персональних даних.

6.4. У запиті йдеться:

прізвище, ім'я та заступництво, місце проживання (місце проживання) та відомості про документ, що засвідчує особу, яка подає запит (для фізичної особи - заявника);

ім'я, місцезнаходження юридичної особи, яка подає запит, посаду, прізвище, прізвище та заступництво особи, яка засвідчує запит; підтвердження того, що зміст запиту відповідає повноваженням юридичної особи (для юридичної особи – заявника);
прізвище, ім'я та заступництво, а також інша інформація, що дозволяє ідентифікувати особу, якій зроблено запит;
інформація про базу персональних даних, щодо якої подано запит, будь то інформація про власника або менеджера цієї бази персональних даних;
список запитаних персональних даних;
цілі та/або юридичних підстав для запиту.

6.5. Термін вивчення прохання про задоволення не може перевищувати десяти робочих днів з дати її отримання. Протягом цього періоду власник бази персональних даних звертає увагу особи, яка запитує, що запит буде задоволений чи відповідні персональні дані не будуть надані, вказуючи підстави, зазначені у відповідному нормативному акті. Запит задовольняється протягом тридцяти календарних днів із дати його отримання, якщо інше не передбачено законом.

6.6. Затримка доступу до персональних даних третіх сторін допускається, якщо необхідні дані не можуть бути надані протягом тридцяти календарних днів з дати отримання запиту. У той же час, загальний термін вирішення питань, порушених у запиті, не може перевищувати сорока п'яти календарних днів.

6.7. Повідомлення про відстрочку доведено до відома третьої сторони, яка подала запит, письмово роз'ясню процедуру оскарження такого рішення.

6.8. У повідомленні про відстрочку йдеться:

прізвище, ім'я та заступництво посадової особи;
дата надсилання повідомлення;
причина відстрочення;
період, протягом якого запит буде задоволено.

6.9. Відмова у доступі до персональних даних допускається, якщо доступ до них заборонено відповідно до закону.

6.10. У повідомленні про відмову йдеться:

прізвище, ім'я, заступництво посадової особи, яка відмовляється у доступі;
дата надсилання повідомлення;
причиною збою.

6.11. Рішення про відстрочку або відмову у доступі до персональних даних може бути оскаржене до суду.

7. Захист персональних даних: методи захисту відповідальної особи, працівники, які безпосередньо обробити та/або мають доступ до персональних даних у зв'язку з виконанням ними своїх службових обов'язків, термін зберігання персональних даних

7.1. Власник бази даних персональних даних оснащений системними та програмними засобами та засобами зв'язку, які запобігають втратам, крадіжкам, несанкціонованому знищенню, спотворенню, підробці, копіюванню інформації та відповідають вимогам міжнародних та національних стандартів.

7.2. Відповідальна особа організує роботу, пов'язану із захистом персональних даних під час їх обробки відповідно до закону. Відповідальна особа визначається за розпорядженням Власника бази даних персональних даних.

Обов'язки відповідальної особи щодо організації роботи, пов'язаної із захистом персональних даних при їх обробці, зазначені в описі посадових обов'язків.

7.3. Відповідальна особа зобов'язана:

знати законодавство України у сфері захисту персональних даних;

розробити процедури доступу до персональних даних працівників відповідно до їх професійних чи службових чи трудових обов'язків;
забезпечити виконання власником бази персональних даних вимог законодавства України у сфері захисту персональних даних та внутрішніх документів, що регулюють діяльність власника бази персональних даних щодо обробки та захисту персональних даних у базах даних персональних даних;
розробити процедуру (процедуру) внутрішнього контролю за дотриманням вимог законодавства України у сфері захисту персональних даних та внутрішніх документів, що регулюють діяльність власника бази даних персональних даних щодо обробки та захисту персональних даних у базах даних персональних даних, які, зокрема, повинні містити норми щодо частоти такого контролю;
повідомити власника бази персональних даних про факти порушень працівниками вимог законодавства України в галузі захисту персональних даних та внутрішніх документів, що регулюють діяльність власника бази персональних даних щодо обробки та захисту персональних даних у базах персональних даних протягом не пізніше одного робочого дня з дати виявлення таких порушень;
забезпечити зберігання документів, що підтверджують надання персональних даних згоди на обробку їх персональних даних та повідомлення зазначеного суб'єкта про його права.

7.4. Для виконання своїх обов'язків відповідальна особа має право:

отримання необхідних документів, включаючи розпорядження та інші нормативні документи, видані Власником баз даних персональних даних, пов'язані з обробкою персональних даних;

зробити копії отриманих документів, включаючи копії файлів, будь-які записи, що зберігаються у локальних комп'ютерних мережах та автономних комп'ютерних системах;
участь в обговоренні обов'язків, що виконуються ним, щодо організації роботи, пов'язаної із захистом персональних даних при їх обробці;
подати пропозиції щодо вдосконалення діяльності та вдосконалення методів роботи, подати зауваження та варіанти усунення виявлених недоліків у процесі обробки персональних даних;
отримувати роз'яснення щодо обробки персональних даних;
підписати та подати документи в межах своєї компетенції.

7.5. Працівники, які безпосередньо обробляють та/або мають доступ до персональних даних у зв'язку з виконанням ними своїх службових (трудових) обов'язків, зобов'язані дотримуватись вимог законодавства України в галузі захисту персональних даних та внутрішніх документів, що стосуються обробки та захисту персональних даних у базах даних персональних даних .

7.6. Працівники, які мають доступ до персональних даних, включаючи їхню обробку, зобов'язані будь-яким чином не розкривати персональні дані, яким вони були доручені або які стали відомі у зв'язку з виконанням професійних чи службових чи трудових обов'язків. Таке зобов'язання діє після припинення їхньої діяльності, пов'язаної з персональними даними, за винятком випадків, встановлених законом.

7.7. Особи, які мають доступ до персональних даних, у тому числі їх опрацювання у разі порушення вимог Закону України "Про захист персональних даних", несуть відповідальність відповідно до законодавства України.

7.8. Особисті дані не повинні зберігатися довше, ніж це необхідно для цілей зберігання таких даних, але в будь-якому випадку не довше за період зберігання даних, що визначається згодою суб'єкта персональних даних для обробки цих даних.

8. Права суб'єкта персональних даних

8.1. Суб'єкт персональних даних має право:

знати місцезнаходження бази персональних даних, що містить його/її особисті дані, її призначення та ім'я, місцезнаходження та/або місце проживання (перебування) власника або керівника цієї бази даних або дати відповідну вказівку отримувати цю інформацію уповноваженим особам, за винятком випадків, встановлених законом;

отримання інформації про умови надання доступу до персональних даних, зокрема інформації про третіх осіб, яким передаються його персональні дані, які містяться у відповідній базі персональних даних;
доступ до ваших персональних даних, які містяться у відповідній базі персональних даних;
отримати не пізніше тридцяти календарних днів з дати отримання запиту, за винятком випадків, передбачених законом, відповідь на питання про те, чи зберігаються його персональні дані у відповідній базі персональних даних, а також отримувати вміст його персональних даних, що зберігаються;
зробити мотивоване прохання із запереченням проти опрацювання їх персональних даних державними органами, органами місцевого самоврядування при здійсненні їх повноважень, передбачених законом;
зробити запит на зміну або знищення ваших персональних даних будь-яким власником і менеджером цієї бази даних, якщо ці дані обробляються незаконно або ненадійні;
для захисту ваших персональних даних від незаконної обробки та випадкових втрат, знищення, шкоди внаслідок навмисного приховування, непередчасності чи несвоєчасного надання їх, а також для захисту від надання недостовірної або паплюжить честь, гідність та ділову репутацію фізичної особи;
звертатися за захистом своїх прав щодо персональних даних до державних органів, місцевих органів самоврядування, повноваження яких включають захист персональних даних;
застосовувати засоби правового захисту у разі порушення законодавства щодо захисту персональних даних.

9. Процедура роботи із запитами суб'єкта персональних даних

9.1. Суб'єкт персональних даних має право отримувати будь-яку інформацію про себе від будь-якого суб'єкта відносин, пов'язаних із персональними даними, без зазначення мети запиту, за винятком випадків, встановлених законом.

9.2. Доступ до персональних даних, що підлягають збору за дані про себе, є безкоштовним.

9.3. Суб'єкт персональних даних представляє запит на доступ (ересинафтер, який називається запитом) до персональних даних власника бази даних персональних даних.

У запиті вказується:

прізвище, ім'я та заступництво, місце проживання (місце проживання) та відомості про документ, що засвідчує особу суб'єкта персональних даних;

інша інформація, що дозволяє ідентифікувати особу суб'єкта персональних даних;
інформація про базу персональних даних, щодо якої подано запит, будь то інформація про власника або менеджера цієї бази даних;
список запитаних персональних даних

9.4. Термін вивчення прохання про її задоволення не може перевищувати десяти робочих днів з дня її отримання. Протягом цього періоду власник бази персональних даних доводить суб'єкту персональних даних, що запит буде задоволено чи відповідні персональні дані не підлягають наданню, вказуючи основу, зазначену у відповідному нормативному акті.

9.5. Прохання задовольняється протягом тридцяти календарних днів із дати його отримання, якщо інше не передбачено законом.

10. Державна реєстрація бази даних персональних даних

10.1. Державна реєстрація баз даних персональних даних здійснюється відповідно до статті 9 Закону України „Про захист персональних даних” ».