Політика конфіденційності

Політика конфіденційності ТОВ "Сімплі Контакт Інтернешнл"

ТОВ "Сімплі Контакт Інтернешнл" (далі – Компанія) приділяє велику увагу захисту персональних даних клієнтів, контрагентів та своїх співробітників. Політика конфіденційності (далі – Політика) розроблена відповідно до вимог Закону України «Про захист персональних даних» від 01.06.2010. Політику розроблено відповідно до вимог Закону України «Про захист персональних даних» № 2297-VI (далі – Закон 2297) та Загального регламенту ЄС про захист даних 2016/679 (далі – GDPR). Визначення термінів у цій Політиці вживаються у значенні, передбаченому Законом 2297, додаткові визначення наведено в Розділі 1.

1. Основні визначення

1.1. Персональні дані (ПД) — будь-які дані, які дозволяють ідентифікувати фізичну особу, включаючи, але не обмежуючись цим:

найменування (ПІБ);
ідентифікаційні номери (серії, номери будь-яких документів);
дані про місцезнаходження;
Інтернет-ідентифікатор (адреса електронної пошти або інший онлайн-ідентифікатор, включаючи дані про відвідування Інтернет-ресурсів тощо);
індивідуальні дані або їх поєднання, які є специфічними для фізичної, фізіологічної, генетичної, розумової, економічної, культурної чи соціальної ідентичності особи.

1.2. Принципи обробки ПД наступні:

принцип законності, персональні дані мають оброблятися лише на законних підставах;
принцип сумісності, персональні дані повинні бути отримані з конкретними законними цілями та оброблені відповідно до них;
принцип адекватності та відсутності надмірності, персональні дані мають бути адекватними, а не надлишковими, щоб відповідати цілям обробки;
принцип точності, персональні дані повинні бути точними та точними;
принцип терміновості зберігання персональні дані не повинні зберігатися довше, ніж це визначено відповідною нормативно-правовою базою;
принцип поваги до прав особи, персональні дані мають оброблятися з дотриманням прав суб’єкта персональних даних, у тому числі права доступу до них.

1.3. Спеціаліст із захисту даних — Співробітник Компанії, який відповідає за контроль за дотриманням процедур обробки та захисту персональних даних. Контактні дані - is@simplycontact.com.ua.

1.4. Відповідальна особа — співробітник Компанії залучається до процесу обробки ПД та/або супроводу питань, пов’язаних з цією обробкою.

1.5. Обробка ПД — будь-яка дія або сукупність дій, таких як збір, реєстрація, накопичення, зберігання, адаптація, зміна, відновлення, використання та поширення (надання доступу третім особам, реалізація, передача), знеособлення, знищення персональних даних. , у тому числі з використанням інформаційних (автоматизованих) систем, здійснюється в суворій відповідності з певними процедурами, з обов’язковим дотриманням:

певні умови їх зберігання;
обмеження пропускного режиму до них;
повнота та цілісність персональних даних.

1.6. Порядок обробки ПД — детальний опис дій, які здійснюються Відповідальними особами Компанії при обробці ПД, в якому зазначено:

мета обробки;
список відповідальних осіб;
порядок обміну даними;
заходи захисту;
строки зберігання та порядок знищення;
процедура контролю відповідності.

2. Типи персональних даних

2.1. Внутрішні ПД (ВПД) — персональні дані працівників Компанії обробляються в базі ПД «СПІВРОБІТНИКИ» з метою ведення кадрового діловодства, підготовки статистичної, управлінської та іншої звітної інформації з кадрових питань. Персональних даних, що обробляються в базі ПД «ПРАЦІВНИКИ», входять:

паспортні дані (громадянство, прізвище, ім’я, дата, рік народження;
особисті дані (стать, місце фактичного проживання, номери телефонів, фото, номер картки платника податків);
освіта, назва навчального закладу;
відомості, що підтверджують право працівника на пільги, встановлені законодавством про працю.

Паперові примірники первинних документів зберігаються в особових справах працівників.

ВПД зберігається Компанією протягом усього терміну дії трудових відносин між працівником і Компанією, а також протягом 2 (двох) років після їх припинення. Після закінчення визначеного терміну зазначені ВПД мають бути передані до архіву на постійне зберігання строком на 75 років.

За юридичним статусом Компанія є власником і розпорядником (Закон 2297) бази даних ПД «СПІВРОБІТНИКИ».

2.2. Зовнішні ПД (ЗПД) — персональні дані, отримані від Клієнтів послуг Компанії, обробка яких здійснюється на підставі та в рамках укладених договорів про надання відповідних послуг. Замовник послуг Компанії забезпечує дотримання вимог законодавства про захист персональних даних до їх передачі Компанії, а Компанія, у свою чергу, - під час обробки.

ЗПД обробляються згідно з порядком обробки ПД, який є невід’ємною частиною договору про надання відповідних послуг.

ЗПД зберігаються у строки, визначені Порядком обробки ПД, але в межах строків дії відповідної згоди

Компанія є Адміністратором (Закон 2297) і Обробником (GDPR) у своєму правовому статусі щодо ЗПД, а Клієнт є Власником (Закон 2297) і Контролером (GDPR).

3. Заходи захисту персональних даних від незаконної обробки та несанкціонованого доступу

Обробка персональних даних у програмно-технічних комплексах Компанії здійснюється із застосуванням засобів захисту мережі від несанкціонованого доступу.

Доступ до програмно-технічних комплексів Компанії здійснюється в суворій відповідності до чинних процедур контролю доступу.

Відповідальні особи Компанії можуть обробляти персональні дані лише після їхнього дозволу. Доступ осіб, які не пройшли процедуру ідентифікації та/або аутентифікації, блокується. В інформаційній (автоматизованій) системі, де обробляються персональні дані, здійснюється реєстрація, зокрема:

результати ідентифікації та/або автентифікації відповідальних осіб;
дії з обробки персональних даних;
результати контролю цілісності засобів захисту персональних даних .

Реєстраційні дані захищені від зміни та знищення. Реєстраційні дані зберігаються та надаються за вмотивованим запитом Уповноваженому із захисту даних для аналізу, пов’язаного з персональними даними. Компанія забезпечує антивірусний захист в інформаційній (автоматизованій) системі.

Ступінь доступу до обробки ПД (внесення змін, формування звітів та аналітичної інформації, перегляд або інше, за потреби) визначається посадою відповідальної особи.

Кожен співробітник Компанії приймає та власноручно підписує зобов'язання щодо збереження інформації з обмеженим доступом.

Належним чином виконані зобов'язання щодо збереження інформації з обмеженим доступом зберігаються в особових справах відповідальних осіб.

Керівники структурних підрозділів здійснюють постійний контроль за дотриманням підлеглими працівниками Порядку обробки персональних даних, а також за законністю обробки персональних даних, захистом персональних даних при їх обробці.

Про всі виявлені факти несанкціонованого розповсюдження персональних даних Компанія повідомляє суб’єктів захисту персональних даних та Контролерів у строк не більше 72 годин

Персональні дані, зібрані з порушенням вимог Закону 2297, підлягають видаленню або знищенню в базах персональних даних у встановленому законодавством порядку.

4. Право доступу до персональних даних третіх осіб, повідомлення про дії з персональними даними, відповідальність за порушення захисту персональних даних.

4.1 Підставами для обробки персональних даних є:

згода суб'єкта персональних даних на обробку його персональних даних;
дозвіл на обробку персональних даних, який надається володільцю бази персональних даних відповідно до закону виключно для здійснення своїх повноважень;
вчинення та виконання правочину, стороною якого є суб’єкт персональних даних або який укладається на користь суб’єкта персональних даних чи для здійснення діяльності, що передує вчиненню правочину. за бажанням суб’єкта персональних даних;
захист життєво важливих інтересів суб’єкта персональних даних;
необхідність виконання обов’язків володільця персональних даних, що передбачено Законом 2297;
необхідність захисту законних інтересів власника персональних даних або третьої сторони, якій передаються персональні дані, крім випадків, коли необхідна захист основних прав і свобод суб’єкта персональних даних у зв’язку з обробкою його d ата переважає над такими інтересами.

4.2. Порядок доступу до персональних даних третіх осіб визначається умовами згоди суб’єкта персональних даних, наданої володільцю персональних даних на обробку цих даних, або відповідно до вимог Закону 2297. Доступ до персональних даних третьої особи не надається, якщо зазначена особа відмовляється брати на себе зобов’язання із забезпечення дотримання вимог Закону 2297 або не може їх забезпечити.

4.3. Суб’єкт відносин щодо персональних даних подає Компанії запит на доступ до персональних даних. Зміст запиту на доступ визначено статтею 16 Закону 2297 і термін вивчення цього запиту для його задоволення не може перевищувати десяти робочих днів з дати його отримання Компанією.

Протягом цього періоду Компанія повідомить особу, яка надсилає запит, про те, що запит буде задоволено або відповідні персональні дані не будуть надані, із зазначенням підстав, визначених у відповідному нормативному акті.

Запит задовольняється протягом тридцяти календарних днів з дня його надходження до Компанії, якщо інше не передбачено законодавством України.

4.4. Повідомлення про виключення доступу до особистих осіб третіх осіб направляється Компанією третій особі, яка подала запит, у письмовій формі з роз’ясненням порядку оскарження такого рішення згідно з Стаття 17 Закону 2297.

Рішення про видалення або відмову в доступі до персональних даних може бути оскаржено до Уповноваженої особи або до суду.

4.5. Компанія, як володілець бази персональних даних, повідомляє суб’єкта персональних даних протягом десяти робочих днів, якщо це передбачено умовами згоди або якщо інше не передбачено законодавством. України у сфері захисту персональних даних.

4.6. Повідомлення, зазначені в пункті 4.5. цієї Політики не застосовуються у разі:

передача персональних даних за запитом під час виконання завдань оперативно-розшукової чи контррозвідувальної діяльності, боротьби з тероризмом;
виконання органами державної влади та місцевого самоврядування їхні повноваження, передбачені законом;
обробка персональних даних для історичних, статистичних або наукових цілей.

4.7. Компанія також повідомляє суб’єкта персональних даних, а також суб’єкта відносин, пов’язаних з персональними даними, якому ці дані були повідомлені про зміну, видалення або знищення персональних даних. даних або обмеження доступу до них, протягом десяти робочих днів. Відповідальність за своєчасне надання повідомлення несуть працівники Товариства, визначені відповідним наказом директора Товариства.

4.8. У випадках порушення вимог законодавства про захист персональних даних відповідальні особи можуть бути притягнуті до адміністративної відповідальності за порушення цього законодавства.

4.9. За порушення недоторканності приватного життя, а саме за незаконне збирання, зберігання, використання, знищення, розповсюдження конфіденційної інформації про особу або незаконну зміну такої інформації, винні Відповідальні особи можуть бути притягнуті до кримінальної відповідальності. відповідальний.

4.10. Контроль за додержанням законодавства про захист персональних даних у межах повноважень, передбачених Законом 2297, здійснюють Уповноважений та суди.