Положення про обробку та захист персональних даних у базах персональних даних, володільцем яких є Продавець
Зміст
1. Загальні положення та сфера дії
2. Перелік баз персональних даних
3. Мета обробки персональних даних
4. Порядок обробки персональних даних: отримання згоди, інформування суб'єкта персональних даних про його права та дії з його даними
5. Місцезнаходження бази персональних даних
6. Умови надання інформації про персональні дані третім особам
7. Захист персональних даних: заходи захисту, відповідальна особа, працівники з доступом до даних, термін їх зберігання
8. Права суб'єкта персональних даних
9. Порядок розгляду запитів суб'єкта персональних даних
10. Державна реєстрація бази персональних даних
1. Загальні положення та сфера дії
1.1. Основні терміни:
база персональних даних — впорядкована сукупність персональних даних в електронному вигляді та/або у формі картотек;
відповідальна особа — призначена особа, що організовує роботу із захисту персональних даних під час їх обробки відповідно до вимог закону;
володілець бази персональних даних — фізична або юридична особа, яка на підставі закону чи згоди суб'єкта персональних даних отримала право обробляти ці дані, визначає мету обробки, склад даних та процедури роботи з ними, якщо інше не встановлено законом;
Державний реєстр баз персональних даних — єдина державна інформаційна система обліку зареєстрованих баз персональних даних;
загальнодоступні джерела персональних даних — довідники, адресні книги, реєстри, каталоги та інші відкриті систематизовані джерела інформації, оприлюднені за згодою суб'єкта персональних даних. Соціальні мережі та інтернет-ресурси, на яких особа самостійно розміщує свої дані, до таких джерел не належать (окрім випадків, коли особа прямо визначила ці дані як призначені для вільного поширення);
згода суб'єкта персональних даних — добровільне та документально підтверджене волевиявлення фізичної особи щодо дозволу на обробку її персональних даних відповідно до визначеної мети;
знеособлення персональних даних — видалення відомостей, що дозволяють ідентифікувати особу;
обробка персональних даних — будь-які дії чи їх сукупність, що здійснюються повністю або частково в автоматизованій системі та/або картотеках і пов'язані зі збором, реєстрацією, накопиченням, зберіганням, зміною, поновленням, використанням, поширенням, знеособленням чи знищенням відомостей про фізичну особу;
персональні дані — відомості про фізичну особу, за якими її ідентифіковано або може бути ідентифіковано;
розпорядник бази персональних даних — фізична або юридична особа, якій володільцем бази або законом надано право обробляти ці дані. Особа, яка виконує суто технічні роботи з базою без доступу до змісту персональних даних, розпорядником не вважається;
суб'єкт персональних даних — фізична особа, щодо якої відповідно до закону здійснюється обробка персональних даних;
третя особа — будь-яка особа, окрім суб'єкта персональних даних, володільця чи розпорядника бази, а також уповноваженого державного органу з питань захисту персональних даних, якій передаються такі дані відповідно до закону;
особливі категорії даних — відомості про расове чи етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях і професійних спілках, а також дані про стан здоров'я чи статеве життя.
1.2. Це Положення є обов'язковим до виконання відповідальною особою та співробітниками Продавця, які безпосередньо обробляють персональні дані та/або мають до них доступ у зв'язку зі своїми службовими обов'язками.
2. Перелік баз персональних даних
2.1. Продавцю належить така база персональних даних:
база персональних даних контрагентів.
3. Мета обробки персональних даних
3.1. Персональні дані обробляються з метою забезпечення цивільно-правових відносин, а також надання, отримання і здійснення розрахунків за придбані товари й послуги відповідно до Податкового кодексу України та Закону України «Про бухгалтерський облік та фінансову звітність в Україні».
4. Порядок обробки персональних даних: отримання згоди, інформування суб'єкта персональних даних про його права та дії з його даними
4.1. Згода суб'єкта персональних даних є добровільним волевиявленням фізичної особи щодо дозволу на обробку її персональних даних відповідно до визначеної мети такої обробки.
4.2. Згода може надаватися у таких формах:
паперовий документ з реквізитами, що дозволяють ідентифікувати документ та фізичну особу;
електронний документ з обов'язковими реквізитами для ідентифікації документа та особи, бажано засвідчений електронним підписом;
відмітка на електронній сторінці чи в електронному файлі інформаційної системи на основі документованих програмно-технічних рішень.
4.3. Згода надається під час оформлення цивільно-правових відносин відповідно до чинного законодавства.
4.4. Інформування суб'єкта персональних даних про включення його даних до бази, про його права, визначені Законом України «Про захист персональних даних», мету збору даних та осіб, яким ці дані передаються, здійснюється під час оформлення цивільно-правових відносин.
4.5. Обробка особливих категорій даних — про расове чи етнічне походження, політичні, релігійні чи світоглядні переконання, членство в політичних партіях і професійних спілках, а також даних про стан здоров'я чи статеве життя — заборонена.
5. Місцезнаходження бази персональних даних
5.1. Бази персональних даних, зазначені у розділі 2 цього Положення, розташовані за місцезнаходженням Продавця.
6. Умови надання інформації про персональні дані третім особам
6.1. Доступ третіх осіб до персональних даних визначається умовами згоди суб'єкта персональних даних або вимогами закону.
6.2. Доступ до персональних даних не надається особі, яка відмовляється взяти на себе зобов'язання щодо дотримання Закону України «Про захист персональних даних» або не здатна їх забезпечити.
6.3. Особа, яка бажає отримати доступ до персональних даних, подає володільцю бази відповідний запит.
6.4. У запиті зазначаються:
прізвище, ім'я, по батькові, місце проживання (перебування) та реквізити документа, що посвідчує особу заявника (для фізичної особи);
найменування та місцезнаходження юридичної особи-заявника, посада та ПІБ особи, яка засвідчує запит, а також підтвердження відповідності запиту повноваженням юридичної особи;
прізвище, ім'я, по батькові та інші дані, що дозволяють ідентифікувати особу, стосовно якої подається запит;
відомості про базу персональних даних або про її володільця чи розпорядника;
перелік персональних даних, що запитуються;
мету та/або правові підстави запиту.
6.5. Запит розглядається протягом не більш як десяти робочих днів з дня надходження. Упродовж цього строку володілець бази повідомляє заявника про задоволення запиту або про відмову в наданні даних із зазначенням підстави, передбаченої нормативно-правовим актом. Сам запит задовольняється протягом тридцяти календарних днів з дня надходження, якщо законом не встановлено інше.
6.6. Якщо необхідні дані неможливо надати протягом тридцяти календарних днів, допускається відстрочення доступу до них. При цьому загальний строк вирішення питання не може перевищувати сорока п'яти календарних днів.
6.7. Про відстрочення заявника повідомляють у письмовій формі із роз'ясненням порядку оскарження такого рішення.
6.8. У повідомленні про відстрочення зазначаються:
прізвище, ім'я, по батькові посадової особи;
дата відправлення повідомлення;
причина відстрочення;
строк, протягом якого запит буде задоволено.
6.9. Відмова в доступі до персональних даних допускається, якщо такий доступ заборонено законом.
6.10. У повідомленні про відмову зазначаються:
прізвище, ім'я, по батькові посадової особи, яка відмовляє в доступі;
дата відправлення повідомлення;
причина відмови.
6.11. Рішення про відстрочення або відмову в доступі до персональних даних може бути оскаржене в судовому порядку.
7. Захист персональних даних: заходи захисту, відповідальна особа, працівники з доступом до даних, термін їх зберігання
7.1. Володілець бази персональних даних застосовує програмно-технічні засоби та засоби зв'язку, що запобігають втраті, викраденню, несанкціонованому знищенню, викривленню, підробленню чи копіюванню інформації, відповідно до міжнародних і національних стандартів.
7.2. Відповідальна особа організовує роботу із захисту персональних даних під час їх обробки відповідно до закону та призначається наказом володільця бази персональних даних.
Обов'язки відповідальної особи щодо організації захисту персональних даних визначаються посадовою інструкцією.
7.3. Відповідальна особа зобов'язана:
володіти законодавством України у сфері захисту персональних даних;
розробити процедуру доступу співробітників до персональних даних відповідно до їхніх службових обов'язків;
забезпечувати дотримання співробітниками володільця бази вимог законодавства та внутрішніх документів щодо обробки й захисту персональних даних;
розробити порядок внутрішнього контролю за дотриманням таких вимог, включно з періодичністю його проведення;
повідомляти володільця бази про виявлені порушення вимог законодавства чи внутрішніх документів не пізніше одного робочого дня з моменту їх виявлення;
забезпечувати зберігання документів, що підтверджують згоду суб'єкта персональних даних на обробку його даних та факт його інформування про свої права.
7.4. Для виконання своїх обов'язків відповідальна особа має право:
отримувати документи, у тому числі накази та інші розпорядчі акти володільця бази, пов'язані з обробкою персональних даних;
знімати копії отриманих документів, у тому числі файлів і записів, що зберігаються в локальних мережах та автономних комп'ютерних системах;
брати участь в обговоренні своїх посадових обов'язків щодо захисту персональних даних;
подавати пропозиції щодо вдосконалення роботи та методів обробки даних, зауваження й варіанти усунення виявлених недоліків;
отримувати роз'яснення з питань обробки персональних даних;
підписувати та візувати документи в межах своєї компетенції.
7.5. Працівники, які безпосередньо обробляють персональні дані та/або мають до них доступ у зв'язку зі своїми службовими обов'язками, зобов'язані дотримуватися вимог законодавства України та внутрішніх документів щодо обробки й захисту персональних даних.
7.6. Такі працівники не мають права розголошувати персональні дані, довірені їм або відомі у зв'язку з виконанням службових обов'язків. Це зобов'язання залишається чинним і після припинення діяльності, пов'язаної з обробкою персональних даних, окрім випадків, встановлених законом.
7.7. Особи з доступом до персональних даних, які порушили вимоги Закону України «Про захист персональних даних», несуть відповідальність згідно із законодавством України.
7.8. Персональні дані зберігаються не довше, ніж це необхідно для мети їх обробки, і в будь-якому разі — не довше строку, визначеного згодою суб'єкта персональних даних на їх обробку.
8. Права суб'єкта персональних даних
8.1. Суб'єкт персональних даних має право:
знати про місцезнаходження бази персональних даних, яка містить його дані, її призначення та найменування, а також місцезнаходження володільця чи розпорядника бази, або доручити отримання цієї інформації уповноваженій особі, крім випадків, встановлених законом;
отримувати інформацію про умови доступу до своїх персональних даних, зокрема про третіх осіб, яким вони передаються;
мати доступ до своїх персональних даних, що містяться у відповідній базі;
отримати не пізніш як за тридцять календарних днів з дня запиту відповідь про те, чи зберігаються його дані у базі, а також отримати їхній зміст, крім випадків, встановлених законом;
подавати вмотивовану вимогу щодо заперечення обробки своїх даних органами державної влади чи місцевого самоврядування в межах здійснення їхніх повноважень;
вимагати від будь-якого володільця чи розпорядника бази зміни або знищення своїх персональних даних, якщо вони обробляються незаконно або є недостовірними;
на захист своїх персональних даних від незаконної обробки, випадкової втрати, знищення чи пошкодження внаслідок умисного приховування, ненадання або несвоєчасного надання, а також від поширення недостовірних чи таких, що ганьблять честь, гідність і ділову репутацію особи, відомостей;
звертатися з питань захисту своїх прав щодо персональних даних до органів державної влади чи місцевого самоврядування, уповноважених на такий захист;
застосовувати засоби правового захисту в разі порушення законодавства про захист персональних даних.
9. Порядок розгляду запитів суб'єкта персональних даних
9.1. Суб'єкт персональних даних має право отримати будь-які відомості про себе від суб'єкта відносин, пов'язаних із персональними даними, без зазначення мети запиту, крім випадків, встановлених законом.
9.2. Доступ суб'єкта персональних даних до власних даних є безоплатним.
9.3. Суб'єкт персональних даних подає володільцю бази запит щодо доступу до своїх даних.
У запиті зазначаються:
прізвище, ім'я, по батькові, місце проживання (перебування) та реквізити документа, що посвідчує особу заявника;
інші відомості, що дозволяють ідентифікувати заявника;
відомості про базу персональних даних, її володільця чи розпорядника;
перелік персональних даних, що запитуються.
9.4. Запит розглядається протягом не більш як десяти робочих днів з дня надходження. Упродовж цього строку володілець бази повідомляє заявника про задоволення запиту чи про відмову в наданні даних із зазначенням встановленої законом підстави.
9.5. Запит задовольняється протягом тридцяти календарних днів з дня надходження, якщо законом не встановлено інше.
10. Державна реєстрація бази персональних даних
10.1. Державна реєстрація баз персональних даних здійснюється відповідно до статті 9 Закону України «Про захист персональних даних».
Продавець:
ПП «ХІТАЛ-СЕРВІС»
Код ЄДРПОУ: 31977682
Юридична адреса: 79026, Україна, Львівська область, м. Львів, вул. Стрийська, буд. 76 кв. 2
Адреса складу: 79020, Львівська область, м. Львів, вул. Варшавська, 56
Телефон: +380677117261
Email: contact@tacpro.com.ua