Управляющая организация ООО "Авангард"
- профессиональное управление Вашим домом

Положение

об обработке и защите персональных данных

клиентов управляющей организации в многоквартирном доме

1. Общие положения

1.1. Настоящее Положение устанавливает:

- цель, порядок и условия обработки ООО «Авангард» (далее - Организация) персональных данных;

- категории субъектов, персональные данные которых обрабатываются, категории (перечни) обрабатываемых персональных данных, способы, сроки их обработки и хранения, порядок уничтожения таких данных при достижении целей обработки или при наступлении иных законных оснований;

- положения, касающиеся защиты персональных данных, процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в области персональных данных, на устранение последствий таких нарушений.

1.2. Настоящее Положение разработано в соответствии:

- с Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон о персональных данных);

- Федеральным законом от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации";

- Положением об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденным Постановлением Правительства Российской Федерации от 15.09.2008 N 687;

- Постановлением Правительства Российской Федерации от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных";

- иные нормативные правовые акты в области защиты персональных данных, действующие на территории Российской Федерации.

1.3. В Положении используются термины и определения в соответствии с их значениями, определенными в Законе о персональных данных, Жилищном кодексе Российской Федерации.

2. Категории субъектов персональных данных

2.1. К субъектам, персональные данные которых обрабатываются в Организации в соответствии настоящим Положением (далее - Клиенты, субъекты персональных данных), относятся:

- физические лица, желающие заключить договоры управления многоквартирным домом, и их представители;

- физические лица, заключившие договоры управления многоквартирным домом, и их представители;

- пользователи помещений в многоквартирном доме и их представители;

- представители юридических лиц - собственников помещений, заключивших договор управления многоквартирным домом;

- иные лица, персональные данные которых Организация обязана обрабатывать в соответствии с жилищным законодательством.

3. Цели обработки персональных данных, категории (перечни)

обрабатываемых персональных данных

3.1. Согласно Положению персональные данные обрабатываются с целью применения и исполнения законодательства в рамках осуществления Организацией деятельности по управлению многоквартирными домами, в том числе:

- при заключении договоров управления многоквартирным домом;

- при работе с заключенными договорами управления многоквартирным домом;

- при предоставлении коммунальных услуг;

- при оказании иных услуг клиентам.

3.2. В соответствии с целью, указанной в п. 3.1 Положения, Организация обрабатывает следующие персональные данные:

- фамилия, имя, отчество (если последнее имеется) (фамилия, имя, отчество в случае их изменения);

- дата рождения;

- данные паспорта гражданина Российской Федерации (данные ранее выданных паспортов гражданина Российской Федерации при наличии сведений) или при его отсутствии иного документа, удостоверяющего личность в соответствии с законодательством Российской Федерации;

- СНИЛС;

- место регистрации и фактическое место жительства;

- номер телефона;

- адрес электронной почты;

- сведения о регистрации права собственности в Едином государственном реестре недвижимости (ином уполномоченном органе), а равно об иных правах на пользование помещением, в том числе о его площади, количестве проживающих, зарегистрированных и временно пребывающих;

- иные персональные данные, которые необходимы для исполнения договора управления многоквартирным домом.

3.3. Организация не осуществляет обработку специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, за исключением случаев, предусмотренных законодательством Российской Федерации.

4. Способы, сроки обработки и хранения персональных данных

4.1. Обработка персональных данных Клиентов Организации возможна только с их согласия. Исключение составляют случаи, предусмотренные законодательством Российской Федерации (в частности, согласие не требуется при наличии оснований и соблюдении условий, перечисленных в п. п. 2 - 11 ч. 1 ст. 6, п. п. 2.1 - 10 ч. 2 ст. 10, ч. 2 ст. 11 Закона о персональных данных).

4.2. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Письменное согласие Клиентов на обработку своих персональных данных должно включать в себя, в частности, сведения, указанные в п. п. 1 - 9 ч. 4 ст. 9 Закона о персональных данных.

4.3. Письменное согласие Клиентов на обработку персональных данных, разрешенных для распространения, оформляется отдельно от других согласий на обработку его персональных данных. При этом соблюдаются условия, предусмотренные, в частности, ст. 10.1 Закона о персональных данных. Требования к содержанию такого согласия устанавливаются Роскомнадзором.

4.3.1. Письменное согласие на обработку персональных данных, разрешенных для распространения, Клиенты предоставляют Организации лично.

4.3.2. Организация обязана не позднее трех рабочих дней с момента получения указанного согласия опубликовать информацию об условиях обработки, о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных для распространения.

4.3.3. Согласие на обработку персональных данных, разрешенных для распространения, прекращает свое действие с момента поступления в Организацию требования Клиента о прекращении передачи (распространения, предоставления, доступа) персональных данных, разрешенных для распространения.

4.4. В Организации осуществляется смешанная обработка персональных данных (неавтоматизированная и автоматизированная).

При обработке персональных данных Клиентов Организация обязана соблюдать принципы, ограничения и требования, установленные законодательством Российской Федерации.

4.5. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

4.6. Обработка персональных данных осуществляется путем сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, обезличивания, блокирования, удаления, уничтожения персональных данных, в том числе с помощью средств вычислительной техники.

Персональные данные Клиентов хранятся на бумажных носителях и в электронном виде.

4.6.1. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных в Организации осуществляются посредством получения оригиналов документов либо их копий, создания документов, содержащих персональные данные, на бумажных и электронных носителях, внесения персональных данных в информационные системы персональных данных.

4.8. Срок хранения документов, содержащих персональные данные Клиентов, устанавливается законодательством об архивном деле, если сроки не установлены приказом руководителем Организации. После истечения срока хранения документы подлежат уничтожению.

4.9. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.

4.10. Обработка персональных данных в Организации прекращается:

- при выявлении факта неправомерной обработки персональных данных. Срок прекращения обработки - в течение трех рабочих дней с даты выявления такого факта;

- достижении целей их обработки – в срок, не превышающий 30 дней с даты достижения цели обработки персональных данных;

- отзыве субъектом персональных данных согласия на обработку персональных данных - в срок, не превышающий 30 дней с даты поступления отзыва;

- направлении субъектом персональных данных Организации требования о прекращении обработки персональных данных. Срок прекращения обработки - не более 10 рабочих дней с даты получения требования, который может быть продлен не более чем на пять рабочих дней. При продлении срока Организация обязана направить уведомление о причинах продления.

5. Передача персональных данных

5.1. При передаче персональных данных Клиентов Организация должна соблюдать следующие требования:

- не сообщать персональные данные Клиентов третьей стороне без письменного согласия Клиента, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью Клиента, а также иных случаев, установленных федеральными законами;

- не сообщать персональные данные Клиентов в коммерческих целях без их письменного согласия;

- предупредить лиц, получающих персональные данные Клиентов, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено. Лица, получающие персональные данные Клиентов, обязаны соблюдать режим секретности (конфиденциальности);

- осуществлять передачу персональных данных Клиентов в пределах Организации в соответствии с Порядком передачи персональных данных внутри Организации, с которым работник должен быть ознакомлен под подпись;

- разрешать доступ к персональным данным Клиентов только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные Клиентов, которые необходимы для выполнения конкретных функций.

5.2. Организация не осуществляет трансграничную передачу персональных данных.

6. Доступ к персональным данным Клиентов

6.1. Внутренний доступ.

Право доступа к персональным данным Клиентов имеют работники, занимающие должности в соответствии с Перечнем должностей, при замещении которых осуществляется обработка персональных данных.

6.2. Внешний доступ.

6.2.1. Не требуется согласие Клиентов на передачу персональных данных:

- третьим лицам в целях предупреждения угрозы жизни и здоровью Клиентов;

- в военные комиссариаты;

- по мотивированному запросу органов прокуратуры;

- по мотивированному требованию правоохранительных органов и органов безопасности;

- по запросу суда.

6.2.2. Другие организации.

Сведения о Клиентах могут быть предоставлены другой организации только с письменного запроса на бланке организации с приложением согласия (заявления) Клиента, указанного в п. 4.3 Положения.

6.2.3. Родственники и члены семей.

Персональные данные Клиентов могут быть предоставлены родственникам или членам его семьи только с письменного разрешения самого Клиента.

7. Защита персональных данных Клиентов

7.1. В целях обеспечения сохранности и конфиденциальности персональных данных Клиентов все операции по обработке персональных данных должны выполняться только работниками Организации, осуществляющими данную работу в соответствии со своими служебными обязанностями, зафиксированными в их должностных инструкциях, уполномоченными приказом руководителем Организации.

7.2. Для обеспечения защиты персональных данных в Организации директором Организации утверждаются следующие документы:

- приказ о назначении работника, ответственного за организацию обработки персональных данных;

- Перечень должностей, при замещении которых осуществляется обработка персональных данных;

- Перечень персональных данных, к которым имеют доступ работники, занимающие соответствующие должности;

7.3. Работники, которые занимают должности, предусматривающие обработку персональных данных, допускаются к выполнению своих обязанностей только после подписания обязательства о неразглашении.

7.4. Материальные носители персональных данных должны храниться в запираемых на ключ шкафах. Помещения, где размещаются эти носители, также оборудуются запирающими устройствами. Ключи выдаются под подпись ответственных лиц.

7.5. Доступ к персональным данным, содержащимся в информационных системах Организации, осуществляется по индивидуальным паролям, которые должны обновляться не реже одного раза в месяц.

7.6. В Организации используется регулярно обновляемое сертифицированное антивирусное программное обеспечение.

7.7. Работники, занимающиеся обработкой персональных данных, проходят обучение по вопросам соблюдения требований законодательства в данной области.

7.8. Внутренние расследования проводятся при неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных, повлекшей нарушение прав субъектов персональных данных, а также в иных случаях, предусмотренных законодательством в области персональных данных.

7.9. Работник, ответственный за организацию обработки персональных данных, осуществляет контроль за соблюдением работниками, уполномоченными на обработку таких данных, требований законодательства и локальных нормативных актов. Контроль проводится в форме внутренних проверок.

7.9.1. Плановые внутренние проверки проводятся на основании ежегодного плана, утверждаемого руководителем Организации.

7.9.2. Внеплановые проверки осуществляются по решению работника, ответственного за организацию обработки персональных данных, при наличии информации о нарушении законодательства в данной области.

7.9.3. По итогам внутренней проверки составляется докладная записка, представляемая руководителю Организации. В случае выявления нарушений в документе указываются мероприятия по их устранению и сроки их выполнения.

7.10. Внутреннее расследование проводится в случае выявления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшего нарушение прав субъектов персональных данных (далее - инцидент).

7.10.1. В течение 24 часов с момента выявления инцидента Организация уведомляет Роскомнадзор о факте инцидента, предполагаемых причинах и вреде, причиненном правам субъектов персональных данных, принятых мерах по устранению последствий инцидента и уполномоченном взаимодействовать с Роскомнадзором по вопросам, связанным с данным инцидентом лице.

7.10.2. В течение 72 часов с момента выявления инцидента Организация направляет в Роскомнадзор уведомление о результатах внутреннего расследования и, при наличии, сведения о лицах, действия которых привели к инциденту.

Уведомления, указанные в п. п. 7.10.1, 7.10.2 Положения, направляются в соответствии с Порядком и условиями взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных данных, утвержденными Приказом Роскомнадзора от 14.11.2022 N 187.

7.11. При получении подтвержденной информации от субъекта персональных данных (либо его представителя) о неполноте, неточности или неактуальности его персональных данных Организация вносит соответствующие изменения в течение семи рабочих дней. Субъект персональных данных (либо его представитель) уведомляется о внесенных изменениях в письменной форме, а также уведомляются третьи лица, которым были переданы эти данные.

7.12. Организация уведомляет субъекта персональных данных (либо его представителя) об устранении нарушений, связанных с неправомерной обработкой персональных данных. В случае если Роскомнадзор направил обращение субъекта персональных данных либо сам сделал соответствующий запрос, Организация также уведомляет его.

7.12.1. В случае уничтожения персональных данных, которые обрабатывались неправомерно, Организация направляет уведомление в соответствии с п. 7.12 настоящего Положения.

7.13. В случае уничтожения персональных данных, незаконно полученных или не являющихся необходимыми для заявленной цели обработки, Организация уведомляет субъекта персональных данных (либо его представителя) о принятых мерах в письменной форме.

8. Блокирование и уничтожение

персональных данных Клиентов

8.1. Организация блокирует персональные данные в порядке и на условиях, предусмотренных законодательством в области персональных данных.

8.2. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом, а также по истечении срока, предусмотренного Законом о персональных данных.

8.3. Документом, подтверждающим уничтожение персональных данных Клиентов, является акт об уничтожении персональных данных.

9. Ответственность за нарушение норм,

регулирующих обработку персональных данных

9.1. Лица, виновные в нарушении порядка обращения с персональными данными, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.

9.2. Руководитель Организации, допустивший нарушение порядка обращения с персональными данными, возмещает Клиенту ущерб, причиненный неправомерным использованием информации, содержащей персональные данные об этом Клиенте.

9.3. Работники Организации, допустившие разглашение персональных данных Клиента, могут быть уволены по инициативе работодателя по пп. "в" п. 6 ч. 1 ст. 81 Трудового кодекса Российской Федерации. Увольнение не исключает иных форм ответственности, предусмотренной действующим законодательством Российской Федерации.

9.4. Моральный вред, причиненный Клиенту вследствие нарушения его прав, нарушения правил обработки персональных данных, а также несоблюдения требований к их защите, установленных Законом о персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных Клиентом убытков.

10. Заключительные положения

10.1. Положение вступает в силу с момента его утверждения руководителем Организации.

10.2. Положение подлежит изменению в случае изменения законодательства Российской Федерации, регулирующих органов в области защиты персональных данных, внутренних документов Управляющей организации в области защиты конфиденциальной информации. При внесении изменений в заголовке Положения указываются номер версии и дата последнего обновления редакции. Новая редакция Положения вступает в силу с момента ее утверждения руководителем Организации и размещения на сайте Управляющей организации.

10.3. В случае изменения законодательства Российской Федерации в области защиты персональных данных нормы Положения, противоречащие законодательству Российской Федерации, не применяются до приведения их в соответствие.

10.4. Действующая редакция Положения хранится по адресу: Вологодский округ, п. Васильевское, ул. Молодежная, д. 6, пом. 1.

10.5. Все работники Организации должны быть ознакомлены под подпись с настоящим Положением и изменениями к нему.