1. Общие положения

1.1. Положение об обработке и защите персональных данных заемщиков и клиентов ООО «МКК «Деньгимигом» (далее – Положение) является политикой ООО «МКК «Деньгимигом» в отношении обработки персональных данных субъектов персональных данных.

Цель Положения - определение порядка обработки персональных данных (далее – ПДн) субъектов персональных данных (далее – СПДн), обеспечение защиты прав и свобод СПДн при обработке ПДн, соблюдение гарантии конфиденциальности сведений, предоставляемых ООО «МКК «Деньгимигом» (далее – Оператор), а также установление ответственности должностных лиц, имеющих доступ к ПДн, за невыполнение требований и норм, регулирующих обработку и защиту ПДн.

1.2. Для целей настоящего Положения используются следующие основные понятия:

- обработка ПДн - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без их использования. Обработка ПДн включает в себя, в том числе: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн;

- оператор ПДн - юридическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн;

- сотрудник Оператора – физическое лицо, состоящее в трудовых, договорных и иных гражданско-правовых отношениях с Оператором и (или) их законные представители, заключающие договор займа;

- субъект персональных данных (СПДн) - физическое лицо, чьи ПДн подлежат обработке (клиент, заемщик, сотрудник Оператора, пользователь Сайта Оператора и третьи лица);

- конфиденциальность ПДн - обязательное для соблюдения Оператором или иным получившим доступ к ПДн лицом требование не допускать их распространения без согласия СПДн или наличия иного законного основания;

- информация — сведения (сообщения, данные) независимо от формы их представления;

- доступ к информации – возможность получения информации и ее использования;

- персональные данные (ПДн) - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу - СПДн, или ПДн третьих лиц, предоставляемых заемщиком / клиентом;

- клиент - дееспособный гражданин РФ в возрасте от 18 (восемнадцати) лет, намеривающийся получить потребительский займ у Оператора;

- заемщик - дееспособный гражданин РФ в возрасте от 18 (восемнадцати) лет, получивший потребительский займ у Оператора;

- сайт оператора - официальный сайт Оператора dengimigom.ru в информационно-телекоммуникационной сети «Интернет» (далее - Интернет);

- пользователь Сайта Оператора – лицо посещающее официальный Сайт Оператора в Интернет;

- мобильное приложение (Mobile app) — программное обеспечение, предназначенное для работы на смартфонах, планшетах и других мобильных устройствах, разработанное для конкретной платформы (iOS, Android, Windows Phone и т. д.). Мобильное приложение «Деньгимигом» может быть загружено на мобильное устройство из онлайновых магазинов приложений, таких как App Store, Google Play, и др.

- Cookies — фрагмент данных, отправленный веб-сервером и хранимый на устройстве Пользователя, который веб-клиент или веб-браузер каждый раз пересылает веб-серверу в HTTP-запросе при попытке открыть страницу соответствующего Сервиса.

- IP-адрес — уникальный сетевой адрес узла в компьютерной сети, построенной по протоколу IP.

- MAC-адрес — записанный в шестнадцатеричном виде код, который присваивается каждой единице сетевого оборудования.

- третьи лица, включают в себя:

• лица, сведения о которых предоставляются заемщиком / клиентом Оператору;
• представитель заемщика / клиента, действующий на основании доверенности или судебного решения в интересах заемщика / клиента;
• лица, которым Оператор вправе передавать ПДн СПДн в целях идентификации личности, оценки платежеспособности и т.п. получателя финансовой услуги;

- личное дело субъекта персональных данных (ЛДСПДн) - комплект документов, содержащий ПДн СПДн, формируемый Оператором при подаче СПДн заявки на получение потребительского займа (при каждой подаче заявки на получении потребительского займа формируется новое личное дело СПДн);

- автоматизированная обработка ПДн - обработка ПДн с помощью средств вычислительной техники;

- распространение ПДн - действия, направленные на раскрытие ПДн неопределенному кругу лиц;

- предоставление ПДн- действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц;

- блокирование ПДн - временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн);

- уничтожение ПДн - действия, в результате которых становится невозможным восстановить содержание ПДн в информационной системе ПДн и (или) в результате которых уничтожаются материальные носители ПДн;

- обезличивание ПДн - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному СПД;

- информационная система ПДн - совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств;

- трансграничная передача ПДн - передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;

- угроза безопасности ПДн - совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к ПДн, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение ПДн, а также иные неправомерные действия при их обработке в информационной системе ПДн;

- уровень защищенности ПДн - комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности ПДн данных при их обработке в информационных системах ПДн.

1.3. Основные права и обязанности Оператора и СПДн.

1.3.1. Оператор вправе:

- обрабатывать ПДн СПДн;

- обрабатывать ПДн СПДн собственными силами и/или на законных основаниях поручать обработку СПДн третьим лицам;

- передавать ПДн СПДн третьим лицам, если такая передача соответствует целям обработки ПДн;

- на законных основаниях направлять запросы третьим лицам, а также получать из общедоступных источников сведения о СПДн для получения информации, необходимой для принятия решения о выдаче клиенту займа;

- самостоятельно выбрать третье лицо, в том числе бюро кредитных историй, для направления соответствующих запросов;

- проводить проверку и уточнение ПДн предоставленных СПДн посредством устных обращений и письменных запросов к работодателю СПДн, а также иным лицам, контактные данные которых были предоставлены СПДн Оператору или стали известны Оператору из общедоступных источников информации;

- осуществлять хранение ПДн СПДн на электронных и бумажных носителях, воспроизводить соответствующие данные на любых электронных носителях информации, передавать их по электронным каналам связи;

- отказать СПДн в предоставлении информации о наличии ПДн о соответствующем СПДн или ПДн СПДн или его представителю в случаях, указанных в п.п.7.5.6-7.5.7 настоящего Положения . 1.3.2. Оператор обязан:

- до начала обработки ПДн уведомить уполномоченный орган по защите прав СПДн о своем намерении осуществлять обработку ПДн, за исключением случаев, предусмотренных частью 2 статьи 22 Федерального закона №152-ФЗ «О персональных данных» (далее – Федеральный закон);

- при сборе ПДн предоставить СПДн по его просьбе информацию, предусмотренную частью 7 статьи 14 Федерального закона;

- разъяснить СПДн юридические последствия отказа предоставить его ПДн и (или) дать согласие на их обработку если в соответствии с Федеральным законом предоставление ПДн и (или) получение Оператором согласия на обработку ПДн являются обязательными;

- обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации при сборе ПДн, в том числе посредством информационно-телекоммуникационной сети "Интернет";

- при обработке ПДн самостоятельно определить состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено федеральными законами, и принимать эти меры:

- опубликовать, в том числе в сети Интернет или иным образом обеспечить неограниченный доступ к настоящему Положению, к сведениям о реализуемых требованиях к защите ПДн, а также обеспечить возможность доступа к указанному документу;

- обязан предоставить документы и локальные акты и (или) иным образом подтвердить принятие мер, для обеспечения выполнения обязанностей, предусмотренных Федеральным законом по запросу уполномоченного органа по защите прав СПДн;

- осуществлять обработку ПДн с соблюдением принципов и правил, предусмотренных Федеральным законом с обеспечением соблюдения законодательства РФ и иных нормативных правовых актов;

- определить и применять меры по обеспечению безопасности ПДн СПДн при их обработке;

- при обработке ПДн принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;

- сообщить СПДн или его представителю информацию о наличии ПДн, относящихся к соответствующему СПДн, предоставить возможность ознакомления с этими ПДн при обращении СПДн или его представителя в соответствии с условиями, указанными в п.п.7.5.3–7.5.5 настоящего Положения;

- внести в ПДн СПДн необходимые изменения, уничтожить ПДн СПДн, уведомить СПДн о внесенных изменениях и предпринятых мерах в случаях, указанных в п.7.5.8 настоящего Положения и принять разумные меры для уведомления третьих лиц, которым ПДн этого СПДн были переданы;

- блокировать ПДн или обеспечить их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) в случаях, указанных в п.п.8.1, 8.8 настоящего Положения;

- уточнить ПДн либо обеспечить их уточнение (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) в случаях, указанных в п.8.2 настоящего Положения;

- прекратить обработку ПДн или обеспечить прекращение обработки ПДн (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) в случаях, указанных в п.п. 8.3, 8.5-8.7 настоящего Положения;

- уничтожить ПДн или обеспечить их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) в случаях, указанных в п.п.8.3, 8.5, 8.8 настоящего Положения;

- уведомить уполномоченный орган по защите прав СПДн о нарушении их прав в случаях, указанных в п.8.4 настоящего Положения;

- Оператор и иные лица, получившие доступ к ПДн, обязаны не раскрывать третьим лицам и не распространять ПДн без согласия СПДн, если иное не предусмотрено действующим законодательством РФ;

1.3.3. СПДн вправе:

- получать сведения о его ПДн, указанные в части 7 статьи 14 Федерального закона, за исключением случаев, предусмотренных частью 8 статьи 14 Федерального закона;

- требовать от Оператора уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

- требовать прекращения обработки его ПДн в целях продвижения товаров, работ, услуг путем осуществления прямых контактов с помощью средств связи без его предварительного согласия. Указанная обработка ПДн признается осуществляемой без предварительного согласия СПДн, если Оператор не докажет, что такое согласие было получено;

- обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав СПДн или в судебном порядке, если СПДн считает, что Оператор осуществляет обработку его ПДн с нарушением требований настоящего Положения, Федерального закона или иным образом нарушает его права и свободы;

- принимать предусмотренные законом меры по защите своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

1.3.4. СПДн обязан:

- предоставить Оператору достоверные сведения о себе и своевременно сообщать ему об изменении своих ПДн;

- до предоставления согласия на обработку ПДн ознакомиться с настоящим Положением, размещенным в общедоступном месте в офисах Оператора и в Интернет на официальном сайте dengimigom.ru.

1.4. Настоящее Положение вступает в силу с момента его утверждения Приказом Генерального директора Оператора и действует бессрочно, до замены его новым Положением. Все изменения в Положение вносятся Приказом Генерального директора.

1.5. Все сотрудники Оператора, имеющие доступ к ПДн клиентов и заёмщиков, должны быть ознакомлены с настоящим Положением и вносимыми в него изменениями и дополнениями не позднее дня вступления их в силу.

2. Цели сбора ПДн

2.1. Обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора ПДн.

2.2. Цели сбора Оператором ПДн заемщиков и клиентов определены в п.2 Приложения №1 настоящего Положения.

3. Правовые основания обработки ПДн

3.1. Федеральный закон от 27.07.2006г. №152-ФЗ «О персональных данных» регулирует отношения, связанные с обработкой ПДн, а также закрепляет требования, предъявляемые к Оператору при обработке ПДн.

3.2. Настоящее Положение разработано в соответствии с:

- Конституцией Российской Федерации;

- Гражданским кодексом Российской Федерации;

- Налоговым кодексом Российской Федерации;

- Семейным кодексом Российской Федерации;

- Трудовым кодексом Российской Федерации;

- Федеральным законом от 7 февраля 1992г. №2300-1 «О защите прав потребителей»;

- Федеральным законом от 08.02.1998г. №14-ФЗ «Об обществах с ограниченной ответственностью»;

- Федеральным законом от 28.03.1998г. №53-ФЗ «О воинской обязанности и военной службе»;

- Федеральным законом от 07.08.2001г. №115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма»;

- Федеральным законом от 22.10.2004г. № 125-ФЗ «Об архивном деле в Российской Федерации»;

- Федеральным законом от 30.12.2004г. №218-ФЗ «О кредитных историях»;

- Федеральным законом от 27.07.2006г. №149-ФЗ «Об информации, информационных технологиях и о защите информации»;

- Федеральным законом от 02.10.2007г. № 229-ФЗ «Об исполнительном производстве;

- Федеральным законом от 02.07.2010г. №151-ФЗ «О микрофинансовой деятельности и микрофинансовых организациях»;

- Федеральным законом от 06.12.2011г. №402-ФЗ «О бухгалтерском учете»;

- Федеральным законом от 21.12.2013г. №353- ФЗ «О потребительском кредите (займе)»;

- Федеральным законом от З июля 2016г. №230-ФЗ «О защите прав и законных интересов физических лиц при осуществлении деятельности по возврату просроченной задолженности и о внесении изменений в Федеральный закон «О микрофинансовой деятельности и микрофинансовых организациях»;

- Положением ЦБ от 20.04.2021г. №757-П «Об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфера финансовых рынков в целях противодействия осуществлению незаконных финансовых операций»;

- Базовым стандартом защиты прав и интересов физических и юридических лиц - получателей финансовых услуг, оказываемых членами саморегулируемых организаций в сфере финансового рынка, объединяющих микрофинансовые организации (утв. Банком России, Протокол от 22.06.2017г. № КФНП-22);

- Базовым стандартом совершения микрофинансовой организацией операций на финансовом рынке" (утв. Банком России, Протокол от 27.04.2018г. №КФНП-12);

- Национальным стандартом Российской Федерации. Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер" (ГОСТ Р 57580.1-2017); утв. и введен в действие Приказом Росстандарта от 08.08.2017г. №822-ст;

-Указом Президента РФ «Об утверждении перечня сведений конфиденциального характера» №188 от 06 марта 1997г.;

- Постановлением Госкомстата России от 05.01.2004.г №1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты»;

- Постановлением Правительства РФ от 15.09.2008г. №687 «Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;

- Постановлением Правительства РФ от 21.03.2012г. №211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами операторами, являющимися государственными или муниципальными органами»;

- Постановлением Правительства РФ от 01.112012г. №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

- Приказом Минтруда России от 19.05.2021г. №320н «Об утверждении формы, порядка ведения и хранения трудовых книжек»;

- иными нормативными правовыми актами, действующими на территории Российской Федерации.

3.3. Правовым основанием обработки ПДн СПДн, в том числе пользователей сайта dengimigom.ru (далее – Сайт Оператора), являются законодательные акты Российской Федерации, нормативные акты Банка России, нормативные правовые и иные акты Российской Федерации, перечисленные в п.3.2. настоящего Положения, действующая редакция Устава Оператора с утвержденными изменениями и дополнениями, договоры и согласия на обработку ПДн, заключаемые между Оператором и СПДн,

4. Согласие СПДн на обработку его ПДн

4.1. СПДн принимает решение о предоставлении его ПДн и дает согласие на их обработку свободно, своей волей и в своём интересе.

Использование Пользователем сайта dengimigom.ru, и мобильного приложения «Деньгимигом» (далее – Сервисы) и услуг Общества с ограниченной ответственностью Микрокредитной компания «Деньгимигом» (ООО МКК «Деньгимигом») означает согласие с настоящей Политикой. Ознакомившись с настоящей Политикой, при посещении и использовании Сервисов, услуг ООО МКК «Деньгимигом» Пользователь предоставляет свои персональные данные и дает согласие на обработку его персональных данных. В случае несогласия с условиями Политики Пользователь вправе прекратить использование Сервисов ООО МКК «Деньгимигом». Настоящая Политика применяется только к Сервисам и порталам услуг ООО МКК «Деньгимигом». ООО МКК «Деньгимигом» не контролирует и не несет ответственность за сайты третьих лиц, на которые Пользователь может перейти по ссылкам, доступным на сайтах и порталах ООО МКК «Деньгимигом».

4.2. Согласие на обработку ПДн может быть отозвано СПДн по письменному обращению на имя Генерального директора Оператора.

4.3. Формы Отзывов согласия на обработку ПДн от СПДн либо его представителя в случае отказа СПДн в предоставлении потребительского займа (заключении договора):

• Приложение №3 – если СПДн лично обращается в офис Оператора, в который подавалось соответствующее Согласие на обработку ПДн, и оригинал данного согласия находится в данном офисе;

• Приложение №4 - если вместо СПДн в офис Оператора, в который подавалось соответствующее согласие на обработку ПДн, обращается его представитель (с надлежаще оформленной доверенностью или иным документом, подтверждающим его полномочия) и оригинал данного согласия находится в данном офисе;

• Приложение №5 – если СПДн лично обращается к Оператору, но оригинал данного согласия направлен в центральный архив для хранения;

• Приложение №6 - если вместо СПДн к Оператору обращается его представитель (с надлежаще оформленной доверенностью или иным документом, подтверждающим его полномочия), но оригинал данного согласия направлен в центральный архив для хранения.

4.4. Если отзыв согласия на обработку ПДн подаёт лицо, с которым был заключён договор потребительского займа, то Оператору подаётся Отзыв согласия на обработку ПДн по форме:

• Приложение №7 – если СПДн лично обращается к Оператору;

• Приложение №8 - если вместо СПДн к Оператору обращается его представитель (с надлежаще оформленной доверенностью или иным документом, подтверждающим его полномочия).

4.5. СПДн или его представитель, полномочия которого подтверждены доверенностью, обязаны лично в присутствии представителя Оператора подписать такой отзыв согласия. СПДн может высылать свой отзыв согласия на обработку ПДн по почте. В этом случае подлинность подписи на отзыве должна быть удостоверена нотариально. В случае несоблюдения СПДн или его представителем данного требования, его отзыв будет приравниваться к подписанным неуполномоченным лицом и оставаться без рассмотрения.

4.6. Срок отзыва Согласия на обработку ПДн указан в п.8.6 настоящего Положения.

4.7. В случае отзыва СПДн согласия на обработку ПДн Оператор вправе продолжить обработку ПДн без согласия СПДн при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона.

4.7. Обязанность предоставить доказательство получения согласия СПДн на обработку его ПДн или доказательство наличия оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона, возлагается на Оператора.

5. Объем и категории (перечни) обрабатываемых ПДн, категории СПДн

5.1. К категориям СПДн относятся:

- заемщики / клиенты;

- сотрудники Оператора, оформляющие договор займа;

- пользователи Сайта Оператора;

- третьи лица.

5.2. Оператор обрабатывает следующие категории (перечни) ПДн в зависимости от категории СПДн:

5.2.1. Категории обрабатываемых ПДн заемщика / клиента в п.3 Приложения №1 настоящего Положения.

5.2.2. Категории обрабатываемых ПДн сотрудника Оператора, оформляющего договор займа:

- фамилия, имя, отчество;

- паспортные данные / данные документа, удостоверяющего личность (серия, номер, дата выдачи, код подразделения и наименование органа, выдавшего документ (в случае отсутствия кода подразделения));

- наименование должности;

- служебный адрес электронной почты;

- структурное подразделение;

- место работы;

- наименование и адрес работодателя;

- дополнительные сведения, предусмотренные условиями договора и требованиями федеральных законов, определяющих случаи и особенности обработки персональных данных.

5.2.3. Категории обрабатываемых ПДн пользователей Сайта и Мобильного приложения Оператора:

- фамилия, имя, отчество;

- контактный телефон;

- адрес электронной почты;

- дополнительные сведения, предусмотренные, формами для оформления он-лайн заявок, а также обратной связи, размещенными на Сайте Оператора, в том числе фотография, местонахождение и т.п. на усмотрение пользователя Сайта Оператора.

- IP адрес, информация из cookies, геолокация Пользователя, язык браузера, внешний источник перехода на сайт, сведения об устройстве Пользователя (ПО такого устройства, браузер и его настройки; системных данных устройства, включая модель и производителя устройства, операционная система, размер экрана Пользователя, интернет-провайдер пользователя, сведения о сессии как посетителя этого Сервиса (в том числе, о дате, времени сессии, количестве просмотров веб-страниц, ресурсов сайта), сведения о веб-странице посещаемого сайта, ресурсе на такой странице, при его посещении (ознакомлении с ним) со стороны Пользователя.

5.2.4. Категории обрабатываемых ПДн третьих лиц:

- фамилия, имя, отчество;

- контактный телефон;

- адрес электронной почты;

- дополнительные сведения, предоставленные заемщиком / клиентом Оператору;

- доверенность, судебное решение либо иные сведения представителя заемщика/клиента, подтверждающие полномочия действовать в интересах заемщика / клиента.

5.3. Оператором не осуществляется обработка биометрических ПДн СПДн.

5.4. Оператором не осуществляется обработка специальных категорий ПДн, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, за исключением случаев, предусмотренных частями 2 и 2.1 статьи 10 Федерального закона.

6. Порядок и условия обработки ПДн

6.1. Перечень действий, совершаемых Оператором с ПДн СПДн: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.

6.2. Способы обработки ПДн, используемые Оператором.

6.2.1. По способу передачи ПДн:

- с передачей по внутренней сети Оператора;

- с передачей по сети Интернет;

- смешанная обработка (с передачей по внутренней сети Оператора и передачей по сети Интернет).

6.2.2. По использованию средств автоматизации:

- с использованием средств автоматизации: Обработка пользовательских данных осуществляется с использованием следующих сторонних аналитических сервисов: Google Tag Manager, Google Analytics, Яндекс.Метрика, Appsflyer, Vk.com, Mail.ru.

- без использования средств автоматизации.

6.3. Срок обработки ПДн указан в п.5 Приложения №1 настоящего Положения.

6.4. Условия передачи ПДн третьим лицам.

6.4.1. ПДн СПДн являются конфиденциальной информацией. При передаче ПДн третьим лицам Оператор соблюдает требования конфиденциальности ПДн, установленные ст.7 Федерального закона.

6.4.2. Передача ПДн СПДн третьим лицам Оператором и иными лицами, получившими доступ к ПДн осуществляется только с согласия СПДн, если иное не предусмотрено локальными актами Оператора и/или действующим законодательством РФ.

6.4.3. Передача ПДн СПДн третьим лицам осуществляется Оператором на основании заключенных им договоров с третьими лицами. В данном случае согласие СПДн на передачу его ПДн третьим лицам не требуется.

6.4.4. Перечень третьих лиц, которым Оператор вправе передавать ПДн СПДн (включая, но не ограничиваясь) в Приложение №9 к настоящему Положению. Подписывая Согласие на обработку ПДн СПДн дает Оператору согласие на передачу своих ПДн третьим лицам, указанным в данном перечне, оказывающим услуги Оператору на основании заключенных договоров, а также в случаях, установленных Федеральным законом.

6.4.5. В соответствии с законодательством РФ Оператор вправе передать ПДн органам дознания и следствия, правоохранительным, судебным органам в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства, а также иным уполномоченным органам по основаниям, предусмотренным действующим законодательством РФ.

6.4.6. ПДн СПДн передаются его представителю в порядке, установленном действующим законодательством РФ и настоящим Положением. Информация передается при наличии одного из документов: - нотариально удостоверенной доверенности представителя СПДн; - письменного заявления СПДн, написанного в присутствии сотрудника Оператора (если заявление написано СПДн не в присутствии сотрудника Оператора, то оно должно быть нотариально заверено).

6.4.7. ПДн СПДн могут быть предоставлены родственникам или членам его семьи только с письменного разрешения самого СПДн, за исключением случаев, когда передача ПДн СПДн без его согласия допускается действующим законодательством РФ.

6.4.8. При отправке документов, содержащих ПДн через организацию Федеральной почтовой связи обеспечивается их конфиденциальность. Документы, содержащие ПДн вкладываются в индивидуальный защищенный конверт, к нему прилагается сопроводительное письмо. На конверте делается надпись о том, что содержимое данного конверта является конфиденциальной информацией, и за незаконное ее разглашение законодательством РФ предусмотрена ответственность. Конверт с сопроводительным письмом вкладывается в другой конверт, на который наносятся только реквизиты, предусмотренные правилами для заказных почтовых отправлений.

6.4.9. Передача ПДн может быть осуществлена электронным способом при условии обеспечения их защищенности.

6.4.10. Не допускается передача ПДн СПДн третьим лицам в коммерческих целях без его согласия.

6.5. Оператор не осуществляет трансграничную передачу ПДн СПДн.

6.6. Условиями прекращения обработки ПДн являются:

- достижение целей обработки ПДн;

- истечение срока действия согласия СПДн на обработку его ПДн;

- отзыв согласия СПДн на обработку его ПДн;

- выявление неправомерной обработки ПДн.

6.7. Хранение ПДн.

6.7.1. Хранение ПДн на бумажных носителях осуществляется в приспособленных для этого помещениях в запираемых шкафах, доступ к которым имеют соответствующие сотрудники.

6.7.2. Хранение ПДн в электронном виде осуществляется на серверах Оператора с использованием специализированного программного обеспечения, отвечающего требованиям безопасности.

6.7.3. Хранение резервных и технологических копий баз данных автоматизированных информационных систем (далее – АИС), содержащих информацию персонального характера, осуществляется на серверах Оператора и сменных носителях, доступ к которым ограничен.

6.7.4. Доступ к электронным базам данных, содержащим ПДн СПДн, обеспечивается паролем.

6.7.5. На рабочем месте сотрудника Оператора в его отсутствие в общем доступе не должно быть документов, содержащих ПДн СПДн.

6.7.6. При уходе в отпуск, в служебную командировку, на больничный лист и иных случаях длительного отсутствия сотрудника Оператора на своем рабочем месте, он обязан передать документы и иные носители, содержащие ПДн СПДн иному сотруднику Оператора, на которого приказом будет возложено исполнение его трудовых обязанностей.

6.7.7. При увольнении сотрудника Оператора, имеющего доступ к ПДн СПДн, документы и иные носители, содержащие ПДн, передаются другому сотруднику Оператора, имеющему доступ к ПДн.

6.7.8. Лица, ответственные за хранение ЛДСПДн, обязаны регулярно проверять наличие состоящих на хранении документов. При обнаружении недостачи ЛДСПДн или документов, входящих в них, лица, ответственные за их хранение, обязаны немедленно уведомить об этом Генерального директора Оператора и принять меры к розыску недостающих документов.

6.7.9. Хранение ПДн осуществляется в форме, позволяющей определить СПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является СПДн.

6.7.10. ПДн, а также документы, содержащие ПДн, хранятся у Оператора не менее пяти лет с даты прекращения отношений с клиентом (после полного исполнения обязательств по договору потребительского займа). По истечении указанного срока ПДн подлежат уничтожению, за исключением случаев, когда хранение в течении иного срока установлено законодательством или иной срок указан в согласии на обработку ПДн, подписанном собственноручной или цифровой подписью СПДн.

6.7.11. Согласно ст.6 п.12 Федерального закона №218-ФЗ "О кредитных историях": "Подлинный экземпляр согласия субъекта кредитной истории на получение основной части кредитной истории хранится в течение пяти лет после окончания срока действия договора займа (кредита). В случае, если договор не был заключен, согласие на получение основной части кредитной истории хранится в течение пяти лет со дня окончания срока действия согласия. Хранение согласий субъектов кредитных историй должно осуществляться в форме, позволяющей проверить их целостность и достоверность". На основании вышеизложенного, ПДн лица, которому было отказано в предоставлении потребительского займа, содержащиеся в «Согласии на получение кредитных отчётов из бюро кредитных историй», и оригинал Согласия отзыву, возврату и удалению не подлежат в течении пяти лет

7. Актуализация, исправление, удаление и уничтожение ПДн, ответы на запросы СПДн на доступ к ПДн

7.1. Условия сбора ПДн.

7.1.1. Все ПДн Оператор получает непосредственно от СПДн либо у третьей стороны при условии уведомления об этом заранее СПДн и получения от него письменного согласия на это. Оператор информирует СПДн о целях, предполагаемых источниках, способах получения ПДн, о характере подлежащих получению ПДн и юридических последствиях отказа СПДн от предоставления его ПДн и /или согласия на их обработку.

7.1.2. В целях подтверждения достоверности сведений, предоставленных СПДн в процессе оформления заявления на предоставление займа, а также получения информации, необходимой для принятия решения о выдаче ему займа, Оператор вправе на законных основаниях направлять запросы третьим лицам, а также получать из общедоступных источников сведения о СПДн для получения информации, необходимой для принятия решения о выдаче клиенту займа.

7.1.3. В рамках реализации своего права на проверку достоверности указанной СПДн информации Оператор также вправе проводить проверку и уточнение ПДн предоставленных СПДн посредством устных обращений и письменных запросов к работодателю СПДн, а также иным лицам, контактные данные которых были предоставлены СПДн Оператору или стали известны Оператору из общедоступных источников информации.

7.1.4. Ввод ПДн в АИС осуществляется сотрудниками Оператора, имеющими доступ к работе с ПДн в соответствии с их должностными обязанностями, и/или СПДн самостоятельно через личный кабинет, и/или третьими лицами, осуществляющими обработку ПДн по поручению Оператора.

7.1.5. Лица, осуществляющие ввод и обработку ПДн с использованием АИС, несут ответственность за достоверность и полноту введенной информации.

7.1.6. СПДн, осуществляющие регистрацию личного кабинета несут ответственность за достоверность и полноту введенной информации.

7.2. Актуализация и исправления, вносимые в ПДн СПДн, производятся на основании соответствующих подтвержденных сведений.

7.3. Оператор принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных ПДн.

7.4. Обрабатываемые ПДн подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Федеральным законом.

7.5. Ответы на запросы СПДн на доступ к ПДн.

7.5.1. СПДн имеет право на получение информации, касающейся обработки его ПДн, в том числе содержащей:

1) подтверждение факта обработки ПДн Оператором;

2) правовые основания и цели обработки ПДн;

3) цели и применяемые Оператором способы обработки ПДн;

4) наименование и место нахождения Оператора, сведения о лицах (за исключением сотрудников Оператора), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Оператором или на основании федеральных законов;

5) обрабатываемые ПДн, относящиеся к соответствующему СПДн, источник их получения, если иной порядок представления таких данных не предусмотрен федеральными законами;

6) сроки обработки ПДн, в том числе сроки их хранения;

7) порядок осуществления СПДн прав, предусмотренных действующим законодательством РФ;

8) информацию об осуществленной или о предполагаемой трансграничной передаче данных;

9) наименование или фамилию, имя, отчество (при наличии) и адрес лица, осуществляющего обработку ПДн по поручению Оператора, если обработка поручена или будет поручена такому лицу;

10) информацию о способах исполнения Оператором обязанностей, установленных статьей 18.1 Федерального закона;

11) иные сведения, предусмотренные федеральными законами.

7.5.2. СПДн имеет право на получение сведений, указанных в п.7.5.1. настоящего Положения, за исключением случаев, предусмотренных частью 8 статьи 14 Федерального закона. СПДн вправе требовать от Оператора уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

7.5.3. Сведения, указанные в п.7.5.1. настоящего Положения, предоставляются СПДн или его представителю Оператором в течение десяти рабочих дней с момента обращения либо получения Оператором запроса СПДн или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Оператором в адрес СПДн мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Запрос должен содержать номер основного документа, удостоверяющего личность СПДн или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие СПДн в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Оператором, подпись СПДн или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации. Оператор предоставляет сведения, указанные в пункте 7.5.1. настоящего Положения, СПДн или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе. Формы обращений (запросов) представлены в Приложениях №10, №11.

7.5.4. В случае, если сведения, указанные в п.7.5.1 настоящего Положения, а также обрабатываемые ПДн были предоставлены для ознакомления СПДн или его представителю по обращению, СПДн или его представитель вправе обратиться повторно к Оператору или направить ему повторный запрос в целях получения сведений, указанных в п.7.5.1. настоящего Положения не ранее чем через 30 (тридцать) дней после первоначального обращения или направления первоначального обращения если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является СПДн.

7.5.5. СПДн или его представитель вправе обратиться повторно к Оператору или направить ему повторный запрос в целях получения сведений, указанных в п.7.5.1 настоящего Положения, а также в целях ознакомления с обрабатываемыми ПДн до истечения тридцатидневного срока, в случае, если такие сведения и (или) обрабатываемые ПДн не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в п.7.5.1 настоящего Положения, должен содержать обоснование направления повторного запроса.

7.5.6. Оператор вправе отказать СПДн или его представителю в выполнении повторного запроса, не соответствующего условиям, предусмотренным пунктами 7.5.4-7.5.5 настоящего Положения. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Операторе.

7.5.7. В случае отказа в предоставлении информации о наличии ПДн о соответствующем СПДн или ПДн субъекту персональных данных или его представителю при их обращении (запросе) Оператор обязан дать мотивированный ответ в письменной форме, содержащий ссылку не положение части 8 статьи 14 Федерального закона или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий десяти рабочих дней со дня обращения (запроса) СПДн или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

7.5.8. Оператор предоставляет безвозмездно СПДн или его представителю возможность ознакомления с ПДн, относящимися к этому СПДн. В срок, не превышающий семи рабочих дней со дня предоставления СПДн или его представителем сведений, подтверждающих, что ПДн данные являются неполными, неточными или неактуальными, Оператор обязан внести в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления СПДн или его представителем сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Оператор уничтожает такие ПДн. Оператор уведомляет СПДн или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым ПДн этого СПДн были переданы.

7.5.9. Оператор сообщает в уполномоченный орган по защите прав СПДн по запросу этого органа необходимую информацию в течение десяти рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес уполномоченного органа по защите прав СПДн мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

7.5.10. Право СПДн или его представителя на доступ к его ПДн может быть ограничено в соответствии с федеральными законами, в том числе если:

1) обработка ПДн, включая ПДн, полученные в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка;

2) обработка ПДн осуществляется органами, осуществившими задержание СПДн по подозрению в совершении преступления, либо предъявившими СПДн обвинение по уголовному делу, либо применившими к СПДн меру пресечения до предъявления обвинения, за исключением предусмотренных уголовно-процессуальным законодательством РФ случаев, если допускается ознакомление подозреваемого или обвиняемого с такими ПДн;

3) обработка ПДн осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;

4) доступ СПДн к его ПДн нарушает права и законные интересы третьих лиц;

5) обработка ПДн осуществляется в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

7.5.11. Способы обращения СПДн или его представителя для получения сведений, указанных в п.7.5.1 настоящего Положения.

- в целях сохранения конфиденциальности ПДн и исключения возможности предоставления ПДн неуполномоченным лицам обращения (заявления, ходатайства, требования, уведомления, запросы и т.д.) от СПДн и его представителя принимаются Оператором только в его офисах. При этом СПДн или его представитель, полномочия которого подтверждены доверенностью, обязаны лично в присутствии представителя Оператора подписать такое обращение;

- СПДн или его представитель может высылать свое обращение по почте (на юридический или почтовый адрес Оператора). В этом случае подлинность подписи на обращении должна быть удостоверена нотариально. В случае несоблюдения СПДн или его представителем данного требования, его обращения будут приравниваться к подписанным неуполномоченным лицом и оставаться без рассмотрения.

7.5.12. Обращения СПДн или его представителя, ответ на обращение (при наличии) регистрируется канцелярией Оператора.

8. Обязанности Оператора по устранению нарушений законодательства, допущенных при обработке ПДн, по уточнению, блокированию и уничтожению ПДн.

8.1. В случае выявления неправомерной обработки ПДн при обращении (запросу) СПДн или его представителя, либо уполномоченного органа по защите прав СПДн Оператор осуществляет блокирование неправомерно обрабатываемых ПДн, относящихся к этому СПДн, или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения (получения запроса) на период проверки. В случае выявления неточных ПДн при обращении (запросу) СПДн или его представителя или по запросу уполномоченного органа по защите прав СПДн Оператор осуществляет блокирование ПДн, относящихся к этому СПДн, или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование ПДн не нарушает права и законные интересы СПДн или третьих лиц.

8.2. В случае подтверждения факта неточности ПДн Оператор на основании сведений, представленных СПДн или его представителем либо уполномоченным органом по защите прав СПДн, или иных необходимых документов уточняет ПДн либо обеспечивает их уточнение (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) в течение семи рабочих дней со дня представления таких сведений и снимает блокирование ПДн.

8.3. В случае выявления неправомерной обработки ПДн, осуществляемой Оператором или лицом, действующим по поручению Оператора, Оператор в срок, не превышающий трех рабочих дней с даты этого выявления, прекращает неправомерную обработку ПДн или обеспечивает прекращение неправомерной обработки ПДн лицом, действующим по поручению Оператора. В случае, если обеспечить правомерность обработки ПДн невозможно, Оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки ПДн, уничтожает такие ПДн или обеспечивает их уничтожение. Об устранении допущенных нарушений или об уничтожении ПДн Оператор уведомляет СПДн или его представителя, а в случае, если обращение СПДн или его представителя либо запрос уполномоченного органа по защите прав СПДн данных были направлены уполномоченным органом по защите прав СПДн также указанный орган.

8.4. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав СПДн, Оператор с момента выявления такого инцидента Оператором, уполномоченным органом по защите прав СПДн или иным заинтересованным лицом уведомляет уполномоченный орган по защите прав СПДн:

1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав СПДн, и предполагаемом вреде, нанесенном правам СПДн, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по защите прав СПДн, по вопросам, связанным с выявленным инцидентом;

2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставляет сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

8.5. В случае достижения цели обработки ПДн Оператор прекращает обработку ПДн в или обеспечивает ее прекращение (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) и уничтожает ПДн или обеспечивает их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки ПДн, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является СПДн, иным соглашением между Оператором и СПДн либо если Оператор не вправе осуществлять обработку ПДн без согласия СПДн на основаниях, предусмотренных настоящим Положением или федеральными законами.

8.6. В случае отзыва СПДн согласия на обработку его ПДн Оператор прекращает их обработку или обеспечивает прекращение такой обработки (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) и в случае, если сохранение ПДн более не требуется для целей обработки ПДн, уничтожает ПДн или обеспечивает их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является СПДн, иным соглашением между Оператором и СПДн либо если Оператор не вправе осуществлять обработку ПДн без согласия СПДн на основаниях, предусмотренных настоящим Положением или другими федеральными законами.

8.7. В случае обращения СПДн к Оператору с требованием о прекращении обработки ПДн Оператор в срок, не превышающий десяти рабочих дней с даты получения Оператором соответствующего требования, прекращает их обработку или обеспечивает прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку ПДн), за исключением случаев, предусмотренных пунктами 2 - 11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Оператором в адрес СПДн мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

8.8. В случае отсутствия возможности уничтожения ПДн в течение срока, указанного в пунктах 8.4 – 8.7 настоящего раздела, Оператор осуществляет блокирование таких ПДн или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) и обеспечивает уничтожение ПДн в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

9. Особенности предоставления доступа к ПДн

9.1. Право доступа к ПДн СПДн по служебной необходимости имеют:

• генеральный директор;

• сотрудники бухгалтерии;

• менеджеры по обучению и оценке персонала;

• специалисты по выдаче займов;

• делопроизводители;

• ответственный сотрудник по ПОД/ФТ;

• третьи лица, осуществляющее обработку ПДн по поручению Оператора;

• иные лица, по письменному распоряжению Генерального директора Оператора в случаях, предусмотренных действующим законодательством РФ.

9.2. Доступ сотрудников к ПДн, должностными обязанностями которых не предусмотрен доступ к ПДн СПДн, содержащимся как в АИС организации, так и на бумажных носителях осуществляется с письменного согласия Генерального директора Оператора или уполномоченного им лица (допуск).

9.3. Сотрудник, получивший допуск к ПДн СПД, должен быть ознакомлен с настоящим Положением и другими внутренними локальными правовыми актами, касающимися сведений персонального характера.

9.4. При получении доступа к ПДн сотрудники Оператора подписывают письменное обязательство о соблюдении конфиденциальности ПДн СПДн и соблюдении правил их обработки («Обязательство о неразглашении персональных данных» и «Соглашение о конфиденциальности»).

9.5. Доступ к АИС разграничен политикой безопасности системы, реализуемой с использованием технических и организационных мероприятий. Каждый пользователь АИС имеет индивидуальную учетную запись, которая определяет его права и полномочия в АИС. Информация об учетной записи не может быть передана другим лицам. Пользователь несет персональную ответственность за конфиденциальность сведений собственной учетной записи.

9.6. При работе с программными средствами АИС, реализующими функции просмотра и редактирования ПД, запрещается демонстрация экранных форм, содержащих такие данные, лицам, не имеющим прав на доступ к ПДн.

10. Меры по обеспечению защиты ПДн

10.1. Оператор при обработке ПДн принимает необходимые правовые, организационные и технические меры, определенные с учетом актуальных угроз безопасности ПДн и информационных технологий, используемых в АИС для защиты ПДн от неправомерного и/или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.

10.2. Правовые меры:

- разрабатывает и утверждает локальные акты по вопросам обработки ПДн, локальные акты, устанавливающие процедуры предотвращения и выявления нарушений законодательства РФ, устранение последствий таких нарушений;

- ознакомляет сотрудников, непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ о ПДн, в том числе требованиями к защите ПДн, документами, определяющими политику Оператора в отношении обработки ПДн, локальными актами по вопросам обработки ПДн, и (или) проводит обучение указанных сотрудников;

- лица, получившие доступ к ПДн подписывают «Обязательство о неразглашении ПДн».

10.3. Организационные меры:

- приказом назначено должностное лицо, ответственное за организацию обработки ПДн, в том числе общую организацию защиты ПДн СПДн;

- приказом назначено должностное лицо, ответственное за обеспечение безопасности ПДн в информационной системе;

- осуществляет внутренний контроль за соблюдением Оператором и его сотрудниками законодательства РФ о ПДн, в том числе требований к защите ПДн;

- до сведения работников Оператора доводятся положения законодательства Российской Федерации о ПДн, локальные акты по вопросам обработки ПДн, требования к защите ПДн;

- принимает и обрабатывает обращения и запросы СПДн или их представителей и осуществляет контроль за приемом и обработкой таких обращений и запросов;

- обеспечивает режим безопасности помещений, в которых размещена АИС обработки ПДн и в которых хранятся материальные носители, содержащие ПДн, препятствующий возможность неконтролируемого проникновения третьих лиц в такие помещения;

- определяет перечень лиц, доступ которых к ПДн СПДн необходим для выполнения ими служебных (трудовых) обязанностей;

- определяет уровень защиты информации ежегодно не позднее десятого рабочего дня календарного года.

10.4. Технические меры:

- безопасность ПДн при их обработке в АИС обеспечивается с помощью системы защиты ПДн, нейтрализующей актуальные угрозы;

- управляет учётными записями и правами пользователей АИС, реализует меры по разграничению прав доступа пользователей;

- идентификация и аутентификация, авторизация (разграничение доступа) всех пользователей АИС, а также объектов доступа;

- обеспечивает регистрацию и учет всех действий, совершаемых пользователями АИС с ПДн;

- обеспечивает сохранность носителей ПДн;

- используются средства защиты информации, прошедшие процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации - применяет антивирусную защиту информационной системы обработки ПДн.

10.5. Безопасность ПДн при их обработке в АИС обеспечивает Оператор или лицо, осуществляющее обработку ПДн Оператора на основании заключаемого с этим лицом договора (при наличии такого лица).

10.6. Защите подлежит:

- информация о ПДн СПДн;

- документы, содержащие ПДн СПДн;

- ПДн СПДн, содержащиеся на электронных носителях.

10.7. Способы защиты:

- защита данных на бумажных носителях: прочно запирающиеся шкафы;

- защита информации на электронных носителях: доступ к базе ПДн ограничен Оператором посредством установки паролей на компьютер;

- внешняя защита: тревожная сигнализация, заключение договора с вневедомственной охраной, пожарная сигнализация.

10.8. Оператор осуществляет мониторинг технического состояния программно-аппаратных средств, с помощью которых осуществляется обработка ПДн СПДн, выявление актуальных угроз безопасности ПДн, характерных для информационной системы Оператора. На основе полученных данных Оператор определяет уровень защищенности ПДн и уровень защиты при их обработке в АИС. Для данных мероприятий создается комиссия по определению уровня защищенности ПДн и уровня защиты при их обработке в АИС. Состав комиссии утверждается генеральным директором Оператора. По результатам мониторинга составляется Акт определения уровня защищенности ПДн и уровня защиты при их обработке в АИС. реализует меры, необходимые для его обеспечения.

10.9. Защита ПДн СПДн от неправомерного их использования или утраты обеспечивается за счет средств Оператора в порядке, установленном Федеральным законом.

11. Ответственность за нарушение норм, регулирующих обработку и защиту ПДн

11.1. Руководитель, разрешающий доступ сотрудника Оператора к конфиденциальному документу, несет персональную ответственность за данное разрешение.

11.2. Любой сотрудник Оператора, получающий для работы конфиденциальный документ, содержащий ПДн, несет единоличную ответственность за сохранность носителя и конфиденциальность этой информации.

11.3. Лица, виновные в нарушении требований настоящего Положения и Федерального закона, несут предусмотренную законодательством РФ ответственность:

11.4. Моральный вред, причиненный СПДн вследствие нарушения его прав, нарушения правил обработки ПДн, установленных настоящим положением и Федеральным законом, а также требований к защите ПДн, установленных в соответствии с Федеральным законом, подлежит возмещению в соответствии с законодательством РФ. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных СПДн убытков.

11.5. СПДн, предоставивший Оператору подложные документы или заведомо ложные сведения о себе, несет ответственность в соответствии с действующим законодательством РФ.

12. Способ взаимодействия с ООО «МКК «Деньгимигом»

Если у вас есть вопросы касательно конфиденциальности при использовании Приложения или касательно практик, свяжитесь с ООО «МКК «Деньгимигом» по электронной почте: info@dmigom.ru.

Согласие на обработку персональных данных третьего лица

Я,________________________________________________________________________, зарегистрированный по адресу: ___________________________________________________; документ, удостоверяющий личность: паспорт серия _____ номер _________ выдан: _____________________________________________________, дата выдачи: ___.___.______г., код подразделения: _____-_____, далее «Субъект персональных данных или СПДн» даю ООО «МКК «Деньгимигом» (ИНН: 1650244278; ОГРН: 1121650010943, юридический адрес: 423800, Республика Татарстан, г. Набережные Челны, пр. Набережночелнинский, д. 84; адрес фактического местонахождения: 423822, Республика Татарстан, г. Набережные Челны, пр. Набережночелнинский, д. 84), далее «Оператор» согласие на обработку персональных данных (далее – «ПДн») на следующих условиях:

1. СПДн принимает решение о предоставлении его персональных данных (ПДн) и даёт согласие на их обработку свободно, своей волей и в своем интересе.

2. СПДн дает согласие на обработку Оператором своих ПДн (в том числе смешанную и автоматизированную - с использованием автоматизированных информационных систем), то есть совершение следующих действий: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (описание вышеуказанных способов обработки ПДн содержится в Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных»), в следующих целях:

- для подтверждения личности СПДн (идентификации) и осуществления связи с СПДн;

- приёма, регистрации и рассмотрения обращения СПДн, подготовки ответа на обращение и его направление или выдачу СПДн, а также хранение обращения Оператором;

- осуществления и выполнения функций, полномочий и обязанностей Оператором, возложенных на него законодательством РФ (в том числе Федерального закона №152-ФЗ «О персональных данных»);

- иные цели, для достижения которых в соответствии с законодательством РФ Оператор вправе и/или обязан обрабатывать ПДн.

3. Перечень ПДн, передаваемых на обработку Оператору СПДн лично, третьими лицами в отношении СПДн или полученных Оператором из общедоступных источников информации: фамилия, имя, отчество (при наличии); паспортные данные; сведения о месте регистрации и/или проживания; контактная информация (телефоны и адреса электронной почты СПДн); любая иная информация, которую СПДн предоставил или посчитал необходимым предоставить Оператору по личной инициативе.

4. СПДн по письменному запросу имеет право на получение информации, касающейся обработки его ПДн.

5. Настоящее согласие на обработку ПДн действует в течение трёх лет.

6. Согласие на обработку персональных данных может быть отозвано не менее чем за один месяц до даты такого отзыва, одним из следующих способов:

• в офисах по выдаче займов. СПДн или его представитель, полномочия которого подтверждены оригиналом или нотариально заверенной копией доверенности, удостоверенной нотариусом, могут лично в присутствии представителя Оператора подписать отзыв согласия на обработку персональных данных;

• по адресу постоянно действующего исполнительного органа посредством почтовой связи. При направлении отзыва согласия на обработку персональных данных представителем СПДн к отзыву в обязательном порядке должны быть приложены копии документов, подтверждающих право третьего лица действовать от имени СПДн.

---

(Фамилия, Имя, Отчество, подпись)