1. Общие сведения
1.1.
Нормативное основание:
Положение о персональных данных (далее – Положение) издано и применяется Индивидуальным предпринимателем Исликаевой Дарьей Фигоровной, ИНН 665894569762, ОГРНИП 319665800201368 (далее – Оператор) в соответствии с Трудовым кодексом РФ, Гражданским кодексом РФ, федеральными законами «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных», «О персональных данных», «Об информации, информационных технологиях и о защите информации», иными нормативными правовыми актами Российской Федерации и нормативными документами, локальными актами Оператора.
Все вопросы, связанные с обработкой и защитой персональных данных, не урегулированные настоящим Положением, разрешаются в соответствии с действующим законодательством Российской Федерации в области персональных данных.
1.2.
Назначение Положения:
Положение определяет политику, порядок и условия Оператора в отношении обработки и защиты персональных данных, устанавливает процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений, связанных с обработкой и защитой персональных данных.
1.3.
Цели Положения:
• защита персональных данных работников, соискателей, клиентов, посетителей сайта от несанкционированного доступа, неправомерного их использования или утраты; 
• обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.4.
Действие Положения:
Настоящее Положение утверждается и вводится в действие приказом Индивидуального предпринимателя.
1.5.
Контроль за исполнением Положения:
Контроль за исполнением Положения возложен на ответственного за обработку персональных данных.
2. Принципы, цели, способы обработки, категории персональных данных
2.1.
Принципы обработки персональных данных:
Обработка персональных данных организована на принципах:
• законности целей и способов обработки персональных данных, добросовестности и справедливости;
• ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
• достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
• обработки только персональных данных, которые отвечают целям их обработки. Недопустима обработка персональных данных, несовместимая с целями сбора персональных данных;
• соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
• недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, не совместимых между собой;
• обеспечения точности персональных данных, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки персональных данных. Индивидуальным предпринимателем принимаются необходимые меры либо обеспечивается их принятие по удалению или уточнению неполных или неточных данных;
• хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
2.2.
Способы обработки:
Обработка персональных данных осуществляется смешанным способом:
• без передачи по внутренней сети юридического лица;
• с передачей по сети Интернет.
2.3.
Категории обрабатываемых персональных данных в зависимости от цели обработки:
В целях подготовки, заключения, исполнения гражданско-правовых договоров обрабатываются следующие персональные данные: фамилия, имя, отчество, год рождения, месяц рождения, дата рождения, место рождения, пол, адрес электронной почты, адрес места жительства, адрес регистрации, номер телефона, СНИЛС, ИНН, гражданство, данные документа, удостоверяющего личность, данные документа, содержащиеся в свидетельстве о рождении, номер расчетного счета, номер лицевого счета, данные изображения лица, полученные с помощью фото- видео устройств, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных, фото-видео изображение лица, данные голоса человека.
В целях ведения кадрового и бухгалтерского учета обрабатываются следующие персональные данные: фамилия, имя, отчество, год рождения, месяц рождения, дата рождения, место рождения, доходы, пол, адрес электронной почты, адрес места жительства, адрес регистрации, номер телефона, СНИЛС, ИНН, данные документа, удостоверяющего личность, данные водительского удостоверения, данные документа, содержащиеся в свидетельстве о рождении, реквизиты банковской карты, номер расчетного счета, номер лицевого счета, профессия, должность, сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации),отношение к воинской обязанности, сведения о воинском учете, сведения об образовании, фото-видео изображение лица.
3. Порядок обработки персональных данных
3.1.
Понятие обработки персональных данных:
Обработка – это любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
3.2. 
Сбор персональных данных:
Получение персональных данных может осуществляться как путем представления их самим субъектом, так и путем получения их из иных общедоступных источников.
Персональные данные следует получать у самого субъекта после его согласия на обработку персональных данных. Если персональные данные возможно получить только у третьей стороны, то субъект должен быть уведомлен об этом заранее и от него должно быть получено письменное согласие. Оператор должен сообщить субъекту о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа дать письменное согласие на их получение.
Согласие должно быть в письменной форме.
3.3. 
Хранение персональных данных:
Хранение персональных данных должно происходить в порядке, исключающем их утрату или их неправомерное использование.
Персональные данные хранятся на бумажных и/или электронных носителях.
3.4.
Предоставление доступа:
3.4.1. Внутренний доступ.
Право доступа к персональным данным сотрудников (в т.ч. уволенных сотрудников) имеют: Исликаева Дарья Фигоровна и сотрудники индивидуального предпринимателя.
Право доступа к персональным данным контрагентов, клиентов, посетителей сайта имеют: Исликаева Дарья Фигоровна и сотрудники Оператора.
3.4.2. Внешний доступ.
К числу массовых потребителей персональных данных можно отнести государственные и негосударственные функциональные структуры: налоговые инспекции, правоохранительные органы, органы статистики, военкоматы, органы социального страхования, пенсионные фонды, подразделения муниципальных органов управления и др.
Надзорно-контрольные органы имеют доступ к информации только в сфере своей компетенции.
Организации, в которые сотрудник может осуществлять перечисления денежных средств (страховые компании, негосударственные пенсионные фонды, благотворительные организации, кредитные учреждения), могут получить доступ к персональным данным работника только в случае его письменного разрешения. 
Сведения о работающем или уже уволенном сотруднике могут быть предоставлены другой организации только по письменному запросу на бланке организации с приложением копии нотариально заверенного заявления работника.
Персональные данные субъекта могут быть предоставлены его родственникам или членам его семьи только с письменного разрешения самого субъекта персональных данных. 
3.5.
Распространение персональных данных:
Оператор вправе публиковать персональные данные на своем сайте в ИТС «Интернет» или страницах в социальных сетях с предварительного письменного согласия субъекта.
3.6.
Уничтожение персональных данных:
В случаях, предусмотренных законом, оператор уничтожает персональные данные. 
Уничтожение персональных данных на бумажных носителях осуществляется с помощью бумагорезательной машины путем измельчения документов на куски, гарантирующего невозможность восстановления текста.
Уничтожение персональных данных на технических устройствах осуществляется путем механического нарушения целостности носителя, не позволяющего произвести считывание или восстановление персональных данных, или удалением с электронных носителей методами и средствами гарантированного удаления остаточной информации.
По окончании процедуры уничтожения ответственный за обработку персональных данных составляет акт об уничтожении персональных данных.
Для уничтожения персональных данных должны применяться прошедшие в установленном порядке процедуру оценки соответствия средства защиты информации, в составе которых реализована функция уничтожения информации.
4. Меры по обеспечению безопасности персональных данных
4.1.
Общая характеристика:
Защита персональных данных представляет собой жестко регламентированный и динамически технологический процесс, предупреждающий нарушение доступности, целостности, достоверности и конфиденциальности персональных данных и, в конечном счете, обеспечивающий достаточно надежную безопасность информации в процессе управленческой и производственной деятельности оператора. 
Защита персональных данных субъектов от неправомерного их использования или утраты должна быть обеспечена оператором за счет его средств в порядке, установленном федеральным законом.
При обработке персональных данных Оператор применяет правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии со ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
4.2.
Правовые и организационные меры по обеспечению безопасности:
4.2.1. У Оператора приняты Политика обработки персональных данных и Положение о персональных данных, утверждены формы согласия на обработку персональных данных, Список лиц, которым необходим доступ к персональным данным, Правила доступа в помещение, в котором происходит обработка персональных данных, Перечень лиц, которые имеют доступ в помещение, в котором происходит обработка персональных данных, Журнал учета носителей персональных данных, форма акта уничтожения персональных данных (в соответствии с приказом Роскомнадзора от 28.10.2022 № 179).
4.2.2. Сотрудники Оператора, непосредственно осуществляющие обработку персональных данных, должны быть ознакомлены под подпись до начала работы с положениями законодательства РФ о персональных данных, в том числе с требованиями к защите персональных данных, документами, определяющими политику Оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, с данным Положением и изменениями к нему.
Субъекты персональных данных (клиенты, контрагенты, посетители сайта) должны быть ознакомлены с Политикой обработки персональных данных. Оператор обеспечивает доступ к Политике обработки персональных данных, в том числе публикует ее на своей странице в сети Интернет, размещает по своему юридическому адресу.
4.2.3. Ответственный за обработку персональных данных назначается приказом Оператора до начала обработки персональных данных.
Ответственный за обработку персональных данных обязан:
• осуществлять внутренний контроль за соблюдением оператором и его работниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных;
• доводить до сведения работников оператора положения законодательства РФ о персональных данных, локальных актов по вопросам обработки персональных данных, требований к защите персональных данных;
• организовывать прием и обработку обращений и запросов субъектов персональных данных или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов;
• обнаруживать и регистрировать факты несанкционированного доступа к персональным данным, несанкционированной повторной и дополнительной записи информации после ее извлечения из информационной системы персональных данных, а также принимать соответствующие меры.
ИП Исликаева Дарья Фигоровна, а также сотрудники Оператора обязаны оказывать содействие Ответственному за обработку персональных данных. 
4.2.4. Оператор перед началом обработки персональных данных обязан ознакомить субъекта с положением об обработке персональных данных и получить согласие на обработку персональных данных. 
4.2.5. По мере необходимости, но не реже одного раза в год, проводится обучение сотрудников, непосредственно осуществляющих обработку персональных данных у Оператора. Обучение может проводиться Ответственным за обработку персональных данных или иным лицом, обладающим специальными знаниями.
4.2.6. У Оператора проводится оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных», соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных».
Плановая оценка вреда проводится не реже 1 раза в 3 календарных года. В случае, если у Оператора значительно увеличился объем обрабатываемых персональных данных, проводится внеплановая оценка вреда, по результатам которой составляется соответствующий акт.
4.3.
Технические меры:
4.3.1. Защита помещения, в котором обрабатываются персональные данные.
Указанная защита осуществляется путем установки дверей с замком. Приказом директора утверждается список лиц, которые имеют доступ в помещение, в котором происходит обработка персональных данных, а также правила доступа в указанное помещение.
4.3.2. Учет материальных носителей, их работоспособность.
Ответственный за обработку персональных данных осуществляет учет материальных носителей, на которых обрабатываются персональные данные, путем внесения их в соответствующий журнал.
Компьютерная техника с персональными данными должна использоваться в соответствии с эксплуатационной и технической документацией и с учетом технических требований информационных систем и средств защиты информации.
4.3.3. Защита материальных носителей от несанкционированного доступа.
Все материальные носители, на которых обрабатываются персональные данные, должны быть защищены от несанкционированного доступа (технические устройства должны иметь пароль, известный только сотрудникам, имеющим право доступа, бумажные носители должны храниться в сейфе). 
При обработке персональных данных должны использоваться средства защиты информации, прошедшие процедуру оценки соответствия требованиям законодательства РФ в области обеспечения безопасности информации (в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз).
4.3.4. Раздельное хранение.
Носители, содержащие персональные данные, которые обрабатываются в разных целях, должны храниться отдельно друг от друга.
5. Действия при несанкционированном доступе / утечке данных
5.1.
Уведомление Ответственного:
В случае несанкционированного доступа к персональным данным или их утечки лицо, обнаружившее указанный инцидент, обязано незамедлительно донести информацию до Ответственного за обработку персональных данных.
5.2.
Фиксация инцидента:
Ответственный за обработку персональных данных фиксирует инцидент в журнал с указанием времени и даты обнаружения, типа утечек данных и предварительного масштаба происшествия.
5.3. 
Ограничение доступа:
Ответственный за обработку персональных данных обязан незамедлительно ограничить доступ к системам, которые могли быть скомпрометированы, чтобы предотвратить дальнейшее распространение персональных данных.
5.4.
Внутреннее расследование:
Ответственный за обработку персональных данных обязан не позднее дня, следующего за инцидентом, провести внутреннее расследование, выявить точную причину несанкционированного доступа к персональным данным или их утечки. 
5.5. 
Устранение причин:
Ответственный за обработку персональных данных обязан устранить выявленные причины несанкционированного доступа к персональным данным или их утечки.
5.6.
Уведомление Роскомнадзора:
Ответственный за обработку персональных данных обязан подготовить все необходимые документы для подачи следующих уведомлений:
• о факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных;
• уведомление о результатах внутреннего расследования.
6. Порядок обеспечения прав субъектов персональных данных
6.1.
Нормативное обоснование:
Субъекты персональных данных или их представители обладают правами, предусмотренными Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и другими нормативными правовыми актами, регламентирующими обработку персональных данных.
6.2.
Права и обязанности субъектов:
В целях защиты персональных данных, хранящихся у Оператора, субъект имеет право: 
• требовать исключения или исправления неверных или неполных персональных данных;
• на свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные; 
• на сохранение и защиту своей личной и семейной тайны.
Субъект обязан:
• передавать Оператору или его представителю комплекс достоверных, документированных персональных данных, состав которых установлен законодательством РФ в объеме, достаточном для целей обработки;
• своевременно сообщать Оператору об изменении своих персональных данных.
6.3.
Предоставление сведений субъекту:
Сведения, указанные в ч. 7 ст. 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», предоставляются субъекту персональных данных или его представителю Оператором в течение 10 (десяти) рабочих дней с момента обращения либо получения Оператором запроса субъекта персональных данных или его представителя.
Оператор обязан безвозмездно предоставить субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту, по месту своего расположения в рабочее время.
6.4.
Требование о прекращении обработки:
Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных.
Требование может быть направлено одним из следующих способов:
• Заказным письмом с описью вложения по адресу: 620036, Свердловская область, г. Екатеринбург, ул.  Евгения савкова , д.5 
• В формате электронного документа на адрес электронной почты:                          Move-ekb@yandex.ru.
7. Ответственность
7.1.
Общие сведения:
Персональная ответственность – одно из главных требований к организации функционирования системы защиты персональной информации и обязательное условие обеспечения эффективности этой системы.
7.2.
Ответственность юридических и физических лиц:
Юридические и физические лица, в соответствии со своими полномочиями владеющие персональными данными, получающие и использующие их, несут ответственность в соответствии с законодательством Российской Федерации за нарушение режима защиты, обработки и порядка использования персональных данных.
Каждый работник Оператора, получающий для работы персональные данные, несет единоличную ответственность за сохранность носителя и персональных данных.
7.3.
Ответственность руководителя:
Руководитель, разрешающий доступ сотрудника к персональным данным, несет персональную ответственность за данное разрешение.