Политика компании в отношении обработки персональных данных

1. Общие положения

1.1. Данная Политика компании в отношении обработки персональных данных («Политика») определяет цели, общие принципы обработки персональных данных в ООО «ОТЕЛЬ Менеджмент» (далее — «Оператор», «Компания»), условия и способы обработки персональных данных, объем и категории обрабатываемых персональных данных, сроки обработки и хранения, порядок уничтожения при достижении целей обработки или при наступлении иных законных оснований.

1.2. Политика является документом, доступным неограниченному кругу лиц.

1.3. Политика разработана с учетом требований Федерального Закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»), Постановления Правительства Российской Федерации от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и иных нормативных правовых актов РФ в области обработки персональных данных.

1.3. Политика разработана с учетом требований Федерального Закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»), Постановления Правительства Российской Федерации от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и иных нормативных правовых актов РФ в области обработки персональных данных.

1.4. Политика действует бессрочно после утверждения и/или до ее замены новой редакцией: в заголовке Политики указывается дата последнего обновления.

Действие Политики распространяется на персональные данные, полученные как до, так и после ввода в действие данной Политики.

1.5. В Политике используются термины и определения в соответствии с их значениями, как они определены в ФЗ «О персональных данных».

1.6. Действия с персональными данными включают сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

1.7. Конфиденциальность обработки персональных данных.

Все сведения, которые относятся к персональным данным, ставшие известны Оператору в связи с осуществлением процесса обработки таких данных, являются конфиденциальной информацией и охраняются действующим законодательством Российской Федерации. Оператор предпринимает соответствующие меры для защиты такой информации.

1.8. Принципы обработки персональных данных.

• обработка персональных данных на законной и справедливой основе;
• ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
• недопущения обработки персональных данных, несовместимой с целями сбора персональных данных;
• недопущения объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработки только тех персональных данных, которые отвечают целям их обработки;
• соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки;
• недопущения обработки персональных данных, избыточных по отношению к заявленным целям их обработки;
• обеспечения точности, достаточности и актуальности персональных данных по отношению к целям обработки персональных данных;
• уничтожения либо обезличивания персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, при невозможности устранения Оператором допущенных нарушений персональных данных, если иное не предусмотрено федеральным законодательством.

1.8. Биометрические персональные данные

Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность - биометрические персональные данные - могут обрабатываться Оператором только при наличии согласия в письменной форме субъекта.

Обработка биометрических данных осуществляется в системах СКУД (система контроля управления доступа к объектам Оператора).

Не считается обработкой персональных данных сканирование и (или) ксерокопирование паспорта для подтверждения осуществления определенных действий (например, заключение договора на оказание услуг) без проведения процедур идентификации (установления личности).

1.9. Трансграничная передача персональных данных

Оператор обязан убедиться в том, что иностранным государством, на территорию которого предполагается осуществлять передачу персональных данных, обеспечивается адекватная защита прав субъектов персональных данных, до начала осуществления такой передачи.

Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случаях:

• наличия согласия в письменной форме субъекта персональных данных на трансграничную передачу его персональных данных;
• исполнения договора, стороной которого является субъект персональных данных.

1.10. Права субъекта персональных данных

Субъект персональных данных имеет право на:

• получение полной информации в отношении обработки его персональных данных в соответствии с действующим законодательством;
• доступ к своим персональным данным, включая право на получение копии любой записи, содержащей персональные данные, за исключением случаев, предусмотренных законодательством РФ;
• уточнение своих персональных данных, их блокирование или уничтожение в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для целей обработки.
• отзыв согласия на обработку персональных данных;
• на обжалование действия или бездействия Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;
• иные права, предусмотренные законодательством РФ.

1.11. Обязанности Оператора

• при сборе персональных данных предоставить информацию об обработке персональных данных;
• в случаях если персональные данные были получены не от субъекта персональных данных, уведомить субъекта;
• при отказе в предоставлении персональных данных субъекту разъясняются последствия такого отказа;
• опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных;
• принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных;
• давать ответы на запросы и обращения субъектов персональных данных, их представителей и уполномоченного органа по защите прав субъектов персональных данных.

2. Цели обработки персональных данных

2.1. Исполнение положений действующего законодательства РФ.

2.2. Оказание услуг клиентам Компании, включая оказание услуг СПА-комплексом Carelica.

2.3. Оказание физическим лицам медицинских услуг в размах исполнения договоров на оказание медицинских услуг, при этом Оператор соблюдает врачебную тайну в соответствии с законодательством РФ.

2.4. Ведение кадрового учета сотрудников Компании, начисления им заработной платы, осуществление медицинского страхования. В отношении работников в ООО «ОТЕЛЬ Менеджмент» принимается отдельное Положение об обработке персональных данных сотрудников Оператора.

2.5. Обработка персональных данных в целях исполнения договоров гражданско-правового характера с физическими лицами.

2.6. Проведение маркетинговых исследований, информирование рекламных предложений и рассылку информационных сообщений при условии предварительного согласия субъекта персональных данных.

3. Правовые основания

Правовыми основания для обработки персональных данных в Компании являются:

3.1. Федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора, в частности:

• Правила предоставления медицинскими организациями платных медицинских услуг (утв. Постановлением Правительства РФ от 4 октября 2012 г. N 1006);
• Федеральный закон «Об основах туристской деятельности в Российской Федерации» от 24.11.1996 №132-ФЗ;
• Правила предоставления гостиничных услуг (утв. Постановлением Правительства РФ от 09.10.2015 №1085).

3.2. Устав ООО «ОТЕЛЬ Менеджмент»;

3.3. Договоры, заключаемые между Оператором и субъектом персональных данных;

3.4. Трудовой кодекс РФ;

3.5. Гражданский кодекс РФ.

3.6. Согласие на обработку персональных данных (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующих полномочиям Оператора).

4. Категории субъектов персональных данных и категории обрабатываемых персональных данных

4.1. В Компании обрабатываются персональные данные следующих категорий субъектов персональных данных:

• Клиенты Компании, в том числе посетители веб-сайта http://carelicaspa.ru/
• Учредители (участники) ООО «ОТЕЛЬ Менеджмент»;
• Сотрудники Компании (бывшие сотрудники), состоящие в трудовых отношениях с Компанией;
• Лица, состоящие в гражданско-правовых отношениях с Компанией;
• Представители/работники контрагентов Оператора (юридических лиц);
• Физические лица, обращающиеся за медицинскими услугами к Оператору;
• Иные субъекты обработки персональных данных согласно целям обработки, указанным в разделе 2 Политики.

4.2. Перечень категорий субъектов персональных данных может пересматриваться по мере необходимости.

4.3. Перечень персональных данных, обрабатываемых в Компании

4.3.1. Перечень персональных данных, обрабатываемых в ООО «ОТЕЛЬ Менеджмент», определяется в соответствии с законодательством РФ и локальными нормативными актами Компании с учетом целей обработки персональных данных согласно разделу 2 Политики.

4.3.2. Общество осуществляет обработку специальных категорий персональных данных, а именно о национальной принадлежности в целях оказания гостиничных услуг и о состоянии здоровья физических лиц в случае оказания медицинских услуг.

5. Порядок и условия обработки персональных данных

5.1. Перечень действий с персональными данными и способы их обработки

Компания осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу, в том числе трансграничную, обезличивание, блокирование, удаление, уничтожение персональных данных.

Обработка персональных данных осуществляется смешанным способом: с использованием средств автоматизации и без.

5.2. Сроки обработки персональных данных.

Общий срок обработки персональных данных – до прекращения деятельности ООО «ОТЕЛЬ Менеджмент».

Отдельные сроки обработки персональных данных определяются исходя из целей обработки персональных данных; в соответствии со сроком действия договоров с субъектами персональных данных, требованиями федеральных законов.

5.3. Условия обработки персональных данных, включая требования к защите обработки персональных данных.

5.3.1. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством РФ. Без согласия субъекта персональных данных Оператор не передает третьим лицам и не распространяет его персональные данные, если иное не предусмотрено законодательством РФ.

5.3.2. К обработке персональных данных могут иметь доступ только сотрудники Компании, допущенные к работе с персональными данными соответствующих категорий персональных данных.

5.3.3. Защита персональных данных

Компания принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных:

• Установление индивидуальных паролей доступа сотрудников в информационную систему в соответствии с их производственными обязанностями;
• Применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
• Сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами;
• Составление Акта оценки уровня защищенности информационных системы персональных данных;
• Определение актуальных угроз безопасности в информационных системах Оператора и разработка мероприятий по защите персональных данных.
• Назначение лица, ответственного за обработку персональных данных;
• Принятие локальных нормативных актов и иных документов в области обработки и защиты персональных данных; осуществление внутреннего контроля за обработкой и зашитой персональных данных.

5.4. Условия прекращения обработки персональных данных

• достижение целей обработки персональных данных в соответствии с разделом 2 Политики;
• истечение срока действия согласия или отзыв согласия субъекта персональных данных на обработку его персональных данных;
• выявление неправомерной обработки персональных данных.

5.5. Условия хранения персональных данных

5.5.1. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки персональных данных в соответствии с разделом 2 данной Политики, кроме случаев, когда срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

5.5.2. Персональные данные субъектов могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде.

5.5.3. Персональные данные, зафиксированные на бумажных носителях, хранятся в запираемых шкафах либо в запираемых помещениях с ограниченным правом доступа.

5.5.4. Персональные данные субъектов, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в разных папках.

5.5.5. При хранении персональных данных Оператор использует базы данных, находящиеся на территории Российской Федерации.

6. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным

6.1. В случае выявления недостоверных персональных данных или неправомерных действий с ними Компания при обращении или по запросу субъекта персональных данных или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных обязана осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период проверки. Блокирование осуществляется на основании распоряжения (приказа) генерального директора Компании путем прекращения каких-либо действий с персональными данными.

6.2. В случае подтверждения факта неточности персональных данных Компания на основании документов, представленных субъектом персональных данных или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязана уточнить персональные данные (внести изменения) и снять их блокирование. Снятие блокирования осуществляется на основании приказа генерального директора Компании.

6.3. В случае выявления неправомерных действий с персональными данными Компания в срок, не превышающий трех рабочих дней с даты такого выявления, обязана устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений Компания в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязана уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных Компания обязана уведомить субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных.

6.4. В случае достижения цели обработки персональных данных Компания обязана незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий 30 рабочих дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором с субъектом персональных данных или законодательством РФ и уведомить об этом субъекта персональных данных или его законного представителя.

6.5. В случае отзыва субъектом персональных данных согласия на обработку своих персональных данных Компания обязана прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий 30 рабочих дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между Компанией и субъектом персональных данных. Об уничтожении персональных данных Компания обязана уведомить субъекта персональных данных.

6.6. Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя - путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.

6.7. Уничтожение

6.7.1. Уничтожение документов (носителей), содержащих персональные данные, производится путем дробления (измельчения) с применением шредера. Персональные данные на электронных носителях уничтожаются путем стирания или форматирования носителя. Факт уничтожения персональных данных подтверждается документально актом об уничтожении информации с носителей.

6.8. Обращения

6.8.1. Оператор рассматривает обращения субъектов персональных данных, дает разъяснения и предпринимает меры по защите персональных данных. В случае претензий и жалоб со стороны субъектов персональных данных, Оператор принимает все необходимые меры для устранения возможных нарушений, установления виновных лиц и урегулирования спорных ситуаций в досудебном порядке.

6.8.2. Письменные запросы направляются на электронный адрес: info@hotelmgmt.ru или почтовым отправлением по адресу местонахождения Компании: 196626, г. Санкт-Петербург, пос. Шушары, Петербургское шоссе, дом 62, корпус 1, пом. 367.

6.8.3. В случае направления официального запроса в Компанию в тексте запроса необходимо указать:

• фамилию, имя, отчество субъекта персональных данных или его представителя;
• номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие наличие у субъекта персональных данных отношений с Компанией;
• информацию для обратной связи с целью направления Компанией ответа на запрос;
• подпись субъекта персональных данных (или его представителя). Если запрос отправляется в электронном виде, то он должен быть оформлен в виде электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

6.8.4. Срок ответа на письменный запрос – в течение 7-ми рабочих дней.