Положение
о работе с персональными данными клиентов и контрагентов

ООО «ЭКОС»

1. Общие положения

1.1. Настоящее положение разработано в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации", Федеральным законом от 27.07.2006 г. N 152-ФЗ "О персональных данных" (далее - Закон о персональных данных), Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства РФ от 1 ноября 2012 г. N 1119, и иными нормативными актами в области защиты персональных данных, действующими на территории Российской Федерации.

1.2. Настоящее положение устанавливает порядок обработки персональных данных клиентов и контрагентов ООО «ЭКОС» (далее - организация), основные цели, принципы обработки и требования к безопасности персональных данных.

1.3. Настоящее положение разработано в целях регулирования порядка сбора, систематизации, хранения, передачи и уничтожения персональных данных клиентов и контрагентов организации.

2. Понятие и состав персональных данных

2.1. В целях настоящего положения под персональными данными понимается любая информация, прямо или косвенно относящаяся к клиенту или контрагенту организации.

2.2. К персональным данным клиента относятся:

- анкетные данные (фамилия, имя, отчество, число, месяц, год рождения и др.);

- паспортные данные;

- страховой номер индивидуального лицевого счета;

- идентификационный номер налогоплательщика;

- адрес регистрации;

- адрес места жительства;

- номер телефона;

-  и иные данные, предусмотренные данным положением .

2.3. Персональные данные клиентов содержатся в различных документах, используемых организацией во взаимоотношениях с клиентами, в том числе гражданско-правовых договорах, соглашениях, актах, анкетах, заявках, заявлениях, согласиях на обработку персональных данных, платежных документах, отчетах, претензионных документах.

2.4. К персональным данным контрагента относятся:

- анкетные данные (фамилия, имя, отчество, число, месяц, год рождения и др.);

- паспортные данные;

- страховой номер индивидуального лицевого счета;

- идентификационный номер налогоплательщика;

- адрес регистрации;

- адрес места жительства;

- номер телефона;

-  и иные данные, предусмотренные данным положением.

2.5. Персональные данные контрагентов содержатся в различных документах, используемых организацией во взаимоотношениях с контрагентами, в том числе гражданско-правовых договорах, соглашениях, актах, заявках, заявлениях, согласиях на обработку персональных данных, платежных документах, отчетах.

2.6. Указанные сведения и документы являются конфиденциальными. Организация не вправе распространять персональные данные без согласия клиента или контрагента, если иное не предусмотрено федеральным законом.

3. Обработка персональных данных и гарантии их защиты

3.1. Под обработкой персональных данных понимается любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

3.2. При обработке персональных данных клиентов, контрагентов организация обязана соблюдать следующие общие требования:

- обработка персональных данных клиентов, контрагентов может осуществляться исключительно в целях осуществления взаимоотношений с указанными лицами, в том числе заключения гражданско-правовых договоров, соглашений, составления актов, осуществления расчетов с клиентами, контрагентами по договорам гражданско-правового характера, сверки задолженности, уплаты налогов и других операций, предусмотренных законодательством Российской Федерации, формирования отчетности, ведения претензионной и исковой работы, вытекающей из заключенных гражданско-правовых договоров;

- обработка персональных данных клиентов, контрагентов должна осуществляться на законной и справедливой основе;

- обработка персональных данных клиентов, контрагентов должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;

- не допускается объединение баз данных, содержащих персональные данные клиентов, контрагентов, обработка которых осуществляется в целях, несовместимых между собой;

- обработке подлежат только персональные данные клиентов, контрагентов, которые отвечают целям их обработки;

- содержание и объем обрабатываемых персональных данных клиентов, контрагентов должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;

- при обработке персональных данных клиентов, контрагентов должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Организация должна принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.

3.3. Организация при обработке персональных данных обязана принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных клиентов, контрагентов от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

3.4. Организация осуществляет внутренний контроль и (или) аудит соответствия обработки персональных данных клиентов, контрагентов Закону о персональных данных и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике организации в отношении обработки персональных данных, настоящему положению.

3.5. Организация знакомит работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику организации в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучает указанных работников.

3.6. Организация обеспечивает безопасность персональных данных работников, клиентов, контрагентов следующими способами:

- определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

- применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

- применением прошедших в установленном порядке процедур оценки соответствия средств защиты информации;

- применением для уничтожения персональных данных прошедших в установленном порядке процедуру оценки соответствия средств защиты информации, в составе которых реализована функция уничтожения информации;

- оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

- учетом машинных носителей персональных данных;

- обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;

- восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

- установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;

- контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

3.7. Организация обрабатывает в информационных системах с использованием средств автоматизации следующие категории персональных данных клиента, обеспечивает их защиту с учетом определенного типа угроз безопасности и уровня защищенности персональных данных:

Цель обработки персональных данных: заключение  и исполнение договоров.

3.8. Организация обрабатывает в информационных системах с использованием средств автоматизации следующие категории персональных данных контрагента, обеспечивает их защиту с учетом определенного типа угроз безопасности и уровня защищенности персональных данных:

Цель обработки персональных данных: исполнения договоров.

3.9. При 4-м уровне защищенности персональных данных организация:

- обеспечивает режим безопасности помещений, в которых размещена информационная система, препятствующий возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

- обеспечивает сохранность носителей персональных данных;

- утверждает перечень работников, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;

- использует средства защиты информации, прошедшие процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации.

3.10. При 3-м уровне защищенности персональных данных организация дополнительно к мерам, перечисленным в  настоящего положения, назначает должностное лицо (работника), ответственного за обеспечение безопасности персональных данных в информационной системе.

3.11. При 2-м уровне защищенности персональных данных организация дополнительно к мерам, перечисленным в ,  настоящего положения, ограничивает доступ к содержанию электронного журнала сообщений, за исключением для должностных лиц (работников), которым сведения, содержащиеся в указанном журнале, необходимы для выполнения служебных (трудовых) обязанностей.

3.12. При 1-м уровне защищенности персональных данных организация дополнительно к мерам, перечисленным в  настоящего положения:

- обеспечивает автоматическую регистрацию в электронном журнале безопасности изменения полномочий работника по доступу к персональным данным, содержащимся в информационной системе;

- создает структурное подразделение, ответственное за обеспечение безопасности персональных данных в информационной системе, либо возлагает на одно из структурных подразделений функции по обеспечению такой безопасности.

3.13. Организация обрабатывает без использования средств автоматизации следующие категории персональных данных клиента, обеспечивает их защиту, которые хранятся на бумажных носителях:

Цель обработки персональных данных:  обработка информации при исполнении договоров, заключении сделок.

3.14. Организация обрабатывает без использования средств автоматизации следующие категории персональных данных контрагентов, обеспечивает их защиту, которые хранятся на бумажных носителях:

Цель обработки персональных данных: заключение и исполнение  договоров, в том числе трудовых договоров.

3.15. Организация при обработке персональных данных клиента, контрагента на бумажных носителях в целях обеспечения их защиты:

- назначает должностное лицо (работника), ответственного за обработку персональных данных;

- ограничивает допуск в помещения, в которых хранятся документы, содержащие персональные данные клиентов, контрагентов.

3.16. В целях обеспечения конфиденциальности документы, содержащие персональные данные клиентов, контрагентов, оформляются, ведутся и хранятся только [указать категории работников].

3.17. Работники, допущенные к персональным данным клиентов, контрагентов, подписывают обязательства о неразглашении персональных данных. В противном случае до обработки персональных данных клиентов и контрагентов не допускаются.

3.18. Персональные данные клиента, контрагента хранятся в [наименование структурного подразделения] в сейфе на бумажных носителях и на электронных носителях с ограниченным доступом.

Право доступа к персональным данным клиента, контрагента имеют:

- руководитель организации;

- руководитель бухгалтерии;

- работники бухгалтерии;

- работники службы охраны труда;

-  и иные уполномоченные  сотрудники.

4. Передача персональных данных

4.1. При передаче персональных данных клиентов, контрагентов организация должна соблюдать требования Закона о персональных данных.

4.2. Все сведения о передаче персональных данных клиента, контрагента учитываются для контроля правомерности использования данной информации лицами, ее получившими.

4.3. Передача персональных данных по запросам третьих лиц, если такая передача прямо не предусмотрена законодательством Российской Федерации, допускается исключительно с согласия клиента, контрагента на обработку его персональных данных в части их предоставления или согласия на распространение персональных данных.

4.4. Передача информации, содержащей сведения о персональных данных клиентов, контрагентов, по телефону, в связи с невозможностью идентификации лица, запрашивающего информацию, запрещается.

4.5. Согласие на обработку персональных данных, разрешенных клиентом, контрагентом для распространения, оформляется отдельно от иных согласий данных лиц на обработку их персональных данных. Организация обеспечивает указанным лицам возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных этими лицами для распространения.

4.6. В согласии на обработку персональных данных, разрешенных клиентом, контрагентом для распространения, указанные лица вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных организацией неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц.

4.7. Передача (распространение, предоставление, доступ) персональных данных, разрешенных клиентом, контрагентом для распространения, должна быть прекращена в любое время по их требованию. Указанные в данном требовании персональные данные могут обрабатываться только организацией.

5. Обезличивание персональных данных при получении требования о предоставлении персональных данных, полученных в результате обезличивания персональных данных

5.1. При получении требования о предоставлении персональных данных, полученных в результате обезличивания персональных данных, организация обезличивает обрабатываемые ею персональные данные в соответствии с требованиями к обезличиванию персональных данных, методами обезличивания персональных данных и порядком обезличивания персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 августа 2025 г. N 1154.

5.2. При обезличивании персональных данных организация обеспечивает:

- соблюдение Правил обезличивания персональных данных и методов обезличивания персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 августа 2025 г. N 1154;

- раздельное хранение персональных данных и обезличенных данных;

- принятие мер по обеспечению безопасности обезличенных данных в соответствии с Законом о персональных данных;

- исключение из обезличенных данных информации, доступ к которой ограничен федеральными законами;

- использование алгоритмов и программы для электронных вычислительных машин для обезличивания персональных данных, обеспечивающих возможность предоставления обезличенных данных из информационной системы организации в государственную информационную систему Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации, указанную в статье 13 ¹ Закона о персональных данных, без потери таких данных и (или) их изменения;

- возможность внесения изменений и дополнений в обезличенные данные, поддержку актуальности обезличенных данных и возможность повторного применения методов обезличивания персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 августа 2025 г. N 1154, без возможности преобразования обезличенных данных к исходному виду, позволяющему определить их принадлежность конкретному клиенту, контрагенту, а также целостность массива обезличенных данных и их соответствие требованию о предоставлении обезличенных данных.

5.3. Выполнение организаций требований к обезличиванию должно исключить наличие в персональных данных, полученных в результате обезличивания, информации, доступ к которой ограничен федеральными законами.

5.4. Организация в соответствии с требованием о предоставлении персональных данных, полученных в результате обезличивания персональных данных, предоставляет персональные данные, полученные в результате обезличивания персональных данных, в государственную информационную систему уполномоченного органа в сфере регулирования информационных технологий в порядке, установленном Правительством Российской Федерации по согласованию с федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности.

6. Порядок уничтожения персональных данных

6.1. В случае выявления неправомерной обработки персональных данных при обращении клиента, контрагента или его представителя либо по запросу клиента, контрагента или его представителя (далее - обращение клиента, контрагента) либо уполномоченного органа по защите прав субъектов персональных данных (далее - уполномоченный орган) организация осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому клиенту, контрагенту, с момента такого обращения или получения указанного запроса на период проверки.

6.2. В случае выявления неточных персональных данных при обращении клиента, контрагента или по запросу уполномоченного органа организация осуществляет блокирование персональных данных, относящихся к этому клиенту, контрагенту, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы клиента, контрагента, или третьих лиц.

6.3. В случае подтверждения факта неточности персональных данных организация на основании сведений, представленных клиентом, контрагентом либо уполномоченным органом, или иных необходимых документов уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.

6.4. В случае выявления неправомерной обработки персональных данных, осуществляемой организацией, организация в срок, не превышающий трех рабочих дней с даты этого выявления, прекращает неправомерную обработку персональных данных.

6.5. В случае если обеспечить правомерность обработки персональных данных невозможно, организация в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, уничтожает такие персональные данные.

6.6. Об устранении допущенных нарушений или об уничтожении персональных данных организация уведомляет клиента, контрагента, а также уполномоченный орган, если запрос был направленны этим органом.

6.7. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав клиента, контрагента, организация с момента выявления ей такого инцидента, уполномоченным органом или иным заинтересованным лицом уведомляет уполномоченный орган:

- в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав клиента, контрагента, и предполагаемом вреде, нанесенном правам клиента, контрагента, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставляет сведения о лице, уполномоченном организацией на взаимодействие с уполномоченным органом, по вопросам, связанным с выявленным инцидентом;

- в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставляет сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

6.8. В случае достижения цели обработки персональных данных организация прекращает обработку персональных данных и уничтожает персональные данные в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных.

6.9. В случае отзыва клиентом, контрагентом согласия на обработку его персональных данных организация прекращает их обработку и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожает персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва.

6.10. В случае обращения клиента, контрагента в организацию с требованием о прекращении обработки персональных данных организация в срок, не превышающий десяти рабочих дней с даты получения им соответствующего требования, прекращает их обработку, за исключением случаев, предусмотренных Законом о персональных данных.

Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления организацией в адрес клиента, контрагента мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

6.11. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в  настоящего положения, организация осуществляет блокирование таких персональных данных и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

6.12. Организация уведомляет Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций о факте неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав клиентов, контрагентов, в порядке, утвержденном приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 14 ноября 2022 г. N 187.

6.13. Организация передает в федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, информацию о компьютерных инцидентах, повлекших неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных, в порядке, установленном совместно федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и уполномоченным органом.

6.14. После истечения срока нормативного хранения документов, содержащих персональные данные клиентов, контрагентов, или при наступлении иных законных оснований документы подлежат уничтожению.

6.15. Организация для этих целей создает экспертную комиссию и проводит экспертизу ценности документов.

6.16. По результатам экспертизы документы, содержащие персональные данные клиента, контрагента и подлежащие уничтожению:

- на бумажном носителе - уничтожаются путем [указать способ уничтожения: измельчения в шредере/сжигания и т. п.];

- в электронном виде - стираются с информационных носителей либо физически уничтожаются сами носители, на которых хранится информация.

6.17. В случае если обработка персональных данных осуществлялась организацией без использования средств автоматизации, документом, подтверждающим уничтожение персональных данных клиентов, контрагентов, является акт об уничтожении персональных данных.

6.18. В случае если обработка персональных данных осуществлялась организацией с использованием средств автоматизации, документами, подтверждающими уничтожение персональных данных клиентов, контрагентов, являются акт об уничтожении персональных данных и выгрузка из журнала регистрации событий в информационной системе персональных данных.

7. Права клиентов, контрагентов как субъектов персональных данных

7.1. В целях обеспечения защиты персональных данных, обрабатываемых организацией во взаимоотношениях с клиентами, контрагентами, клиенты, контрагенты имеют право на:

- получение информации, касающейся обработки их персональных данных, в том числе содержащей:

подтверждение факта обработки персональных данных организацией;

правовые основания и цели обработки персональных данных;

цели и применяемые организацией способы обработки персональных данных;

наименование и место нахождения организации, сведения о лицах (за исключением работников организации), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;

обрабатываемые персональные данные, относящиеся к данным лицам, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;

сроки обработки персональных данных, в том числе сроки их хранения;

порядок осуществления указанными лицами прав, предусмотренных Законом о персональных данных;

информацию об осуществленной или о предполагаемой трансграничной передаче данных;

наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению организации, если обработка поручена или будет поручена такому лицу;

информацию о способах исполнения организацией обязанностей, установленных статьей 18.1 Закона о персональных данных;

иные сведения, предусмотренные Законом о персональных данных или другими федеральными законами;

- свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные клиента, контрагента, за исключением случаев, предусмотренных федеральным законом;

- определение своих представителей для защиты своих персональных данных;

- требование о прекращении передачи (распространения, предоставления, доступа) своих персональных данных, ранее разрешенных указанными лицами для распространения, к любому лицу, обрабатывающему их персональные данные;

- требование об уточнении их персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

- обжалование действий или бездействия организации в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;

- принятие предусмотренных законом мер по защите своих прав и законных интересов.

8. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных

8.1. Лица, виновные в нарушении требований Закона о персональных данных, несут предусмотренную законодательством Российской Федерации ответственность.

8.2. Моральный вред, причиненный клиенту, контрагенту вследствие нарушения его прав, нарушения правил обработки персональных данных, установленных Законом о персональных данных, а также требований к защите персональных данных, установленных в соответствии с названным Федеральным законом, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесенных клиентом, контрагентом убытков.

9. Заключительные положения

9.1. Настоящее положение вступает в силу с момента его утверждения.

9.2. Организация обеспечивает неограниченный доступ клиентов и контрагентов к настоящему документу.

9.3. Настоящее положение является обязательным для исполнения всеми работниками, имеющими доступ к персональным данным клиента или контрагента, и доводится до их сведения персонально под подпись.