Политика обработки персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Политика Автономной некоммерческой организации «Студия театра и кино «Озарение» об обработке и защите персональных данных (далее — Политика) разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных», Постановлением Правительства РФ от 29.06.2021 № 1046 «О федеральном государственном контроле (надзоре) за обработкой персональных данных», Рекомендациями Роскомнадзора от 31 июля 2017 г. «Рекомендации по составлению документа, определяющего политику Оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных».

1.2. Политика действует в отношении всех персональных данных, которые обрабатывает АНО «Студия театра и кино «Озарение» (далее — Оператор), независимо от способов и средств их обработки, за исключением случаев, предусмотренных частью 2 статьи 1 и статьей 2 Федерального закона от 27.07.2006 № 152-ФЗ.

1.3. Во исполнение требований ч. 2 ст. 18.1 Федерального закона № 152-ФЗ «О персональных данных», Политика подлежит опубликованию в свободном доступе на информационном стенде в помещении Оператора по адресу: 295011, Республика Крым, г. Симферополь, ул. Караимская, д. 9/10, кв. 96, а также на сайте https://ozareniestudio.ru/.

1.4. ОСНОВНЫЕ ПОНЯТИЯ, ИСПОЛЬЗУЕМЫЕ В НАСТОЯЩЕЙ ПОЛИТИКЕ:

персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

оператор персональных данных (оператор) — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

В настоящей Политике под «Оператором» понимается Автономная некоммерческая организация «Студия театра и кино «Озарение» (АНО «Студия театра и кино «Озарение») (ОГРН 1239100003218, ИНН 9102287920, КПП 910201001, юридический адрес: 295011, Республика Крым, г. Симферополь, ул. Караимская, д. 9/10, кв. 96).

обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя в том числе: сбор; запись; систематизацию; накопление; хранение; уточнение (обновление, изменение); использование; передачу (распространение, предоставление, доступ); блокирование; удаление; уничтожение;

автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;

распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);

уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

Работник — физическое лицо, вступившее в трудовые отношения с Оператором;

Соискатель — физическое лицо, претендующее на занятие вакантной должности в штате Оператора;

Волонтер — физическое лицо, привлекаемое Оператором к осуществлению деятельности на безвозмездной основе на основании договора гражданско-правового характера (договора о волонтерской деятельности) либо в ином порядке, установленном законодательством;

Учредитель (участник, член) — физическое лицо, являющееся учредителем, участником или членом Оператора в соответствии с его уставом;

Участник мероприятий — физическое лицо, принимающее участие в мероприятиях, проводимых Оператором (спектакли, мастер-классы, тренинги, творческие встречи, фестивали и иные события);

Благотворитель (жертвователь) — физическое лицо, осуществляющее пожертвования в пользу Оператора;

Контрагент — физическое или юридическое лицо, заключившее с Оператором договор поставки, подряда, купли-продажи, оказания услуг или иной гражданско-правовой договор в рамках хозяйственной деятельности Оператора;

Согласие субъекта персональных данных — любое свободно данное, конкретное, информированное и сознательное указание субъекта (в письменной, электронной или иной форме) на разрешение обработки его персональных данных.

1.5. Вышеперечисленные данные далее по тексту Политики объединены общим понятием «Персональные данные».

1.6. Контроль за исполнением требований настоящей Политики и законодательства в области персональных данных возлагается на уполномоченное лицо, ответственное за организацию обработки персональных данных, назначаемое приказом Руководителя Оператора.

1.7. Ответственность за нарушение требований законодательства Российской Федерации и нормативных актов АНО «Студия театра и кино «Озарение» в сфере обработки и защиты персональных данных определяется в соответствии с законодательством Российской Федерации.

1.8. Оператор исходит из того, что Субъект персональных данных предоставляет достоверные и актуальные персональные данные.

В целях обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных Оператор определяет актуальные угрозы безопасности и принимает необходимые правовые, организационные и технические меры в соответствии с требованиями статьи 19 Федерального закона № 152-ФЗ, а также нормативных правовых актов, утвержденных во исполнение указанных требований.

2. ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА И СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Основные права и обязанности Оператора.

2.1.1. Оператор имеет право:

1) в соответствии с частью 1 статьи 18.1 Федерального закона № 152-ФЗ самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных законодательством в области персональных данных;

2) поручить обработку персональных данных другому лицу (исполнителю) с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (поручения оператора), составленного в соответствии с требованиями части 3 статьи 6 Федерального закона № 152-ФЗ, в том числе с правом требовать от исполнителя предоставления документов, подтверждающих принятие им необходимых мер безопасности;

3) в случае отзыва субъектом персональных данных согласия на обработку его персональных данных продолжить их обработку в тех случаях и в том объеме, когда такая обработка осуществляется на ином законном основании, предусмотренном статьей 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона № 152-ФЗ (например, для исполнения договора, выполнения обязанностей, предусмотренных законодательством о бухгалтерском учете, архивном деле).

2.1.2. Оператор обязан:

1) организовывать обработку персональных данных в соответствии с принципами и условиями, установленными статьями 5 и 6 Федерального закона № 152-ФЗ;

2) разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные и (или) дать согласие на их обработку;

3) обеспечить взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных;

4) сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение 10 рабочих дней с даты получения такого запроса;

5) рассматривать обращения и запросы субъектов персональных данных, составленные в соответствии с требованиями части 3 статьи 14 Федерального закона № 152-ФЗ, и предоставлять ответы в установленные законом сроки: в течение 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней;

6) в случае неправомерной или случайной передачи персональных данных уведомлять уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в соответствии со сроками и порядком, установленными частью 3.1 статьи 21 Федерального закона № 152-ФЗ: в течение 24 часов о факте инцидента и в течение 72 часов о результатах внутреннего расследования;

7) в случае, если персональные данные получены не от самого субъекта персональных данных, за исключением случаев, перечисленных в части 4 статьи 18 Федерального закона № 152-ФЗ, до начала их обработки предоставить субъекту информацию, предусмотренную частью 3 указанной статьи, включая перечень обрабатываемых данных и источник их получения;

8) в случае обращения субъекта персональных данных к Оператору с требованием о прекращении обработки персональных данных Оператор обязан в срок, не превышающий десяти рабочих дней с даты получения Оператором соответствующего требования, прекратить их обработку или обеспечить прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), за исключением случаев, предусмотренных пунктами 2–11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона № 152-ФЗ;

9) принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных;

10) обеспечивать конфиденциальность (неразглашение без согласия субъекта) обрабатываемых персональных данных.

2.2. Основные права субъекта персональных данных.

2.2.1. Субъект персональных данных имеет право:

1) получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются субъекту персональных данных Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных;

2) требовать от Оператора уточнения его персональных данных и иной предоставленной им по своей воле информации, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

3) если субъект персональных данных считает, что Оператор осуществляет обработку его персональных данных с нарушением требований Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;

4) в любой момент отозвать свое согласие на обработку персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2–11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона № 152-ФЗ. Отзыв согласия не влечет автоматического уничтожения данных, если есть иные основания для обработки (например, требования закона об архивировании);

5) на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

2.2.2. Субъект персональных данных обязан:

1) предоставлять Оператору достоверные (соответствующие действительности) и актуальные персональные данные, необходимые для достижения целей обработки, указанных в Разделах 3 и 6 настоящей Политики;

2) своевременно информировать Оператора об изменении своих персональных данных (например, смене фамилии, адреса, контактных телефонов) для их актуализации;

3) предоставлять при обращении к Оператору документы, содержащие персональные данные, в подлиннике или надлежащим образом заверенной копии, подтверждающие точность предоставляемых сведений;

4) не совершать действий, которые могут ввести Оператора в заблуждение относительно своей личности или целей взаимодействия с Оператором;

5) соблюдать установленные Оператором правила и процедуры, связанные с реализацией своих прав как субъекта персональных данных (например, порядок подачи запроса, установленный в Разделе 8 настоящей Политики);

6) нести ответственность за последствия, которые могут наступить в связи с предоставлением Оператору заведомо ложных или неактуальных сведений, либо непредоставлением информации об их изменении, в соответствии с действующим законодательством Российской Федерации.

3. ПРИНЦИПЫ, УСЛОВИЯ И ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Основные принципы обработки персональных данных.

Обработка персональных данных осуществляется Оператором на основании следующих принципов, установленных статьей 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»:

1) обработка персональных данных осуществляется на законной и справедливой основе;

2) обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;

3) не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

4) обработке подлежат только персональные данные, которые отвечают целям их обработки;

5) содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;

6) при обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных;

7) хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

3.2. Общие условия обработки.

3.2.1. Обработка персональных данных допускается только при наличии законного основания, предусмотренного разделом 4 настоящей Политики.

3.2.2. Для каждой цели обработки, указанной в разделе 6, определены категории данных, субъекты, способы и сроки обработки.

3.2.3. Объединение баз данных допускается только для совместимых целей.

3.3. Цели обработки персональных данных.

Обработка персональных данных Оператором осуществляется в следующих конкретных, заранее определенных и законных целях:

• ведение кадрового делопроизводства, оформление и сопровождение трудовых отношений, подбор персонала;
• организация и ведение деятельности с привлекаемыми волонтерами (добровольцами), в том числе оформление волонтерской деятельности, учет рабочего времени, взаимодействие с волонтерами, осуществление компенсационных выплат (при наличии);
• реализация уставной деятельности, связанной с организацией и проведением мероприятий в области театрального и киноискусства (спектакли, мастер-классы, тренинги, творческие встречи, фестивали, показы и иные события), включая формирование списков участников, рассылку информации о мероприятиях, заключение договоров на участие в мероприятиях;
• исполнение обязательств по договорам с контрагентами (поставщиками, подрядчиками, исполнителями услуг, арендодателями и иными лицами), включая расчеты по договорам;
• организация постановки на индивидуальный (персонифицированный) учет работников в системе обязательного пенсионного и социального страхования, выполнение обязанностей страхователя;
• выполнение установленных законодательством обязанностей по представлению отчетности и информации в уполномоченные государственные органы (включая налоговые органы, Социальный фонд России, органы статистики и иные органы в рамках их законных полномочий);
• ведение бухгалтерского и налогового учета, расчет заработной платы и иных выплат работникам, расчет и выплата вознаграждений по договорам, компенсационных выплат;
• организация дополнительных социальных гарантий и компенсационных выплат работникам, предоставление им стандартных, социальных и имущественных налоговых вычетов;
• обработка и учет пожертвований и благотворительных взносов от физических лиц, оформление соответствующих документов (в том числе для предоставления налоговых вычетов);
• направление субъектам персональных данных информации, непосредственно связанной с исполнением договоров и участием в мероприятиях (уведомления, запросы, акты, напоминания), а также ответов на их обращения;
• публикация фото-, видеоматериалов и иной информации об участниках мероприятий, работниках, волонтерах и иных субъектах на официальных страницах Оператора в социальных сетях и на иных информационных ресурсах Оператора (с предварительного письменного согласия субъекта на распространение персональных данных в соответствии со ст. 10.1 Федерального закона № 152-ФЗ);
• обеспечение сохранности и ограничение доступа к документам, содержащим персональные данные, при их обработке в помещениях Оператора (хранение документов в запираемых шкафах и сейфах, ограничение круга лиц, имеющих доступ к документам, использование паролей доступа к компьютерам и информационным системам, разграничение прав доступа сотрудников к персональным данным в соответствии с их должностными обязанностями);
• осуществление деятельности, связанной с ведением реестра учредителей (участников, членов) НКО, созывом и проведением общих собраний, обеспечением уставной деятельности.

4. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Обработка персональных данных Оператором осуществляется на законных и правомерных основаниях.

4.2. Основными правовыми основаниями обработки персональных данных являются:

• пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ — в части обработки персональных данных для исполнения договоров, стороной которых либо выгодоприобретателем или поручителем по которым является субъект персональных данных (трудовые договоры, договоры о волонтерской деятельности, договоры на участие в мероприятиях, договоры с контрагентами, договоры пожертвования);
• пункт 2 части 1 статьи 6 Федерального закона № 152-ФЗ — в части обработки персональных данных для выполнения обязанностей, возложенных на Оператора законодательством Российской Федерации (налоговое, бухгалтерское, архивное законодательство, законодательство о персонифицированном учете);
• пункт 1 части 1 статьи 6 Федерального закона № 152-ФЗ — в части обработки персональных данных на основании согласия субъекта персональных данных (в случаях, когда иное законное основание отсутствует, в том числе для публикации фото- и видеоматериалов, обработки данных участников мероприятий и благотворителей в части, не связанной с исполнением договора).

4.3. Обработка персональных данных на иные цели, не связанные с непосредственным исполнением договоров или выполнением требований законодательства (например, для информационных и маркетинговых рассылок), осуществляется исключительно на основании отдельного, предварительно полученного добровольного и информированного согласия субъекта персональных данных.

4.4. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон «О персональных данных» от 27.07.2006 № 152-ФЗ;
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
• Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
• Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»;
• Федеральный закон от 11.08.1995 № 135-ФЗ «О благотворительной деятельности и добровольчестве (волонтерстве)»;
• Федеральный закон от 19.05.1995 № 82-ФЗ «Об общественных объединениях»;
• Постановление Правительства Российской Федерации № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» от 15.09.2008;
• Постановление Правительства РФ № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» от 01.11.2012;
• иные нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.

5. ПРИНЦИПЫ ОПРЕДЕЛЕНИЯ СОСТАВА ОБРАБАТЫВАЕМЫХ ДАННЫХ

5.1. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки, предусмотренным в разделе 3 настоящей Политики. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

5.2. Для каждой цели обработки персональных данных установлены:

• категории и перечень обрабатываемых ПД;
• категории субъектов ПД, данные которых обрабатываются;
• способы и сроки обработки и хранения ПД;
• порядок уничтожения ПД при достижении цели обработки.

6. ПЕРЕЧЕНЬ ЦЕЛЕЙ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ И ПАРАМЕТРЫ ОБРАБОТКИ ПО КАЖДОЙ ЦЕЛИ

6.1. Цель: Ведение кадрового делопроизводства, оформление и сопровождение трудовых отношений, подбор персонала.

Категории и перечень обрабатываемых данных:

Общие персональные данные соискателей и работников: фамилия, имя, отчество; дата и место рождения; адрес места жительства (регистрации и фактического); контактные данные (телефон, адрес электронной почты); реквизиты и данные документа, удостоверяющего личность (паспорт); данные об образовании, квалификации, профессиональной подготовке, наличии ученой степени, звания (дипломы, сертификаты, трудовые книжки); сведения о трудовом стаже и предыдущих местах работы (резюме, рекомендации); идентификационный номер налогоплательщика (ИНН); страховой номер индивидуального лицевого счета (СНИЛС); сведения о воинском учете (для военнообязанных); данные о доходах, начислениях и удержаниях (для работников).

Категории субъектов, персональные данные которых обрабатываются:

• Соискатели (физические лица, претендующие на замещение вакантных должностей).
• Работники (физические лица, состоящие с Оператором в трудовых отношениях).
• Бывшие работники (в период хранения кадровой документации).

Способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, передача (предоставление) в государственные органы в рамках установленной отчетности (для работников и бывших работников), блокирование, удаление, уничтожение персональных данных.

Сроки обработки и хранения:

• Для соискателей: данные обрабатываются в течение срока рассмотрения кандидатуры. Резюме неудавшихся кандидатов хранятся не более 1 года с момента принятия решения об отказе, если иное не предусмотрено согласием соискателя.
• Для работников и бывших работников: обработка осуществляется в течение срока действия трудового договора. Хранение кадровой и связанной с ней документации осуществляется в сроки, установленные законодательством Российской Федерации (в соответствии с Трудовым кодексом РФ, Федеральным законом от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации» и Приказом Росархива от 20.12.2019 № 236). Срок хранения 50/75 лет ЭПК.

Порядок уничтожения персональных данных:

По истечении установленных сроков хранения персональные данные подлежат уничтожению.

• Физическое уничтожение носителей: уничтожение бумажных документов (личные дела, карточки, приказы) с помощью шредеров или иных средств, обеспечивающих невосстановимость данных.
• Программное уничтожение данных: безвозвратное удаление информации из электронных кадровых систем и баз данных.

Уничтожение осуществляется комиссией, назначенной приказом Оператора, с обязательным составлением акта об уничтожении персональных данных.

6.2. Цель: Организация и ведение деятельности с привлекаемыми волонтерами (добровольцами).

Категории и перечень обрабатываемых данных:

Общие персональные данные волонтеров: фамилия, имя, отчество; дата рождения; реквизиты и данные документа, удостоверяющего личность (паспорт); адрес места жительства (регистрации и фактического); контактные данные (телефон, адрес электронной почты); идентификационный номер налогоплательщика (ИНН); страховой номер индивидуального лицевого счета (СНИЛС) — при наличии выплат; банковские реквизиты (при наличии выплат); сведения о навыках, образовании, опыте волонтерской деятельности; данные о направлениях деятельности, распределении задач, фактически отработанном времени.

Категории субъектов, персональные данные которых обрабатываются:

Волонтеры (добровольцы), привлекаемые Оператором для осуществления уставной деятельности на безвозмездной основе (с возможностью компенсации расходов).

Способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, передача (предоставление) банкам для перечисления компенсационных выплат (при наличии), блокирование, удаление, уничтожение персональных данных.

Сроки обработки и хранения:

Обработка персональных данных осуществляется в течение срока действия договора о волонтерской деятельности и исполнения обязательств по нему, а также в течение сроков, необходимых для исполнения обязанностей по представлению отчетности (при наличии выплат). Хранение персональных данных и связанных документов осуществляется в течение сроков, установленных законодательством Российской Федерации для хранения подобной документации — не менее 5 (пяти) лет с даты окончания отчетного периода.

Порядок уничтожения персональных данных:

По истечении установленных сроков хранения персональные данные подлежат уничтожению.

• Физическое уничтожение носителей: уничтожение бумажных документов (договоры, акты, заявления) с помощью шредеров или иных средств, обеспечивающих невосстановимость данных.
• Программное уничтожение данных: безвозвратное удаление информации из электронных систем учета.

Уничтожение осуществляется комиссией, назначенной приказом Оператора, с обязательным составлением акта об уничтожении персональных данных.

6.3. Цель: Реализация уставной деятельности, связанной с организацией и проведением мероприятий (спектакли, мастер-классы, тренинги, творческие встречи, фестивали, показы и иные события).

Категории и перечень обрабатываемых данных:

Общие персональные данные участников мероприятий: фамилия, имя, отчество; дата рождения (возраст); контактные данные (телефон, адрес электронной почты); адрес места жительства (город); сведения об учебном заведении (при наличии); хобби, интересы (в добровольном порядке); фото- и видеоматериалы с участием субъекта; иные данные, необходимые для организации и проведения мероприятий (например, особые пожелания, состояние здоровья для оказания первой помощи — при необходимости).

Категории субъектов, персональные данные которых обрабатываются:

Участники мероприятий (физические лица, принимающие участие в мероприятиях, проводимых Оператором), включая зрителей, слушателей, обучающихся, артистов и иных лиц.

Способы обработки: сбор (в том числе при регистрации на мероприятие), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование (в том числе для формирования списков, рассылки информации, фото- и видеофиксации), блокирование, удаление, уничтожение персональных данных.

Сроки обработки и хранения:

Обработка персональных данных осуществляется в течение срока, необходимого для организации и проведения конкретного мероприятия, а также для исполнения обязательств перед участниками (в том числе по договорам на участие в мероприятии). Хранение списков участников, фото- и видеоматериалов осуществляется в течение 3 (трех) лет с даты проведения мероприятия, если иной срок не установлен договором или законом.

Порядок уничтожения персональных данных:

По истечении установленных сроков хранения персональные данные подлежат уничтожению.

• Физическое уничтожение носителей: уничтожение бумажных списков, анкет, заявок с помощью шредеров или иных средств, обеспечивающих невосстановимость данных.
• Программное уничтожение данных: безвозвратное удаление информации из электронных систем учета и списков.

Уничтожение осуществляется уполномоченным работником Оператора или комиссией (в зависимости от объема данных) с составлением акта об уничтожении.

6.4. Цель: Исполнение обязательств по договорам с контрагентами (поставщиками, подрядчиками, исполнителями услуг, арендодателями и иными лицами).

Категории и перечень обрабатываемых данных:

Общие персональные данные контрагентов — физических лиц, а также работников и представителей контрагентов — юридических лиц: фамилия, имя, отчество; реквизиты и данные документа, удостоверяющего личность (паспорт); адрес места жительства (регистрации и фактического); контактные телефоны; адрес электронной почты; идентификационный номер налогоплательщика (ИНН) (при наличии статуса индивидуального предпринимателя или при необходимости для отчетности); банковские реквизиты для проведения расчетов; иные данные, необходимые для заключения и исполнения договора (в том числе сведения о доверенности, реквизиты доверенности, должность, полномочия представителя).

Категории субъектов, персональные данные которых обрабатываются:

Контрагенты — физические лица (в том числе индивидуальные предприниматели), а также работники и представители контрагентов — юридических лиц, заключивших с Оператором договоры поставки, подряда, купли-продажи, оказания услуг, аренды, иные гражданско-правовые договоры.

Способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, передача (предоставление) банкам для проведения расчетов, блокирование, удаление, уничтожение персональных данных.

Сроки обработки и хранения:

Обработка персональных данных осуществляется в течение срока действия договора и исполнения обязательств по нему. Хранение персональных данных и связанных финансово-бухгалтерских документов осуществляется в течение сроков, установленных законодательством Российской Федерации для хранения подобной документации (в соответствии с Федеральным законом от 06.12.2011 № 402-ФЗ «О бухгалтерском учете» и Налоговым кодексом РФ) — не менее 5 (пяти) лет с даты окончания отчетного периода.

Порядок уничтожения персональных данных:

По истечении установленных сроков хранения персональные данные подлежат уничтожению.

• Физическое уничтожение носителей: уничтожение бумажных документов (договоры, дополнительные соглашения, акты, платежные поручения, счета) с помощью шредеров или иных средств, обеспечивающих невосстановимость данных.
• Программное уничтожение данных: безвозвратное удаление информации из электронных бухгалтерских и учетных систем.

Уничтожение осуществляется комиссией, назначенной приказом Оператора, с обязательным составлением акта об уничтожении персональных данных.

6.5. Цель: Организация постановки на индивидуальный (персонифицированный) учет работников в системе обязательного пенсионного и социального страхования, выполнение обязанностей страхователя.

Категории и перечень обрабатываемых данных:

Общие персональные данные работников: фамилия, имя, отчество; дата и место рождения; реквизиты и данные документа, удостоверяющего личность (паспорт); адрес места жительства (регистрации); гражданство; идентификационный номер налогоплательщика (ИНН); страховой номер индивидуального лицевого счета (СНИЛС); сведения о трудовой деятельности (дата приема, увольнения, периоды работы, характер работы, условия труда, начисления).

Категории субъектов, персональные данные которых обрабатываются:

Работники (физические лица, состоящие с Оператором в трудовых отношениях). Бывшие работники (в период хранения и представления отчетности).

Способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, передача (предоставление) в государственные внебюджетные фонды (Социальный фонд Российской Федерации) в рамках обязательной отчетности.

Сроки обработки и хранения:

Обработка персональных данных осуществляется в течение всего периода трудовых отношений, а также в периоды, необходимые для исполнения обязанностей страхователя после прекращения отношений (например, при увольнении). Хранение персональных данных, представленных в отчетных документах, осуществляется в соответствии со сроками хранения расчетных (финансовых) документов — не менее 6 (шести) лет (Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»).

Порядок уничтожения персональных данных:

По истечении установленных сроков хранения персональные данные подлежат уничтожению.

• Физическое уничтожение носителей: уничтожение бумажных документов (отчетные формы, ведомости) с помощью шредеров или иных средств, обеспечивающих невосстановимость данных.
• Программное уничтожение данных: безвозвратное удаление информации из электронных систем учета и отчетности.

Уничтожение осуществляется комиссией, назначенной приказом Оператора, с обязательным составлением акта об уничтожении персональных данных.

6.6. Цель: Выполнение установленных законодательством обязанностей по представлению отчетности и информации в уполномоченные государственные органы.

Категории и перечень обрабатываемых данных:

Общие персональные данные работников, волонтеров, контрагентов — физических лиц, благотворителей (жертвователей), а также работников и представителей контрагентов — юридических лиц, необходимые для составления и представления обязательной отчетности:

• Данные, необходимые для налоговой отчетности (ФНС России): фамилия, имя, отчество; идентификационный номер налогоплательщика (ИНН); данные о доходах, полученных от Оператора (суммы начислений, удержаний, выплат заработной платы, вознаграждений по договорам).
• Данные, необходимые для отчетности в Социальный фонд России (СФР): фамилия, имя, отчество; дата рождения; реквизиты документа, удостоверяющего личность; страховой номер индивидуального лицевого счета (СНИЛС); сведения о периодах работы и (или) иной деятельности; сведения о начисленных и уплаченных страховых взносах; сведения о пособиях.
• Данные, необходимые для отчетности в органы статистики (Росстат): сведения о численности работников, фонде оплаты труда, показателях деятельности в сфере культуры и искусства.

Категории субъектов, персональные данные которых обрабатываются:

• Работники (физические лица, состоящие с Оператором в трудовых отношениях).
• Бывшие работники (в периоды, необходимые для представления отчетности за соответствующие периоды).
• Волонтеры (при наличии выплат, подлежащих отчетности).
• Контрагенты — физические лица (в том числе индивидуальные предприниматели), а также работники и представители контрагентов — юридических лиц, получающие оплату по договорам.
• Благотворители (жертвователи) — физические лица, осуществившие пожертвования (при необходимости отчетности).

Способы обработки: сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), передача (предоставление) в уполномоченные государственные органы в рамках установленной законодательством обязательной отчетности и ответов на официальные запросы.

Сроки обработки и хранения:

Обработка персональных данных осуществляется в течение сроков, необходимых для составления и представления отчетности. Хранение персональных данных, содержащихся в отчетных (расчетных) документах, и подтверждающих документов осуществляется в сроки, установленные законодательством Российской Федерации для хранения соответствующего вида документов (в соответствии с Налоговым кодексом РФ, Федеральным законом от 06.12.2011 № 402-ФЗ «О бухгалтерском учете») — не менее 5 (пяти) лет, а в отношении документов, необходимых для исчисления и уплаты страховых взносов, — не менее 6 (шести) лет.

Порядок уничтожения персональных данных:

По истечении установленных законодательством сроков хранения персональные данные подлежат уничтожению.

• Физическое уничтожение носителей: уничтожение бумажных отчетных форм, деклараций, расчетов и подтверждающих документов с помощью шредеров или иных средств, обеспечивающих невосстановимость данных.
• Программное уничтожение данных: безвозвратное удаление информации из электронных систем учета и отчетности.

Уничтожение осуществляется комиссией, назначенной приказом Оператора, с обязательным составлением акта об уничтожении персональных данных.

6.7. Цель: Ведение бухгалтерского и налогового учета, расчет заработной платы и иных выплат работникам, расчет и выплата вознаграждений по договорам, компенсационных выплат.

Категории и перечень обрабатываемых данных:

Общие персональные данные работников: фамилия, имя, отчество; дата и место рождения; адрес места жительства (регистрации); реквизиты и данные документа, удостоверяющего личность (паспорт); идентификационный номер налогоплательщика (ИНН); страховой номер индивидуального лицевого счета (СНИЛС); сведения о семейном положении, количестве иждивенцев (для стандартных налоговых вычетов); реквизиты банковской карты или расчетного счета для перечисления заработной платы; данные о сумме и видах начисленных доходов, удержаний (НДФЛ, алименты, иные удержания по исполнительным листам) и выплат; данные о периодах работы и временной нетрудоспособности.

Общие персональные данные контрагентов — физических лиц (в том числе волонтеров при наличии выплат): фамилия, имя, отчество; идентификационный номер налогоплательщика (ИНН); банковские реквизиты для перечисления платежей; данные о размере и периодичности выплат.

Категории субъектов, персональные данные которых обрабатываются:

• Работники (физические лица, состоящие с Оператором в трудовых отношениях).
• Бывшие работники (в периоды, необходимые для ведения учета и расчета выплат за соответствующие периоды, а также для хранения документов).
• Контрагенты — физические лица (в том числе волонтеры), получающие выплаты по договорам.

Способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), передача (предоставление) в кредитные организации (банки) для перечисления выплат, а также в государственные органы в рамках обязательной отчетности, блокирование, удаление, уничтожение персональных данных.

Сроки обработки и хранения:

Обработка персональных данных осуществляется в течение всего периода трудовых отношений, сроков действия договоров и сроков, необходимых для окончательного расчета. Хранение персональных данных, содержащихся в первичных учетных документах, регистрах бухгалтерского и налогового учета, расчетных и платежных ведомостях, осуществляется в сроки, установленные законодательством Российской Федерации (в соответствии с Федеральным законом от 06.12.2011 № 402-ФЗ «О бухгалтерском учете» и Налоговым кодексом РФ) — не менее 5 (пяти) лет. Данные, необходимые для исчисления страховых взносов, хранятся не менее 6 (шести) лет.

Порядок уничтожения персональных данных:

По истечении установленных законодательством сроков хранения персональные данные подлежат уничтожению.

• Физическое уничтожение носителей: уничтожение бумажных документов (расчетные ведомости, налоговые карточки, банковские документы, договоры, платежные поручения) с помощью шредеров или иных средств, обеспечивающих невосстановимость данных.
• Программное уничтожение данных: безвозвратное удаление информации из электронных бухгалтерских и расчетных систем.

Уничтожение осуществляется комиссией, назначенной приказом Оператора, с обязательным составлением акта об уничтожении персональных данных.

6.8. Цель: Организация дополнительных социальных гарантий и компенсационных выплат работникам, предоставление им стандартных, социальных и имущественных налоговых вычетов.

Категории и перечень обрабатываемых данных:

Общие персональные данные работников: фамилия, имя, отчество; реквизиты и данные документа, удостоверяющего личность (паспорт); идентификационный номер налогоплательщика (ИНН); страховой номер индивидуального лицевого счета (СНИЛС); сведения о семейном положении, наличии детей (свидетельства о рождении), иных иждивенцах; сведения, подтверждающие право на социальный или имущественный вычет (например, договоры на обучение, лечение, приобретение жилья, платежные документы); реквизиты банковской карты или расчетного счета для перечисления компенсационных выплат; данные, необходимые для подтверждения права на дополнительные гарантии в соответствии с локальными нормативными актами (например, стаж работы, наличие наград).

Данные членов семей работников (например, детей) — обрабатываются на основании заявления работника, который гарантирует наличие необходимых согласий от соответствующих субъектов персональных данных (законных представителей).

Категории субъектов, персональные данные которых обрабатываются:

Работники, обратившиеся за предоставлением гарантий, компенсаций или вычетов; в исключительных случаях — члены семей работников.

Способы обработки: сбор (в том числе от работника), запись, систематизация, хранение, уточнение (обновление, изменение), проверка, передача (предоставление) в налоговые органы (ФНС России) для уведомления о праве на вычет, блокирование, удаление, уничтожение персональных данных.

Сроки обработки и хранения:

Обработка персональных данных осуществляется в течение срока, необходимого для рассмотрения заявления работника, оформления и предоставления гарантии, компенсации или налогового вычета, а также в течение периода, в котором работник пользуется соответствующей гарантией.

Хранение документов, подтверждающих право на вычеты и гарантии (заявления, копии свидетельств, договоров, платежных документов), осуществляется в личных делах работников в соответствии со сроками хранения кадровой документации — 50 или 75 лет ЭПК, установленными Приказом Росархива от 20.12.2019 № 236.

Расчетные (финансовые) документы, в которых зафиксированы начисления и выплаты гарантий, компенсаций и вычетов, хранятся в соответствии со сроками, установленными для первичных учетных и отчетных документов: не менее 5 (пяти) лет — в соответствии с Федеральным законом от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»; не менее 6 (шести) лет — для документов, необходимых для исчисления и уплаты страховых взносов.

Порядок уничтожения персональных данных:

По истечении установленных законодательством сроков хранения персональные данные подлежат уничтожению.

• Физическое уничтожение носителей: уничтожение бумажных заявлений и подтверждающих документов с помощью шредеров или иных средств, обеспечивающих невосстановимость данных.
• Программное уничтожение данных: безвозвратное удаление информации из электронных систем кадрового и бухгалтерского учета.

Уничтожение осуществляется комиссией, назначенной приказом Оператора, с обязательным составлением акта об уничтожении персональных данных.

6.9. Цель: Обработка и учет пожертвований и благотворительных взносов от физических лиц.

Категории и перечень обрабатываемых данных:

Общие персональные данные благотворителей (жертвователей): фамилия, имя, отчество; контактные данные (телефон, адрес электронной почты — при необходимости связи); идентификационный номер налогоплательщика (ИНН) — для оформления документов для налогового вычета; банковские реквизиты (при необходимости возврата или уточнения платежа); данные о сумме и дате пожертвования; реквизиты платежного документа.

Категории субъектов, персональные данные которых обрабатываются:

Благотворители (жертвователи) — физические лица, осуществившие пожертвования в пользу Оператора.

Способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование (для учета пожертвований и оформления документов для налоговых вычетов), передача (предоставление) в налоговые органы (при необходимости), блокирование, удаление, уничтожение персональных данных.

Сроки обработки и хранения:

Обработка персональных данных осуществляется в течение сроков, необходимых для учета пожертвований, оформления документов для налоговых вычетов и исполнения обязанностей по представлению отчетности. Хранение персональных данных и связанных документов (платежные поручения, квитанции, договоры пожертвования) осуществляется в течение сроков, установленных законодательством Российской Федерации для хранения финансовых документов — не менее 5 (пяти) лет с даты окончания отчетного периода.

Порядок уничтожения персональных данных:

По истечении установленных сроков хранения персональные данные подлежат уничтожению.

• Физическое уничтожение носителей: уничтожение бумажных документов (квитанции, договоры) с помощью шредеров или иных средств, обеспечивающих невосстановимость данных.
• Программное уничтожение данных: безвозвратное удаление информации из электронных систем учета.

Уничтожение осуществляется комиссией, назначенной приказом Оператора, с обязательным составлением акта об уничтожении персональных данных.

6.10. Цель: Направление субъектам персональных данных информации, непосредственно связанной с исполнением договоров и участием в мероприятиях (уведомления, запросы, акты, напоминания), а также ответов на их обращения.

Категории и перечень обрабатываемых данных:

Общие персональные данные, необходимые для коммуникации: фамилия, имя, отчество; контактные данные, указанные в договоре или предоставленные субъектом для связи: номер мобильного телефона (для звонков, сообщений в мессенджерах); адрес электронной почты; почтовый адрес.

Данные, необходимые для направления документов: сведения о предмете договора или мероприятия (номер договора, название мероприятия), размере платежей, сроках исполнения обязательств, результатах (акты, отчеты).

Категории субъектов, персональные данные которых обрабатываются:

• Работники (физические лица, состоящие в трудовых отношениях с Оператором).
• Волонтеры (добровольцы).
• Участники мероприятий.
• Контрагенты — физические лица (в том числе индивидуальные предприниматели), а также работники и представители контрагентов — юридических лиц.
• Благотворители (жертвователи) — при необходимости связи.

Способы обработки: использование (в том числе извлечение из договоров и учетных систем), передача (предоставление, направление) субъекту через выбранные и указанные им каналы связи (SMS, email, телефонная связь, почтовые отправления, мессенджеры), хранение истории коммуникации, блокирование, удаление, уничтожение персональных данных.

Сроки обработки и хранения:

Обработка персональных данных осуществляется в течение всего срока действия договора или периода организации мероприятия и периода, необходимого для полного исполнения обязательств, включая направление итоговых документов и ответов на обращения. Хранение истории направленных сообщений (фактов коммуникации) осуществляется в течение 3 (трех) лет с даты отправки, если более длительный срок не необходим для разрешения возможных споров.

Порядок уничтожения персональных данных:

По истечении установленных сроков хранения данные, составляющие историю коммуникации (логи, факты отправки), подлежат уничтожению.

Программное уничтожение данных: безвозвратное удаление информации из систем оповещения, журналов обращений и почтовых систем.

Уничтожение осуществляется уполномоченным работником Оператора.

6.11. Цель: Публикация фото-, видеоматериалов и иной информации об участниках мероприятий, работниках, волонтерах и иных субъектах на официальных страницах Оператора в социальных сетях и на иных информационных ресурсах Оператора.

Категории и перечень обрабатываемых данных:

Фамилия, имя, отчество (по согласованию с субъектом); фото- и видеоматериалы с участием субъекта; иная информация, добровольно предоставленная субъектом для публикации.

Категории субъектов, персональные данные которых обрабатываются:

Участники мероприятий, работники, волонтеры, иные физические лица, давшие письменное согласие на распространение своих персональных данных.

Способы обработки: сбор, запись, использование, распространение (публикация на официальных страницах в социальных сетях, на информационных ресурсах Оператора), хранение, удаление, уничтожение персональных данных. Передача персональных данных социальным сетям и иным платформам осуществляется исключительно в целях и для достижения целей настоящей Политики, на основании договоров с такими платформами.

Сроки обработки и хранения:

Обработка персональных данных осуществляется в течение срока, указанного в согласии на распространение персональных данных (но не более 5 лет). По истечении срока согласия или при его отзыве публикации подлежат удалению.

Порядок уничтожения персональных данных:

Удаление публикаций с фото- и видеоматериалами с информационных ресурсов и страниц в социальных сетях. Уничтожение электронных копий материалов в системах Оператора.

6.12. Цель: Обеспечение сохранности и ограничение доступа к документам, содержащим персональные данные, при их обработке в помещениях Оператора.

Категории и перечень обрабатываемых данных:

В рамках данной цели целенаправленная обработка персональных данных субъектов не осуществляется. Обрабатываются только:

• логи доступа сотрудников к информационным системам — для контроля безопасности;
• технические данные внутреннего учета оборудования (серийные номера компьютеров, учетные записи пользователей).

Категории субъектов, персональные данные которых обрабатываются:

Сотрудники Оператора (для учета доступа к информационным системам и помещениям).

Способы обработки: сбор, запись, систематизация, хранение, блокирование, удаление.

Сроки обработки и хранения:

Внутренние логи доступа хранятся не более 6 (шести) месяцев с момента их создания, после чего автоматически уничтожаются (ротация логов). Бумажные журналы учета (если ведутся) уничтожаются по истечении срока хранения с составлением акта.

Порядок уничтожения персональных данных:

Автоматическая перезапись (ротация) логов в информационных системах без возможности восстановления. Уничтожение бумажных журналов учета (если такие ведутся) с помощью шредера с составлением акта об уничтожении.

6.13. Цель: Осуществление деятельности, связанной с ведением реестра учредителей (участников, членов) НКО, созывом и проведением общих собраний, обеспечением уставной деятельности.

Категории и перечень обрабатываемых данных:

Общие персональные данные учредителей (участников, членов) Оператора: фамилия, имя, отчество; дата рождения; реквизиты и данные документа, удостоверяющего личность (паспорт); адрес места жительства (регистрации и фактического); контактные данные (телефон, адрес электронной почты); идентификационный номер налогоплательщика (ИНН); сведения о долях участия, членстве, участии в собраниях.

Категории субъектов, персональные данные которых обрабатываются:

Учредители (участники, члены) Оператора – физические лица.

Способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, блокирование, удаление, уничтожение персональных данных.

Сроки обработки и хранения:

Обработка персональных данных осуществляется в течение всего срока членства (участия) в Операторе, а также в течение сроков хранения архивной документации, установленных законодательством Российской Федерации для хранения документов НКО (не менее 5 лет после прекращения членства, если иное не предусмотрено архивным законодательством).

Порядок уничтожения персональных данных:

По истечении установленных сроков хранения персональные данные подлежат уничтожению.

• Физическое уничтожение носителей: уничтожение бумажных документов (реестры, протоколы собраний, заявления) с помощью шредеров или иных средств, обеспечивающих невосстановимость данных.
• Программное уничтожение данных: безвозвратное удаление информации из электронных систем учета.

Уничтожение осуществляется комиссией, назначенной приказом Оператора, с обязательным составлением акта об уничтожении персональных данных.

7. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Обработка персональных данных осуществляется Оператором на законных и справедливых основаниях, строго в соответствии с принципами и правилами, установленными Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о ПД) и иными нормативными правовыми актами Российской Федерации.

7.2. Правовые основания обработки персональных данных определены в Разделе 4 настоящей Политики. Обработка может осуществляться как на основании согласия субъекта, так и на иных законных основаниях, предусмотренных Законом о ПД (исполнение договора, исполнение обязанности, предусмотренной законом, законный интерес Оператора и др.).

7.3. Оператор не обрабатывает специальные категории персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, за исключением случаев, прямо предусмотренных трудовым законодательством Российской Федерации (обработка данных о состоянии здоровья в целях, связанных с установлением факта временной нетрудоспособности, проведением обязательных медицинских осмотров, определением профпригодности работников в соответствии с Трудовым кодексом РФ).

7.4. Оператор не осуществляет трансграничную передачу персональных данных на территорию иностранных государств.

7.5. Обработка персональных данных включает следующие действия (операции), совершаемые с использованием средств автоматизации или без их использования: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

7.6. Обработка персональных данных осуществляется как автоматизированным, так и неавтоматизированным (с использованием бумажных носителей) способами.

7.7. Персональные данные получаются Оператором:

• Непосредственно от субъектов персональных данных (при приеме на работу, при заключении договоров, при регистрации на мероприятия, при осуществлении пожертвований).
• От третьих лиц в случаях, предусмотренных законодательством и необходимых для достижения целей обработки, указанных в Разделе 3 настоящей Политики. В случаях, когда персональные данные получены не от субъекта, Оператор исполняет обязанность по предоставлению информации, установленную частью 3 статьи 18 Закона о ПД, за исключением случаев, перечисленных в части 4 указанной статьи.

7.8. Передача (предоставление) персональных данных третьим лицам осуществляется исключительно для достижения конкретных целей обработки, указанных в Разделе 3 настоящей Политики, и при наличии надлежащего правового основания.

7.9. Передача персональных данных осуществляется следующим категориям третьих лиц:

• Государственным органам и внебюджетным фондам (Федеральной налоговой службе, Социальному фонду России, Росстату, органам внутренних дел, следствия и дознания и иным уполномоченным органам) — на основании и в пределах требований законодательства Российской Федерации, без получения дополнительного согласия субъекта.
• Исполнителям (контрагентам) по договорам поручения обработки, привлеченным Оператором для достижения целей обработки (например, IT-компаниям для технической поддержки информационных систем, организациям почтовой и курьерской связи, банкам для проведения расчетов) — на основании заключенных с такими лицами договоров, обязывающих их соблюдать конфиденциальность и требования Закона о ПД. Обработка данных исполнителями осуществляется в интересах и по поручению Оператора.
• Иным третьим лицам — на основании отдельного, предварительного, информированного и сознательного согласия субъекта персональных данных, за исключением случаев, когда такая передача прямо предусмотрена федеральным законом или договором с субъектом.

7.10. Доступ к персональным данным предоставляется только тем работникам Оператора (сотрудникам, состоящим в трудовых отношениях), чьи должностные обязанности непосредственно связаны с необходимостью такой обработки для выполнения трудовой функции и достижения целей обработки.

7.11. Не допускается раскрытие третьим лицам и распространение персональных данных без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Оператор и все лица, получившие доступ к персональным данным, обязаны соблюдать конфиденциальность персональных данных.

7.12. Сроки обработки (хранения) персональных данных определяются в соответствии с целями их обработки, указанными в Разделе 6 настоящей Политики, и устанавливаются с учетом требований законодательства Российской Федерации. По достижении целей обработки или при отзыве субъектом согласия (если обработка основывалась на согласии) персональные данные подлежат блокированию или уничтожению в порядке, установленном внутренними документами Оператора.

8. ПОРЯДОК РАБОТЫ С ЗАПРОСАМИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ И ИСПОЛНЕНИЯ ИХ ПРАВ

8.1. Для обеспечения соблюдения установленных законодательством прав субъектов персональных данных, в Организации локальными нормативными актами определен порядок работы с обращениями и запросами субъектов персональных данных, а также порядок предоставления субъектам персональных данных информации, установленной законодательством РФ в области персональных данных.

8.2. Запросы субъектов предоставляются на бумажном носителе (при личном обращении Субъекта по адресу: 295011, Республика Крым, г. Симферополь, ул. Караимская, д. 9/10, кв. 96 или на электронную почту Оператора: insightstudiocrimea@yandex.ru.

8.3. Запрос должен содержать:

• Фамилию, имя, отчество субъекта персональных данных или его законного представителя.
• Номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе.
• Сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, номер трудового договора, название мероприятия, в котором участвовал субъект), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором.
• Суть требования (запроса).
• Почтовый или электронный адрес для направления ответа.
• Подпись субъекта персональных данных или его представителя.

8.4. Учет обращений (запросов) субъектов персональных данных ведется в Журнале учета обращений (запросов) субъектов персональных данных, составленном по форме, которая утверждается Руководителем Оператора.

8.5. Запрос также может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством РФ.

8.6. Работники Организации не имеют право отвечать на вопросы, связанные с передачей или разглашением персональных данных по телефону в связи с тем, что в таком случае нет возможности надлежащей идентификации личности обращающегося и документирования факта передачи информации.

8.7. Сроки реагирования Оператора на запросы субъекта ПД установлены законодательством и составляют 10 рабочих дней с момента обращения или получения запроса, при этом Оператору необходимо:

• предоставить субъекту ПД информацию, касающуюся обработки его персональных данных (п. 7 ст. 14 Закона № 152-ФЗ);
• предоставить возможность субъекту ознакомиться с его ПД, находящимися у Оператора, либо дать письменный отказ в предоставлении такой информации (ч. 1-2 ст. 20 Закона № 152-ФЗ);
• обеспечить актуализацию, исправление, блокирование или уничтожение данных по требованию субъекта в соответствии со статьями 14, 21 Закона № 152-ФЗ;
• предоставить в Роскомнадзор запрошенные этим органом сведения (ч. 4 ст. 20 Закона № 152-ФЗ);
• прекратить обработку ПД по требованию субъекта ПД (п. 5.1 ст. 21 Закона № 152-ФЗ).

8.8. Ответы на письменные запросы субъектов персональных данных даются в письменной форме в объеме, обеспечивающем конфиденциальность персональных данных. Мотивированный отказ в предоставлении запрашиваемой информации направляется, если субъект персональных данных не обладает правами доступа к запрашиваемой информации или запрос не соответствует требованиям Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

8.9. Подтверждение факта обработки персональных данных Оператором, правовые основания и цели обработки персональных данных, а также иные сведения, указанные в ч. 7 ст. 14 Закона № 152-ФЗ, предоставляются Оператором субъекту персональных данных или его представителю при обращении либо при получении запроса субъекта персональных данных или его представителя.

В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.

8.10. Сведения по запросу предоставляются субъекту персональных данных или его представителю Оператором в течение десяти рабочих дней с момента обращения либо получения Оператором запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемуемой информации.

8.11. Если в обращении (запросе) субъекта персональных данных не отражены в соответствии с требованиями Закона № 152-ФЗ все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.

8.12. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с ч. 8 ст. 14 Закона № 152-ФЗ, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.

8.13. Если запрошенные сведения были предоставлены субъекту персональных данных по его запросу, он вправе обратиться с повторным запросом не ранее чем через 30 дней после первоначального обращения, если более короткий срок не установлен федеральным законом, нормативным правовым актом или договором с субъектом.

8.13.1. До истечения указанного 30-дневного срока повторный запрос может быть направлен только в случае, если запрошенные сведения не были предоставлены в полном объеме по результатам рассмотрения первоначального обращения. Такой повторный запрос должен содержать обоснование.

8.14. Оператор вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям положения настоящей Политики. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Операторе.

8.15. В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных Оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных Оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

8.16. В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных.

8.17. В случае выявления неправомерной обработки персональных данных, осуществляемой Оператором или лицом, действующим по поручению Оператора, Оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или привести обработку в соответствие с законодательством или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Оператор обязан уведомить лицо, по обращению или запросу которого проводилась проверка (субъекта персональных данных, его представителя или уполномоченный орган).

8.18. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор обязан с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных:

• в течение 24 часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
• в течение 72 часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

8.19. В случае достижения цели обработки персональных данных Оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами.

8.20. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Оператор обязан:

• Прекратить обработку персональных данных, основанную исключительно на данном согласии, или обеспечить такое прекращение.
• В случае, если после прекращения обработки, указанной в п. 1, сохранение персональных данных более не требуется для иных целей обработки, для которых имеются законные основания (предусмотренные статьей 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона № 152-ФЗ), уничтожить такие персональные данные или обеспечить их уничтожение в срок, не превышающий тридцати дней с даты поступления отзыва.

Положения настоящего пункта не применяются, если обработка персональных данных, в отношении которых отозвано согласие, осуществляется Оператором на ином законном основании, исключающем необходимость получения согласия субъекта в соответствии с Федеральным законом № 152-ФЗ.

8.20.1. Отзыв согласия на обработку персональных данных должен быть оформлен субъектом в форме, позволяющей достоверно установить факт его отзыва (письменное заявление, поданное лично или через представителя, электронный документ, подписанный квалифицированной электронной подписью, или иным способом, предусмотренным договором с субъектом).

8.21. В случае обращения субъекта персональных данных к Оператору с требованием о прекращении обработки персональных данных Оператор обязан в срок, не превышающий десяти рабочих дней с даты получения Оператором соответствующего требования, прекратить их обработку или обеспечить прекращение такой обработки (если такая обработка осуществляется лицом, осуществляющим обработку персональных данных), за исключением случаев, предусмотренных пунктами 2–11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона № 152-ФЗ. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

8.22. В случае отсутствия возможности уничтожения персональных данных в течение сроков, указанных в пунктах 8.19, 8.20, 8.21 настоящей Политики, Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение персональных данных в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

8.23. Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Оператор обязан уничтожить такие персональные данные. Оператор обязан уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.

8.24. Прием, регистрация и рассмотрение запросов субъектов персональных данных организуются лицом, ответственным за организацию обработки персональных данных в АНО «Студия театра и кино «Озарение».

9. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ

9.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в том числе:

1) определяет угрозы безопасности персональных данных при их обработке в информационных системах персональных данных;

2) применяет организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

3) применяет необходимые и достаточные организационные и технические меры, включая средства защиты информации, для обеспечения установленного уровня защищенности персональных данных;

3.1) применяет для уничтожения персональных данных прошедшие в установленном порядке процедуру оценки соответствия средства защиты информации, в составе которых реализована функция уничтожения информации;

4) оценивает эффективность принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

5) проводит оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона № 152-ФЗ, определяет актуальные угрозы безопасности данных и обеспечивает соответствие принимаемых мер защиты характеру этого вреда и выявленным угрозам;

6) ведет учет машинных носителей персональных данных;

7) принимает меры по обнаружению фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них, а также обеспечивает взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА);

8) восстанавливает персональные данные, модифицированные или уничтоженные вследствие несанкционированного доступа к ним;

9) устанавливает правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечивает регистрацию и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных;

10) ведет контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных. А также принимает меры, предусмотренные статьей 18.1 Федерального закона № 152-ФЗ, направленные на обеспечение выполнения обязанностей, в том числе:

11) назначает лиц, ответственных за организацию обработки персональных данных;

12) издает локальные акты по вопросам обработки персональных данных, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;

13) проводит ознакомление Работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в т.ч. с требованиями к защите персональных данных, локальными актами в отношении обработки персональных данных и обучением указанных Работников;

14) разделяет персональные данные, обрабатываемые без использования средств автоматизации, от иной информации, в частности путем их фиксации на отдельных материальных носителях персональных данных, в специальных разделах.

9.2. Информация о компьютерных инцидентах, повлекших неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных, полученная в рамках взаимодействия с ГосСОПКА, передается в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в порядке, установленном совместно федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и указанным уполномоченным органом.

10. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

10.1. Настоящая Политика вступает в силу с момента ее опубликования на сайте Оператора.

10.2. Текст настоящей Политики является общедоступным и подлежит размещению на информационном стенде в помещении Оператора по адресу: 295011, Республика Крым, г. Симферополь, ул. Караимская, д. 9/10, кв. 96, а также на сайте https://ozareniestudio.ru/.

10.3. Оператор вправе в одностороннем порядке вносить изменения в настоящую Политику. Под существенными изменениями понимаются изменения, затрагивающие ключевые права и обязанности субъектов персональных данных, в том числе изменения целей, состава обрабатываемых данных, мер безопасности, порядка реализации прав субъектов. О существенных изменениях субъект персональных данных уведомляется путем размещения соответствующей информации на информационном стенде в помещении Оператора и на сайте Оператора не менее чем за 10 (десять) календарных дней до их вступления в силу.

10.4. Новая редакция Политики вступает в силу с момента ее размещения на сайте Оператора, если иной срок не указан непосредственно в новой редакции Политики.

10.5. Субъекты персональных данных вправе направлять Оператору запросы, предложения или вопросы, касающиеся настоящей Политики, по адресу указанному в п. 10.2 настоящей Политики либо на адрес электронной почты: insightstudiocrimea@yandex.ru.

10.6. Во всем, что не урегулировано настоящей Политикой, Оператор и субъекты персональных данных руководствуются действующим законодательством Российской Федерации, в первую очередь Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

10.7. Споры и разногласия, которые могут возникнуть при применении настоящей Политики, подлежат разрешению в порядке, установленном действующим законодательством Российской Федерации.