про обробку та захист персональних даних у базах персональних даних, володільцем яких є продавець
Зміст
Загальні поняття та сфера застосування
Перелік баз персональних даних
Мета обробки персональних даних
Порядок обробки персональних даних: отримання згоди, повідомлення про права та дії з персональними даними
Місцезнаходження баз персональних даних
Умови розкриття інформації про персональні дані третім особам
Захист персональних даних: способи захисту, відповідальна особа, працівники та строк зберігання
Права суб'єкта персональних даних
Порядок роботи із запитами суб'єкта персональних даних
1. Загальні поняття та сфера застосування
1.1. Визначення термінів:
база персональних даних — іменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних;
відповідальна особа — визначена особа, яка організовує роботу, пов'язану із захистом персональних даних під час їх обробки, відповідно до закону;
володілець бази персональних даних — фізична або юридична особа, якій законом або за згодою суб'єкта персональних даних надано право на обробку цих даних, яка затверджує мету обробки персональних даних у цій базі даних, встановлює склад цих даних та процедури їх обробки, якщо інше не визначено законом;
загальнодоступні джерела персональних даних — довідники, адресні книги, реєстри, списки, каталоги, інші систематизовані збірники відкритої інформації, що містять персональні дані, які розміщені та опубліковані з відома суб'єкта персональних даних. Не вважаються загальнодоступними джерелами персональних даних соціальні мережі та інтернет-ресурси, в яких суб'єкти персональних даних залишають свої персональні дані (крім випадків, коли суб'єкт прямо вказав, що дані розміщено з метою їх вільного розповсюдження та використання);
згода суб'єкта персональних даних — добровільне волевиявлення фізичної особи (за умови її поінформованості) щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки, виражене у формі, що дає змогу зробити висновок про надання згоди;
знеособлення персональних даних — вилучення відомостей, що дають змогу прямо чи опосередковано ідентифікувати особу;
обробка персональних даних — будь-яка дія або сукупність дій, вчинених повністю або частково в інформаційній (автоматизованій) системі та/або в картотеках персональних даних, пов'язаних зі збиранням, реєстрацією, накопиченням, зберіганням, адаптуванням, зміною, поновленням, використанням і поширенням (розповсюдженням, реалізацією, передачею), знеособленням, знищенням відомостей про фізичну особу;
персональні дані — відомості або сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована;
розпорядник бази персональних даних — фізична або юридична особа, якій володільцем бази персональних даних або законом надано право обробляти ці дані від імені володільця;
суб'єкт персональних даних — фізична особа, щодо якої відповідно до закону здійснюється обробка її персональних даних;
третя особа — будь-яка особа, за винятком суб'єкта персональних даних, володільця чи розпорядника бази персональних даних та Уповноваженого Верховної Ради України з прав людини, якій володільцем чи розпорядником здійснюється передача персональних даних відповідно до закону;
особливі категорії даних — персональні дані про расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях і професійних спілках, засудження до кримінального покарання, а також дані, що стосуються здоров'я, статевого життя, біометричні або генетичні дані.
1.2. Це Положення є обов'язковим для застосування відповідальною особою та співробітниками продавця, які безпосередньо здійснюють обробку та/або мають доступ до персональних даних у зв'язку з виконанням своїх службових (трудових) обов'язків.
2. Перелік баз персональних даних
2.1. Продавець є володільцем таких баз персональних даних:
База персональних даних контрагентів (покупців, клієнтів, партнерів).
3. Мета обробки персональних даних
3.1. Метою обробки персональних даних є забезпечення реалізації цивільно-правових відносин, виконання замовлень, надання та отримання послуг, здійснення розрахунків за придбані товари та послуги відповідно до Цивільного кодексу України, Податкового кодексу України, Закону України «Про електронну комерцію» та Закону України «Про бухгалтерський облік та фінансову звітність в Україні».
4. Порядок обробки персональних даних
4.1. Згода суб'єкта персональних даних має бути добровільним волевиявленням фізичної особи щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки.
4.2. Згода суб'єкта персональних даних може бути надана в таких формах:
документ на паперовому носії з реквізитами, що дає змогу ідентифікувати цей документ і фізичну особу;
електронний документ, що містить обов'язкові реквізити, які дають змогу ідентифікувати цей документ та фізичну особу;
відмітка (чекбокс) на електронній сторінці вебсайту/інтернет-магазину або в електронному файлі, що обробляється в інформаційній системі на основі документованих програмно-технічних рішень.
4.3. Згода надається під час оформлення цивільно-правових відносин, реєстрації на вебсайті або оформлення замовлення відповідно до чинного законодавства.
4.4. Повідомлення суб'єкта персональних даних про включення його даних до бази, його права, визначені Законом України «Про захист персональних даних», мету збору даних та осіб, яким передаються його дані, здійснюється під час оформлення відносин шляхом розміщення Публічної оферти / Політики конфіденційності або надання відповідного повідомлення.
4.5. Обробка особливих категорій даних (щодо расового походження, політичних поглядів, здоров'я тощо) забороняється, крім випадків, прямо передбачених ст. 7 Закону України «Про захист персональних даних».
5. Місцезнаходження бази персональних даних
5.1. Зазначені у розділі 2 цього Положення бази персональних даних знаходяться за місцезнаходженням продавця (або на захищених серверах хостинг-провайдера/хмарних сховищ, використовуваних продавцем).
6. Умови розкриття інформації про персональні дані третім особам
6.1. Порядок доступу до персональних даних третіх осіб визначається умовами згоди суб'єкта персональних даних або вимогами закону.
6.2. Доступ до персональних даних третій особі не надається, якщо зазначена особа відмовляється взяти на себе зобов'язання щодо забезпечення виконання вимог Закону України «Про захист персональних даних» або не може їх забезпечити.
6.3. Запит про доступ до персональних даних подається володільцю персональних даних.
6.4. У запиті зазначаються:
прізвище, ім'я та по батькові, місце проживання (перебування) та реквізити документа, що посвідчує фізичну особу (для фізичної особи — заявника);
найменування, місцезнаходження юридичної особи, посада, прізвище, ім'я та по батькові особи, яка засвідчує запит; підтвердження відповідальності повноваженням (для юридичної особи — заявника);
прізвище, ім'я та по батькові, а також інші відомості, що дають змогу ідентифікувати фізичну особу, щодо якої робиться запит;
відомості про базу персональних даних або про її володільця чи розпорядника;
перелік запитуваних персональних даних;
мета та/або правові підстави запиту.
6.5. Строк вивчення запиту на предмет його задоволення не може перевищувати 10 робочих днів з дня надходження. Запит задовольняється протягом 30 календарних днів з дня його надходження, якщо інше не передбачено законом.
6.6. Відстрочка доступу третіх осіб допускається, якщо дані не можуть бути надані протягом 30 календарних днів. Загальний строк вирішення питань у запиті не може перевищувати 45 календарних днів. Повідомлення про відстрочку надається у письмовій формі з роз'ясненням порядку оскарження.
6.7. Відмова в доступі допускається, якщо доступ до даних заборонений згідно із законом. Рішення про відстрочення або відмову може бути оскаржено до суду або до Уповноваженого Верховної Ради України з прав людини.
7. Захист персональних даних
7.1. Володілець забезпечує системні, програмно-технічні засоби та засоби зв'язку, що запобігають втратам, крадіжкам, несанкціонованому знищенню, спотворенню, підробці чи копіюванню інформації.
7.2. Відповідальна особа організовує роботу, пов'язану із захистом персональних даних при їх обробці, та призначається наказом володільця.
7.3. Відповідальна особа зобов'язана:
знати законодавство України у сфері захисту персональних даних;
розробити процедури доступу співробітників до персональних даних відповідно до їхніх обов'язків;
забезпечити виконання співробітниками вимог законодавства та внутрішніх документів;
здійснювати внутрішній контроль за дотриманням вимог захисту персональних даних;
повідомляти володільця про факти порушень не пізніше одного робочого дня з моменту їх виявлення;
забезпечити зберігання документів (електронних логів), що підтверджують надання згоди суб'єктом.
7.4. Відповідальна особа має право:
отримувати необхідні документи та накази від володільця;
виготовляти копії з отриманих документів та файлів у локальних мережах;
вносити пропозиції щодо вдосконалення заходів захисту;
отримувати пояснення з питань обробки даних від працівників.
7.5. Працівники, які мають доступ до персональних даних, зобов'язані не допускати їх розголошення. Це зобов'язання діє і після припинення ними діяльності, пов'язаної з персональними даними, крім випадків, установлених законом.
7.6. Персональні дані зберігаються не довше, ніж це необхідно для цілей, для яких вони зібрані, або протягом строку, визначеного законодавством у сфері бухгалтерського обліку та оподаткування.
8. Права суб'єкта персональних даних
8.1. Суб'єкт персональних даних має право:
знати про джерела збирання, місцезнаходження своїх персональних даних, місце проживання (перебування) володільця або розпорядника;
отримувати інформацію про умови надання доступу до персональних даних, зокрема про третіх осіб, яким вони передаються;
на доступ до своїх персональних даних;
отримувати не пізніш як за 30 календарних днів з дня надходження запиту відповідь про те, чи обробляються його дані, та отримувати їх зміст;
пред'являти вмотивовану вимогу володільцю із запереченням проти обробки своїх персональних даних;
пред'являти вмотивовану вимогу щодо зміни або знищення своїх даних, якщо вони обробляються незаконно або є недостовірними;
на захист своїх даних від незаконної обробки, випадкової втрати, знищення чи пошкодження;
звертатися з питань захисту своїх прав до Уповноваженого Верховної Ради України з прав людини або до суду;
застосовувати засоби правового захисту в разі порушення законодавства;
вносити застереження стосовно обмеження права на обробку своїх персональних даних під час надання згоди;
відкликати згоду на обробку персональних даних.
9. Порядок роботи із запитами суб'єкта персональних даних
9.1. Суб'єкт персональних даних має право на отримання будь-яких відомостей про себе без зазначення мети запиту. Доступ суб'єкта до своїх даних здійснюється безоплатно.
9.2. У запиті суб'єкта зазначаються:
прізвище, ім'я та по батькові, місце проживання (перебування) і реквізити документа, що посвідчує особу;
інші відомості, що дають змогу ідентифікувати особу;
відомості про базу персональних даних або володільця/розпорядника;
перелік запитуваних персональних даних.
9.3. Строк вивчення запиту — до 10 робочих днів. Загальний строк задоволення запиту — до 30 календарних днів з дня надходження.