I. Общие положения
1.1. Политика конфиденциальности проекта «Ты Профи» (далее Политика) определяет политику Общества с ограниченной ответственностью «Курск АгроАктив» (305001 Курская область, городской округ город Курск, город Курск, улица Александра Невского, здание 8В, эт. 2, оф. 4, ИНН: 4611010458, ОГРН: 1094611000131), (далее – Общество), в отношении обработки персональных данных пользователей цифровых платформ, используемых в рамках проекта «Ты Профи».
1.2. Политика разработана в соответствии с действующим законодательством Российской Федерации в области персональных данных (далее – ПДн).
1.3. Политика обязательна для исполнения всеми лицами, непосредственно осуществляющими обработку и защиту ПДн в Обществе. Нарушение порядка обработки и защиты ПДн, определенного настоящей Политикой, влечет ответственность (в том числе материальную, дисциплинарную, гражданскую, административную и уголовную) в соответствии с нормами действующего законодательства Российской Федерации.
1.4. Все ПДн, обрабатываемые Обществом в рамках настоящей Политики, относятся к информации ограниченного доступа и подлежат защите в соответствии с требованиями законодательства Российской Федерации и локально нормативных актов Общества.
II. Перечень используемых сокращений и аббревиатур

III. Перечень используемых понятий и определений
IV. Общие положения по организации обработки и обеспечении безопасности персональных данных
4.1. Организация обработки и защиты ПДн в Обществе, а также реализация процессов, в которых осуществляется обработка ПДн, производится с учетом общих принципов обработки ПДн, закрепленных в № 152-ФЗ, а именно:
(а) осуществление обработки ПДн на законной и справедливой основе;
(б) обеспечение ограничения обработки ПДн конкретными, заранее определенными и законными целями, в том числе недопущение обработки ПДн, несовместимой с целями сбора (получения) ПДн;
(в) недопущение объединения баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
(г) осуществление обработки исключительно тех ПДн, которые отвечают целям их обработки;
(д) обеспечение соответствия содержания и объема обрабатываемых ПДн заявленным целям их обработки, в том числе недопущение обработки ПДн, избыточных по отношению к заявленным целям обработки ПДн;
(е) обеспечение точности ПДн, их достаточности и в необходимых случаях актуальности по отношению к целям обработки ПДн, а также принятие необходимых мер по уничтожению или уточнению неполных или неточных ПДн;
(ж) осуществление хранения ПДн в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели их обработки, если срок хранения ПДн не установлен законодательством Российской Федерации, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн.
4.2. В Обществе приказом генерального директора назначено лицо, ответственное за организацию обработки ПДн, которое:
(а) осуществляет внутренний контроль за соблюдением в Обществе законодательства о ПДн, в том числе требований к их защите;
(б) доводит до работников Общества положения законодательства Российской Федерации в области ПДн, локальных нормативных актов, утвержденных в Обществе, по вопросам обработки ПДн, требований к их защите;
(в) организует прием и обработку обращений и запросов субъектов ПДн или их представителей и (или) осуществляет контроль за приемом и обработкой таких обращений и запросов.
4.3. Общество формирует систему локальных актов по вопросам обработки ПДн, а также процедур, направленных на предотвращение и выявление нарушений законодательства Российской Федерации в области ПДн, устранение последствий таких нарушений.
4.4. Общество проводит оценку возможного вреда субъектам ПДн, в соответствии с требованиями, Роскомнадзора, в связи с возможным нарушением прав и законных интересов субъекта ПДн, определенных действующим законодательством Российской Федерации в области обработки ПДн, а также соотносит возможный вред субъектам ПДн с реализуемыми Обществом мерами.
4.5. До начала обработки ПДн Общество направляет в Роскомнадзор уведомление о намерении осуществлять обработку ПДн. В случае изменения сведений, содержащихся в таком уведомлении, а также в случае прекращения обработки ПДн в Роскомнадзор направляет соответствующие уведомления в установленные сроки.
4.6. Выполнение требований законодательства Российской Федерации в области организации обработки ПДн контролируется лицом, ответственным за организацию обработки ПДн, посредством проведения внутреннего контроля.
4.7. В случае выявления нарушений требований законодательства Российской Федерации в области ПДн Общество проводит служебное расследование.
V. Цели обработки ПДн, категории и перечень обрабатываемых ПДн, категории субъектов ПДн, способы, сроки их обработки и хранения, порядок уничтожения
5.1. Для участия в профориентационном курсе «Генетика и селекция растений» в рамках проекта «Ты Профи» Общество обрабатывает ПДн следующих субъектов:
5.2. Для достижения, указанной в п. 5.1 цели, Общество осуществляет обработку ПДн как с использованием средств автоматизации (автоматизированная обработка), так и без их использования (обработка без использования средств автоматизации), включающую следующий перечень действий с ПДн: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение.
5.3. Обрабатываемые с помощью цифровых платформ «Ты Профи» ПДн не относятся к специальным категориям или биометрическим ПДн в соответствии со ст. 10–11 152-ФЗ.
VI. Порядок и условия обработки персональных данных
6.1. Субъект ПДн регистрируясь на цифровых платформах «Ты Профи» предоставляет свои ПДн путем заполнения специальных форм в личном кабинете.
6.2. ПДн не используются Обществом в целях причинения имущественного и/или морального вреда гражданам, затруднения реализации прав и свобод граждан.
6.3. Сроки обработки, в том числе хранения ПДн для каждой цели обработки ПДн устанавливаются с учетом соблюдения требований и условий обработки ПДн, определенных законодательством Российской Федерации, и/или согласия субъекта ПДн на обработку его ПДн, а также условий договора стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПДн. При этом обработка и хранение ПДн осуществляются не дольше, чем этого требуют цели обработки ПДн, если иное не установлено законодательством Российской Федерации.
6.4. Общество установило следующие условия прекращения обработки ПДн:
(а) достижение целей обработки ПДн и истечение сроков хранения ПДн;
(б) утрата необходимости в достижении целей обработки ПДн;
(в) предоставление субъектом ПДн или его законным представителем сведений, подтверждающих, что ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
(г) в случае выявления неправомерной обработки ПДн;
(д) отзыв субъектом ПДн согласия на обработку ПДн, если сохранение ПДн более не требуется для целей обработки ПДн;
(е) получение требования Роскомнадзора об уничтожении недостоверных или полученных незаконным путем ПДн;
(ж) ликвидация или реорганизация Общества;
(з) иные условия, предусмотренные действующим законодательством.
6.5. Общество вправе продолжить обработку ПДн без согласия субъекта ПДн при наличии оснований, предусмотренных 152-ФЗ.
6.6. При сборе ПДн с помощью цифровых платформ «Ты Профи» Общество обеспечивает их запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн субъектов с использованием баз данных, находящихся на территории Российской Федерации.
6.7. Общество вправе передавать ПДн органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.
6.8. В случае необходимости передачи Обществом ПДн третьим лицам, она осуществляется только после подписания между Обществом и третьим лицом соглашения о конфиденциальности информации, за исключением случаев, прямо предусмотренных законодательством.
6.9. Общество вправе поручить обработку ПДн другому лицу (обработчику) на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (поручения).
6.10. Трансграничная передача ПДн, полученных Обществом с помощью цифровых платформ «Ты Профи», не осуществляется.
6.11. В случае достижения целей обработки ПДн, истечения сроков обработки ПДн, при прекращении действия правовых оснований на обработку ПДн (условий обработки ПДн), а также в иных случаях, предусмотренных законодательством Российской Федерации, Общество уничтожает ПДн или обеспечивает их уничтожение (если обработка ПДн осуществляется лицом, действующим по поручению Общества). Уничтожение производится посредством осуществления действий, в результате которых становится невозможным восстановить содержание ПДн в информационной системе ПДн (далее – ИСПДн) и/или в результате которых уничтожаются материальные носители ПДн. По результатам проведенного уничтожения составляется акт об уничтожении ПДн и/или формируется запись в электронном журнале регистрации событий.
VII. Защита персональных данных
7.1. Для обеспечения безопасности (конфиденциальности, целостности, доступности) ПДн субъектов ПДн, защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн, в соответствии с 152-ФЗ, Обществом принимаются правовые, организационные и технические меры или обеспечивается их принятие (если обработка ПДн осуществляется лицом, действующим по поручению Общества). В частности, принимаются следующие меры:
(а) определяются актуальные угрозы безопасности ПДн, обрабатываемых в ИСПДн, и применяются соответствующие организационные и технические меры защиты для установленных уровней защищенности ПДн;
(б) определяются типы угроз безопасности ПДн, актуальных для ИСПДн, с учетом оценки вреда, который может быть причинен субъектам в случае нарушения требований 152ФЗ;
(в) для нейтрализации актуальных угроз безопасности ПДн применяются средства защиты информации, соответствующие уровням защищенности ПДн и прошедшие в установленном порядке процедуру оценки соответствия;
(г) для уничтожения ПДн применяются прошедшие в установленном порядке процедуру оценки соответствия средства защиты информации, в составе которых реализована функция уничтожения информации;
(д) проводится оценка эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;
(е) осуществляется организация учета машинных носителей, содержащих ПДн, и обеспечивается сохранность носителей ПДн;
(ж) осуществляется регистрация и учет действий, совершаемых с ПДн, с целью обнаружения фактов несанкционированного доступа к ПДн и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на ИСПДн и по реагированию на компьютерные инциденты в них;
(з) обеспечивается восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
(и) обеспечиваются пропускной режим и управление доступом к ПДн, техническим средствам, используемым при обработке ПДн, средствам защиты информации, средствам обеспечения функционирования информационных систем;
(к) организован режим обеспечения безопасности помещений и зданий, в которых размещены ИСПДн;
(л) определяется и при необходимости актуализируется перечень лиц, которым для выполнения трудовых обязанностей необходим доступ к ПДн, обработка которых производится в ИСПДн, а также обеспечивается предоставление доступа исключительно тем лицам, которым он необходим для выполнения трудовых обязанностей. До начала обработки ПДн работники Общества, в трудовые обязанности которых входит осуществление обработки ПДн, подписывают соглашение о неразглашении ПДн и проходят ознакомление под подпись с положениями законодательства Российской Федерации о ПДн, в том числе с требованиями к защите ПДн, а также с требованиями внутренних нормативных актов Общества, регламентирующих вопросы обработки и защиты ПДн;
(м) обеспечивается автоматическая регистрация событий безопасности, связанных с изменением прав доступа к ПДн;
(н) назначено должностное лицо, ответственное за обеспечение безопасности ПДн в ИСПДн;
(о) создано структурное подразделение, ответственное за обеспечение безопасности ПДн в ИСПДн;
(п) размещение ИСПДн Общества преимущественно реализуется внутри защищенного периметра, расположенного в пределах контролируемой зоны. В случае размещения ИСПДн Общества у третьих лиц, то с такими лицами подписывается соответствующее договор или соглашение, содержащие обязанности по обеспечению защиты ПДн;
(р) обеспечивается доступ к содержанию событий безопасности ограниченному кругу лиц, которым необходим указанный доступ для выполнения трудовых обязанностей;
(с) реализуется контроль за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности ИСПДн;
(т) осуществляется эксплуатация разрешенного к использованию программного обеспечения и/или его компонентов, а также обеспечивается контроль за его установкой и обновлением.
VIII. Права субъекта персональных данных и обязанности Общества
8.1. Субъект ПДн имеет право на получение информации, касающейся обработки его ПДн, в том числе содержащей:
(а) подтверждение факта обработки ПДн Обществом;
(б) правовые основания и цели обработки ПДн;
(в) цели и применяемые в Обществе способы обработки ПДн;
(г) наименование и место нахождения Общества, сведения о лицах (за исключением работников Общества), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Обществом или на основании федерального закона;
(д) обрабатываемые ПДн, относящиеся непосредственно к субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
(е) сроки обработки ПДн, в том числе сроки их хранения;
(ж) порядок осуществления субъектом ПДн прав, предусмотренных 152-ФЗ;
(з) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Общества, если обработка поручена или будет поручена такому лицу;
(и) информацию о способах исполнения Обществом обязанностей, установленных статьей 18.1 152ФЗ.
8.2. Общество предоставляет сведения субъекту ПДн или его представителю при получении запроса субъекта ПДн или его представителя в письменной форме на адрес, указанный в обращении.
8.3. Субъект ПДн имеет право:
(а) требовать от Общества уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
(б) на доступ к своим ПДн при личном обращении к представителю Общества при наличии паспорта или при направлении письменного запроса.
(в) оформить доверенность на право доступа к его ПДн;
(г) принимать предусмотренные законом меры по защите своих прав;
(д) обжаловать действия или бездействие Общества, путем направления обращения в уполномоченный орган по защите прав субъектов ПДн или в судебном порядке;
(е) на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке;
(ж) на отзыв согласия на обработку ПДн, в том числе ПДн, разрешенных субъектом персональных данных для распространения.
8.4. Реализовать свои права субъект ПДн может в порядке, предусмотренном разделом IX настоящей Политики.
8.5. Общество обязано:
(а) при сборе ПДн субъекта предоставить информацию об обработке его ПДн;
(б) в случаях, если ПДн получены не от субъекта ПДн, уведомить субъекта до начала обработки таких ПДн;
(в) опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки ПДн;
(г) опубликовать или иным образом обеспечить неограниченный доступ к сведениям
о реализуемых требованиях к защите ПДн;
(д) принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
(е) давать ответы на запросы и обращения субъектов ПДн, их представителей и уполномоченного органа по защите прав субъектов ПДн;
(ж) в случае достижения цели обработки ПДн прекратить обработку ПДн или обеспечить ее прекращение (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) и уничтожить ПДн или обеспечить их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению Общества) в срок, не превышающий тридцати дней с даты достижения цели обработки ПДн, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, иным соглашением между Обществом и субъектом ПДн либо если Общество не вправе осуществлять обработку ПДн без согласия субъекта ПДн на основаниях, предусмотренных 152-ФЗ или другими федеральными законами.
IX. Порядок рассмотрения обращений и/или запросов субъектов персональных данных
9.1. В целях соблюдения прав и законных интересов Субъектов ПДн, требований к срокам обработки обращений и/или запросов, обеспечения качества и полноты принятия мер в отношении законного требования субъекта ПДн и для предоставления необходимой информации по его обращению и/или запросу Обществом осуществляется прием и обработка обращений субъектов ПДн по адресам и контактам, указанным в разделе «Контакты» по адресу (https://agroterra.ru/kontakty/), а также контроль обеспечения такого приема и обработки.
9.2. При рассмотрении обращений и/или запросов субъектов ПДн Общество руководствуется положениями законодательства Российской Федерации.
9.3. Обращение и/или запрос субъекта ПДн должны быть отправлены Обществу в бумажном виде и содержать:
(а) фамилию, имя, отчество субъекта ПДн (и его законного представителя, когда запрос и/или обращение поступило от последнего);
(б) реквизиты основного документа, удостоверяющего личность субъекта ПДн или его законного представителя (номер, сведения о дате выдачи указанного документа и выдавшем органе);
(в) перечень сведений, подтверждающих участие субъекта ПДн в отношениях с Обществом (допускается в виде словесного описания);
(г) адрес (почтовый или электронной почты) для направления ответа на запрос и/или обращения;
(д) подпись обращающегося лица (в случае поступления запроса в электронном виде – электронной подписи в соответствии с законодательством Российской Федерации, в том числе, но не ограничиваясь, в соответствии с Федеральным законом Российской Федерации от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи».
9.4. Если требования, указанные в п. 9.3, к оформлению обращения и/или запроса не выполнены, по адресу, указанному в тексте обращения и/или запроса (в случае указания адреса), направляется письменное уведомление об отказе в приема обращения и/или запроса с указанием причин.
9.5. Общество не отвечает на вопросы, обращения и/или запросы в отношении обработки ПДн субъектов по телефону или факсу.
9.6. В случае необходимости субъект ПДн может обратиться в Общество с просьбой предоставления формы обращения и/ или запроса. Общество может предоставить форму обращения и/или запроса любым удобным способом (в бумажном или электронном виде, в том числе с указанием ссылок на электронные ресурсы).
9.7. Предоставление информации и/или принятие иных мер в связи с поступлением обращений и/или запросов от субъектов ПДн производится Обществом в объеме и сроки, предусмотренные законодательством Российской Федерации. Установленный законодательством Российской Федерации срок ответа субъекту ПДн на обращение и/или запрос о предоставлении информации, касающейся обработки его ПДн, может быть продлен на основании установленных 152-ФЗ требований к продлению сроков с направлением в адрес субъекта ПДн мотивированного уведомления, содержащего сведения о причинах продления срока предоставления запрашиваемой информации.
9.8. Общество, получив обращение и/или запрос субъекта ПДн и убедившись в его законности, предоставляет субъекту ПДн и/или его законному представителю сведения, указанные в запросе, в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, и/или принимает иные меры в зависимости от специфики (особенностей) обращения и/или запроса. Предоставляемые Обществом сведения не могут содержать ПДн, принадлежащие другим субъектам ПДн, за исключением случаев, когда имеются законные основания для раскрытия таких ПДн.
9.9. Общество вправе отказать субъекту ПДн в удовлетворении требований, указанных в обращении и/или запросе, путем направления субъекту ПДн или его законному представителю мотивированного отказа, если у Общества в соответствии с законодательством Российской Федерации имеются законные основания отказать в выполнении/удовлетворении поступивших требований.
X. Порядок пересмотра
10.1. Пересмотр положений настоящего документа проводится не реже одного раза в год.
10.2. Внеплановый пересмотр настоящей Политики осуществляется:
(а) при изменении процессов обработки ПДн на цифровых платформах «Ты Профи»;
(б) при появлении новых требований к обработке и обеспечению безопасности ПДн в Обществе;
(в) по результатам проверок контролирующих органов, выявивших несоответствия требованиям по обеспечению безопасности ПДн;
(г) по результатам внутреннего контроля (аудита) в случае выявления существенных нарушений;
(д) при изменении законодательства в области обработки и защиты ПДн.
10.3. Ответственным за пересмотр настоящей Политики является лицо, ответственное за организацию обработки ПДн в Обществе.
XI. Вступление в силу
11.1. Настоящая Политика является локальным нормативным актом Общества и вступает в силу с даты ее утверждения генеральным директором Общества либо с даты, прямо указанной в соответствующем приказе об утверждении Политики.