Политика в отношении обработки персональных данных

1.1.1. Настоящая Политика в отношении обработки персональных данных АО «Эйч энд Эн» (далее по тексту – Политика) разработанная в соответствии с Федеральным законом №152-ФЗ «О персональных данных», а также иными законодательными и подзаконными нормативно-правовыми актами в сфере Персональных данных, является локальным нормативным актом АО «Эйч энд Эн» (далее – Компания), который определяет политику Компании в отношении обработки персональных данных и излагает систему основных принципов, применяемых в отношении обработки персональных данных в Компании.

1.1.2. Политика является общедоступной и публикуется на Интернет-сайте АО «Эйч энд Эн».

1.1.3. Настоящая Политика обязательна при организации процессов обработки и обеспечения безопасности персональных данных в Компании.

1.2.1. Действие настоящей Политики распространяется на все операции, совершаемые в Компании с персональными данными с использованием средств автоматизации или без их использования.

• Политика – Политика Компании в отношении обработки персональных данных.
• Персональные данные (ПДн) – любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
• Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
• Субъект персональных данных – физическое лицо, персональные данные которого обрабатываются.
• Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
• Оператор персональных данных – юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
• Ответственный за организацию обработки ПДн – лицо, назначенное ответственным за организацию обработки ПДн в Компании на основании ст. 22.1. ФЗ «О персональных данных» от 27.07.2006 N 152-ФЗ.
• Конфиденциальность персональных данных – обязанность лиц, получивших доступ к персональным данным, не раскрывать их третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством.
• Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
• Сотрудник – физическое лицо, заключившее с Компанией трудовой договор (срочный или бессрочный) по основному месту работы, а также о работе по совместительству.
• Закон о Персональных данных – Федеральный закон РФ «О персональных данных» №152-ФЗ от 27 июля 2006 г.
• Компания – АО «Эйч энд Эн».

1.4.1. Компания является Оператором персональных данных.

1.4.2. Важным условием реализации целей деятельности Компании является обеспечение защиты прав и свобод Субъекта персональных данных при обработке его Персональных данных, неукоснительное соблюдение требований законодательства Российской Федерации в области защиты персональных данных.

1.4.3. В Компании разработаны и введены в действие документы, устанавливающие порядок обработки и обеспечения безопасности Персональных данных и обеспечивающие соответствие деятельности Компании требованиям Закона о персональных данных и принятых в соответствии с ним нормативных правовых актов.

1.5.1. На доступ к своим персональным данным;

1.5.2. На уточнение (обновление, изменение) своих персональных данных;

1.5.3. На блокирование и удаление своих персональных данных;

1.5.4. На обжалование решений, принятых на основании исключительно автоматизированной обработки их персональных данных;

1.5.5. На отзыв согласия на обработку своих персональных данных.

Реализовать указанные права Субъект персональных данных может следующим образом:

• Подать подписанный Субъектом персональных данных (или представителем) запрос в письменной форме, указав в нем сведения о документе, удостоверяющем личность или личность представителя (тип документа, серия, номер, кем и когда выдан), ФИО Субъекта или ФИО представителя, информацию о взаимоотношениях, в ходе которых Компания получила персональные данные субъекта на адрес Компании: Россия, 127015, г. Москва, вн. тер. г. м.о. Савёловский, ул. Вятская, д. 27 стр. 13 или
• В форме электронного документа, подписанного электронной цифровой подписью, на адрес электронной почты: Dataprotection@corphn.com.

1.5.6. Если Субъект персональных данных считает, что Компания осуществляет обработку его персональных данных с нарушением требований законодательства или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Компании в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

1.6.1. Оператор имеет право:

• Самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о персональных данных или другими федеральными законами.
• Поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом о персональных данных.
• В случае отзыва Субъектом персональных данных согласия на обработку персональных данных, Оператор вправе продолжить обработку персональных данных без согласия Субъекта персональных данных, при наличии оснований, указанных в Законе о персональных данных.

1.6.2. Оператор обязан:

• Отвечать на запросы и обращения Субъектов персональных данных и их законных представителей в соответствии с требованиями Закона о персональных данных.
• Сообщать в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) по запросу этого органа и в установленный Законодательством срок.
• Организовать обработку персональных данных в соответствии с требованиями Закона о персональных данных.

2.1.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями обработки персональных данных.

2.1.2. Обработке подлежат только персональные данные, которые отвечают целям обработки.

2.1.3. Компания, являясь Оператором персональных данных, осуществляет обработку Персональных данных в следующих целях:

• Подбор и найм персонала на вакантные должности – в отношении соискателей;
• Проведение карьерных мероприятий (в том числе лидерских программ), поддерживаемых или организуемых Компанией – в отношении участников карьерных мероприятий (в том числе лидерских программ);
• Осуществление и выполнение возложенных законодательством РФ на Компанию функций, полномочий и обязанностей в рамках трудового и налогового законодательства (включая содействие в трудоустройстве, обучении и продвижение по службе, обеспечение личной безопасности работников, контроль количества и качества выполняемой работы, ведение кадрового документооборота, воинского и бухгалтерского учета; расчет и выплата заработной платы, расчет и перечисление налогов и страховых взносов; предоставление Работникам дополнительных услуг за счет работодателя, перечисление доходов на платежные карты работников, страхование за счет работодателя, предоставление образовательных услуг, обеспечение командировок, обеспечение пропускного режима) – в отношении Сотрудников;
• Осуществление и выполнение возложенных законодательством РФ на оператора функций, полномочий и обязанностей в рамках законодательства об охране труда (включая расследование несчастных случаев) – в отношении Сотрудников, физических лиц по договорам гражданско-правового характера и договорам аутсорсинга;
• Предоставление Сотрудникам и членам их семей набора компенсаций и льгот социального характера, не предусмотренного законодательством (включая страхование членов семей Сотрудников частично или полностью за счет Компании) – в отношении Сотрудников и родственников Сотрудников;
• Заключение и исполнение договоров с контрагентами – в отношении представителей контрагентов;
• Подготовка, заключение и исполнение гражданско-правового договора – в отношении контрагентов;
• Кадровое администрирование, включая организацию обучения, процесса предоставления компенсаций и льгот, бухгалтерского и налогового учета, контроль за соблюдением законодательства и внутренних процедур компании – в отношении сотрудников группы компаний;
• Выполнение Компанией действий по поручению Представителей субъектов персональных данных – в отношении представителей субъектов ПДн;
• Обеспечение пропускного режима на территорию Оператора (офисов, заводов, складов), предоставление возможности парковки на территории Компании – в отношении посетителей и Сотрудников;
• Взаимодействие с потребителями продукции Компании по вопросам качества и безопасности продукции (рассмотрения обращений), а также в связи с участием в акциях Компании – в отношении потребителей;
• Осуществление и выполнение возложенных законодательством РФ на Компанию функций, полномочий и обязанностей в рамках медицинского законодательства – Сотрудники, физические лица по договорам ГПХ и договорам аутсорсинга;
• Взаимодействие с представителями СМИ – в отношении представителей СМИ;
• Взаимодействие с госорганами – в отношении представителей госорганов;
• Формирование органов правления и списков аффилированных лиц – в отношении членов коллегиального и единоличного исполнительного органа, членов правления, аффилированных лиц, Сотрудников;
• Обеспечение юридического обеспечения (включая оформление и выдачу доверенности, предоставление доступа в государственные информационные системы) – в отношении Сотрудников и представителей контрагентов;
• Визовая поддержка – в отношении Сотрудников и физических лиц;
• Анализ активностей на сайтах Компании и аналитика посещения сайтов (для обеспечения корректной работы сайтов) – в отношении Посетителей сайтов Компании.

2.2.1. Правовым основанием обработки персональных данных является совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных, в том числе:

• При наличии согласия субъекта персональных данных на обработку его персональных данных;
• Обработка персональных данных необходима для осуществления и выполнения возложенных законодательством на Компанию функций, полномочий и обязанностей;
• Для заключения договора по инициативе субъекта персональных данных и исполнения договора, стороной которого является субъект персональных данных. Такими договорами также являются трудовые договоры с Сотрудниками;
• Обработка персональных данных Компанией необходима для осуществления прав и законных интересов Компании и/или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъектов персональных данных;
• Обработка персональных данных осуществляется в статистических или иных исследовательских целях в соответствии с ч.9 ст. 6 Закона «О персональных данных», при условии обязательного обезличивания персональных данных;
• Обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом для распространения.

2.3.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

2.3.2. Компания не обрабатывает персональные данные, относящиеся к специальным категориям и касающиеся расовой и национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни (за исключением сведений о состоянии здоровья, относящихся к вопросу о возможности выполнения Сотрудником трудовой функции и необходимых для целей, определенных законодательством о государственной социальной помощи, законодательством об обязательных видах страхования, трудовым, пенсионным и страховым законодательством), о членстве субъектов персональных данных в общественных объединениях или их профсоюзной деятельности, за исключением случаев, прямо предусмотренных законодательством.

3. Компания не обрабатывает биометрические персональные данные.

2.4.1. Обработка персональных данных в Компании осуществляется на основе следующих принципов:

• Обработка персональных данных осуществляется на законной и справедливой основе;
• Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора ПДн;
• Обработке подлежат только ПДн, которые отвечают целям их обработки;
• Не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
• Содержание и объем обрабатываемых ПДн должны соответствовать заявленным целям обработки. Обрабатываемые ПДн не должны быть избыточными по отношению к заявленным целям их обработки;
• При обработке ПДн должны быть обеспечены точность ПДн, их достаточность, а в необходимых случаях, и актуальность по отношению к целям обработки ПДн;
• Хранение ПДн осуществляется в форме, позволяющей определить Субъекта персональных данных, не дольше, чем этого требуют цели Обработки персональных данных, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект персональных данных;
• Обрабатываемые ПДн подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом;
• При обработке персональных данных Компания исходит из того, что субъекты предоставляет достоверную информацию о себе и не принимает на себя каких-либо обязательств по проверке полученных персональных данных, хотя и оставляет за собой право при необходимости выполнить такую проверку законными способами.

2.4.2. Сроки обработки персональных данных определены с учетом:

• Сроков действия договоров с Субъектами персональных данных и согласий субъектов персональных данных на обработку их персональных данных;
• Сроков, определенными Приказом Росархива от 20.12.2019 № 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения»;
• Сроков, определенных Постановлением ФКЦБ РФ от 16 июля 2003 г. № 03-33/пс «Об утверждении Положения о порядке и сроках хранения документов акционерных обществ»;
• Иными сроками, установленными законодательством РФ и локальными нормативными актами Компании.

2.4.3. Компания прекращает Обработку персональных данных в следующих случаях:

• По достижении целей их обработки, либо в случае утраты необходимости в достижении этих целей;
• По требованию Субъекта персональных данных, если обрабатываемые в Компании персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• В случае выявления неправомерной обработки персональных данных, если обеспечить правомерность Обработки персональных данных невозможно;
• В случае отзыва Субъектом персональных данных согласия на обработку его персональных данных (если персональные данные обрабатываются Компанией на основании согласия субъекта персональных данных в отсутствие других оснований обработки, предусмотренных Законом о персональных данных);
• Устранены причины, вследствие которых осуществлялась Обработка персональных данных, если иное не установлено федеральным законом;
• В случае ликвидации или реорганизации Компании.

2.4.4. Порядок обработки персональных данных:

• Компания не раскрывает третьим лицам и не распространяет Персональные данные без согласия Субъекта персональных данных, если иное не предусмотрено законодательством РФ.
• Компания не осуществляет трансграничную передачу персональных данных.
• Компания не принимает решения, порождающие юридические последствия в отношении Субъекта персональных данных или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной Обработки персональных данных.
• В ряде случаев Компания поручает Обработку персональных данных другим лицам на основании заключенного договора поручения. Передаваемый при этом объем персональных данных такому лицу является минимально необходимым, а в качестве существенного условия договора поручения является обязанность лица, осуществляющего обработку персональных данных, соблюдать принципы и правила обработки персональных данных и требования к их обработке, предусмотренные законодательством.
• Компания осуществляет Обработку персональных данных с использованием средств автоматизации и без их использования. При этом Компания выполняет все требования к автоматизированной и неавтоматизированной Обработке персональных данных, предусмотренные Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами.
• При сборе персональных данных Компания обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных с использованием баз данных, находящихся на территории Компании и в дата-центрах на территории Российской Федерации.
• Обработка персональных данных осуществляется с согласия субъектов персональных данных, а также без такового в случаях, предусмотренных законодательством Российской Федерации.
• В случае получения Компанией персональных данных от контрагента на основании и в целях заключения и/или исполнения заключенного с ним договора, ответственность за правомерность и достоверность персональных данных, а также за получение согласия Представителей контрагентов на передачу их персональных данных Компании несет контрагент, передающий персональные данные.
• Персональные данные лиц, подписавших договоры с Компанией, содержащиеся в единых государственных реестрах юридических лиц и индивидуальных предпринимателей, являются открытыми и общедоступными, за исключением сведений о номере, дате выдачи и органе, выдавшем документ, удостоверяющий личность физического лица. Охрана их конфиденциальности и согласие субъектов персональных данных на обработку таких данных не требуется.
• У Компании не возникает обязанности получить согласие у субъектов персональных данных, являющихся Представителями контрагентов, подписавших договоры с Компанией, предоставивших доверенности на право действовать от имени и по поручению контрагентов Компании и тем самым совершивших конклюдентные действия, подтверждающие их согласие с обработкой персональных данных, указанных в тексте договора (доверенности). Получение такого согласия является обязанностью контрагента.
• Согласие Представителей субъектов персональных данных на обработку их персональных данных выражается в форме конклюдентных действий путем предоставления доверенности с правом действовать от имени и по поручению субъектов персональных данных и документа, удостоверяющего личность Представителя субъекта персональных данных.
• Согласие Посетителей на обработку их персональных данных дается в форме конклюдентных действий, а именно – предоставления документа, удостоверяющего личность, и сообщения сведений, запрашиваемых при посещении Компании.
• Равнозначным содержащему собственноручную подпись субъекта персональных данных согласию в письменной форме на бумажном носителе является согласие в форме электронного документа, подписанного электронной подписью в соответствии с требованиями, установленными законодательством.
• Согласие субъектов на предоставление их персональных данных не требуется при получении Компанией, в рамках установленных полномочий, мотивированных запросов от органов прокуратуры, правоохранительных органов, органов следствия и дознания, органов безопасности, от государственных инспекторов труда при осуществлении ими государственного надзора и контроля за соблюдением трудового законодательства, и иных органов, уполномоченных запрашивать информацию в соответствии с компетенцией, предусмотренной законодательством.

2.4.5. Условия обработки персональных данных

В Компании обеспечивается реализация следующих правовых, организационных и технических мер по обеспечению условий безопасности обработки персональных данных:

2.5.1. Запрос на подтверждение факта обработки ПДн, их актуализации, удаления, уничтожения может быть направлен Субъектом персональных данных в порядке, предусмотренном в п. 1.5. настоящей Политики.

2.5.2. Компания уничтожает ПДн или обеспечивает их уничтожение, если Обработка персональных данных осуществляется другим лицом, действующим по поручению Компании:

• в случае отзыва Субъектом персональных данных согласия на обработку его ПДн в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва, если иной срок не установлен договором, иным соглашением, федеральным законодательством, и при отсутствии иных правовых оснований Обработки персональных данных;
• в случае достижения цели Обработки персональных данных в срок, не превышающий 30 (тридцати) дней с даты достижения цели, если иной срок не установлен договором, иным соглашением, федеральным законодательством, и при отсутствии иных правовых оснований Обработки персональных данных;
• в случае представления Субъектом персональных данных, его представителем сведений, подтверждающих, что такие ПДн являются незаконно полученными или не являются необходимыми для заявленной цели обработки, в срок, не превышающий 7 (семи) рабочих дней со дня представления таких сведений;
• в случае, если невозможно обеспечить правомерность обработки ПДн, в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки ПДн;
• Порядок уничтожения ПД, в том числе хранящихся в информационных системах персональных данных, определяется Компанией в локальных нормативных актах.

3.1. Настоящая Политика подлежит актуализации в сроки и порядке, установленными в локальных нормативных актах Компании, а также в случае изменения законодательства РФ о персональных данных.

3.2. Ответственный за обработку персональных данных обеспечивает внутренний контроль за соблюдением Компанией и его Сотрудниками законодательства Российской Федерации о персональных данных, в том числе требований к защите персональных данных. В случае выявления нарушений, допущенных при Обработке персональных данных и выявленных в результате внутреннего контроля и аудита соответствия Обработки персональных данных, Ответственный за обработку персональных в случае необходимости:

• организует актуализацию настоящей Политики и иных локальных актов Компании;
• инициирует применение дисциплинарного взыскания к Сотрудникам Компании;
• инициирует применение санкций к лицу, осуществляющему обработку ПДн, по поручению Компании;
• принимает иные меры, направленные на устранение выявленных нарушений.

3.3. Политика может быть изменена на основании приказа генерального директора или уполномоченного им лица.