РНКО Плати Форма

Политика обработки персональных данных

Общество с ограниченной ответственностью расчетная небанковская кредитная организация «Плат Форма»

УТВЕРЖДЕНО: Решением Совета директоров Протокол № 12 от «24» августа 2026 г.

ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ В ООО РНКО «Плат Форма»

город Москва 2026 год

1. Общие положения

1.1. Настоящий документ определяет политику в отношении обработки персональных данных ООО РНКО «Плат Форма» (далее — «Оператор» или «РНКО») и регламентирует организацию деятельности Оператора в отношении обработки персональных данных, цели и принципы обработки персональных данных Оператором.

1.2. Политика в отношении обработки персональных данных в ООО РНКО «Плат Форма» (далее – Политика) определяет основные права и обязанности Оператора и субъектов персональных данных, цели обработки персональных данных, правовые основания обработки персональных данных, категории обрабатываемых персональных данных, категории субъектов персональных данных, порядок и условия обработки персональных данных, а также меры по обеспечению безопасности персональных данных при их обработке, применяемые Оператором.

1.3. Политика устанавливает:

  • основные права и обязанности оператора и субъекта (-ов) персональных данных;
  • цели обработки персональных данных;
  • классификацию персональных данных и Субъектов персональных данных;
  • общие принципы обработки персональных данных;
  • основных участников системы управления процессом обработки персональных данных;
  • основные подходы к системе управления процессом обработки персональных данных.

2. Термины и определения

Автоматизированная обработка ПДн - обработка персональных данных с помощью средств вычислительной техники.

Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Информационная система персональных данных (ИСПДн) - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение; использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Оператор – Общество с ограниченной ответственностью расчётная небанковская кредитная организация «Плат Форма» (ООО РНКО «Плат Форма») - юридическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели такой обработки, состав персональных данных, подлежащих обработке, и действия (операции), совершаемые с ними. ООО РНКО «Плат Форма» зарегистрировано в реестре операторов по обработке персональных данных Роскомнадзора под № 77-26-558714.

Персональные данные (ПДн) - любая информация, относящаяся прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).

Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Субъекты ПДн - физические лица, прямо или косвенно определенные или определяемые на основании относящихся к ним ПДн.

Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Уполномоченный орган – Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) — уполномоченный федеральный орган исполнительной власти по защите прав субъектов персональных данных, осуществляющий контроль и надзор за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных.

Файлы Cookie - временные файлы, хранящиеся в браузере, используются веб-серверами для идентификации субъекта персональных данных (пользователя сайта) и хранения данных о нем, содержащие в себе разную информацию о действиях субъекта персональных данных (пользователя сайта) на том или ином сайте.

3. Правовые основания обработки персональных данных

Правовым основанием обработки персональных данных является совокупность правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку персональных данных в целях, предусмотренных разделом 5 настоящей Политики:

  • Конституция Российской Федерации;
  • Гражданский кодекс Российской Федерации;
  • Трудовой кодекс Российской Федерации;
  • Налоговый кодекс Российской Федерации;
  • Федеральный закон Российской Федерации от 02.12.1990 № 395-1 «О банках и банковской деятельности»;
  • Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - Федеральный закон № 152-ФЗ);
  • Федеральный закон Российской Федерации от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системах обязательного пенсионного страхования и обязательного социального страхования»;
  • Федеральный закон Российской Федерации от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма»;
  • Федеральный закон Российской Федерации от 10.12.2003 № 173-ФЗ «О валютном регулировании и валютном контроле»;
  • Федеральный закон Российской Федерации от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации»;
  • Федеральный закон Российской Федерации от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
  • Указ Президента Российской Федерации от 06.03.1997 № 188 «Об утверждении перечня сведений конфиденциального характера»;
  • Постановление Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
  • Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» (далее – Постановление Правительства РФ № 1119);
  • Стандарты Банка России по обеспечению информационной безопасности организаций банковской системы Российской Федерации (СТО БР ИББС - 1.0-2014);
  • регламентирующие документы ФСТЭК и ФСБ России об обеспечении безопасности персональных данных:
    • Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
    • Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Выписка) (утверждена ФСТЭК России 15.02.2008);
    • Приказ ФСБ России от 10.07.2014 № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности»;
  • иные нормативные правовые акты, касающиеся обработки персональных данных (в том числе изданные государственными органами, Банком России, органами местного самоуправления в пределах своих полномочий);
  • иные нормативные правовые акты РНКО (Устав РНКО, договоры между РНКО и Субъектами ПДн, согласие на обработку ПДн Субъекта ПДн и др.).

4. Права и обязанности Субъектов ПДн и Оператора

4.1. Основные права и обязанности Субъектов ПДн

4.1.1. Для своевременной и полной реализации своих прав Субъект ПДн обязан предоставить Оператору достоверные персональные данные, а также своевременно информировать РНКО об изменении таких данных, если это необходимо для исполнения договора или соблюдения требований законодательства Российской Федерации.

4.1.2. Субъект ПДн принимает решение о предоставлении своих персональных данных и даёт согласие на их обработку свободно, своей волей и в своём интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть предоставлено Субъектом ПДн либо его уполномоченным представителем в любой форме, позволяющей подтвердить факт его получения, если иной порядок не установлен Федеральным законом № 152-ФЗ. Согласие на обработку персональных данных оформляется в виде отдельного документа, не включенного в состав иных документов, которые подтверждает и (или) подписывает субъект персональных данных.

В случае получения согласия на обработку персональных данных от представителя Субъекта ПДн РНКО проверяет полномочия данного представителя на дачу такого согласия от имени Субъекта ПДн.

Обязанность предоставления доказательств получения согласия Субъекта ПДн на обработку его персональных данных или доказательство наличия оснований, указанных в Федеральном законе № 152-ФЗ, возлагается на Оператора.

РНКО не требует согласия на обработку ПДн, когда обработка допускается без согласия на основаниях, установленных законодательством Российской Федерации.

4.1.3. Субъект ПДн имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

  1. подтверждение факта обработки персональных данных Оператором;
  2. правовые основания и цели обработки персональных данных;
  3. цели и применяемые Оператором способы обработки персональных данных;
  4. наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании Федерального закона № 152-ФЗ;
  5. обрабатываемые персональные данные, относящиеся к соответствующему Субъекту ПДн, источник их получения, если иной порядок представления таких данных не предусмотрен Федеральным законом № 152-ФЗ;
  6. сроки обработки персональных данных, в том числе сроки их хранения;
  7. порядок осуществления Субъектом ПДн прав, предусмотренных Федеральным законом № 152-ФЗ;
  8. информацию об осуществленной или о предполагаемой трансграничной передаче данных;
  9. наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
  10. иные сведения, предусмотренные Федеральным законом № 152-ФЗ, за исключением случаев, когда доступ Субъектов ПДн к его ПДн нарушает права и законные интересы третьих лиц.

4.1.4. Субъект ПДн вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

4.1.5. Запрещается принятие решений, порождающих юридические последствия в отношении Субъекта ПДн или иным образом затрагивающих его права и законные интересы, на основании исключительно, Автоматизированной обработки ПДн, за исключением случаев, прямо предусмотренных Федеральным законом № 152-ФЗ.

4.1.6. Субъект ПДн вправе отозвать согласие на обработку персональных данных путем направления соответствующего письменного запроса РНКО посредством почтовой связи либо при личном обращении в офис РНКО. В запросе должны быть указаны фамилия, имя, отчество (при наличии), данные документа, удостоверяющего личность, а также конкретизированы сведения, в отношении которых отзывается согласие. РНКО обязан зафиксировать дату поступления запроса и обеспечить его рассмотрение в течение 10 (десяти) рабочих дней.

4.1.7. Если Субъект ПДн считает, что Оператор осуществляет обработку его персональных данных с нарушением требований Федерального закона № 152-ФЗ либо иным образом нарушает его права и свободы, Субъект ПДн вправе обжаловать действия или бездействие Оператора в Уполномоченном органе или в судебном порядке.

4.1.8. Субъект ПДн имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

4.1.9. Иные права и обязанности Субъектов ПДн, предусмотренные действующим законодательством Российской Федерации.

4.2. Основные права и обязанности Оператора

4.2.1. Оператор должен осуществлять обработку персональных данных с соблюдением принципов и правил, предусмотренных Федеральным законом № 152-ФЗ.

4.2.2. Оператор вправе поручить обработку персональных данных другому лицу с согласия Субъекта ПДн, при наличии правового основания, предусмотренного статьей 6 Федерального закона № 152-ФЗ, на основании договора поручения, обработки в том числе государственного или муниципального контракта, либо путем принятия государственным органом или муниципальным органом соответствующего акта (далее – поручение оператора). В поручении оператора должны быть определены: перечень ПДн, перечень действий (операций) с данными, цели обработки, обязанность лица соблюдать конфиденциальность данных, а также требования, предусмотренные ч. 5 ст. 18 и ст. 18.1 Федерального закона № 152-ФЗ. Лицо, осуществляющее обработку по поручению оператора, не обязано получать отдельное согласие Субъекта ПДн на обработку его ПДн. В случае поручения обработки Оператор несет ответственность перед Субъектом ПДн за действия указанного лица, а лицо, осуществляющее обработку по поручению, — ответственность перед оператором. Если Оператор поручает обработку иностранному физическому или юридическому лицу, ответственность перед субъектом персональных данных несут совместно и Оператор, и лицо, осуществляющее обработку по его поручению.

4.2.3. РНКО осуществляет обработку ПДн только при наличии одного из оснований, предусмотренных статьями 6, 10 и 11 Федерального закона № 152-ФЗ и иными применимыми федеральными законами с соблюдением требований конфиденциальности ПДн, а также принятием мер, направленных на обеспечение выполнения обязанностей по обработке и защите ПДн, установленных законодательством Российской Федерации.

4.2.4. Оператор обязан предоставить сведения, указанные в пункте 4.1.3 настоящей Политики, Субъекту ПДн или его представителю при обращении либо при получении запроса Субъекта ПДн или его представителя.

4.2.5. Оператор обязан принимать правовые, организационные, технические и иные меры по обеспечению безопасности ПДн при их обработке, предусмотренные действующим законодательством Российской Федерации в области ПДн.

4.2.6. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.

4.2.7. Оператор обязан устранять нарушения законодательства РФ в области обработки ПДн, допущенные при обработке персональных данных, по уточнению, блокированию и уничтожению персональных данных.

5. Цели сбора и обработки персональных данных

5.1. Обработка ПДн Оператором ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

5.2. Обработка ПДн Субъектов ПДн осуществляется Оператором в целях:

5.2.1. Обеспечения кадровой работы Оператора, ведения кадрового делопроизводства в целях обеспечения соблюдения законов и иных нормативных правовых актов, оформления и регулирования трудовых и иных связанных с ними отношений, корпоративных отношений, расчета и выдачи заработной платы или других доходов, налоговых и пенсионных отчислений, ведения бухгалтерского учета, заполнения и передачи в уполномоченные органы форм отчетности, в том числе для предоставления Банку России, получении образования и продвижении по службе, заключения договора добровольного страхования в пользу работников, обеспечения их личной безопасности, контроля количества и качества выполняемой работы, обеспечения сохранности их имущества и имущества Оператора, привлечения и отбора кандидатов на работу, согласования на должности в исполнительные и коллегиальные органы.

5.2.2. Осуществления банковских операций, операций по переводу денежных средств без открытия банковских счетов, оказание консультационных и информационных услуг и иных видов деятельности не запрещенных для осуществления в соответствии с Уставом Оператора, в том числе регистрации сведений, необходимых для осуществления банковских операций и иных сделок, предусмотренных Уставом, лицензией Оператора, действующим законодательством Российской Федерации, нормативными актами Банка России, внутренними нормативными документами Оператора, противодействия легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма в соответствии с законодательством Российской Федерации в области персональных данных, осуществления гражданско-правовых отношений, в том числе заключения, исполнения и прекращения гражданско-правовых договоров в случаях; предусмотренных действующим законодательством Российской Федерации и Уставом.

5.2.3. Оформление пропусков, допуск посетителей на территорию РНКО, обеспечение безопасности имущества и работников РНКО.

6. Классификация обрабатываемых персональных данных и Субъектов ПДн

6.1. К персональным данным относится любая информация, относящаяся к прямо или косвенно определенному, или определяемому Субъекту ПДн, обрабатываемая Оператором для достижения заранее определенных целей.

6.2. Оператор не осуществляет обработку специальных категорий персональных данных, касающихся расовой и национальной принадлежности, политических взглядов; религиозных и философских убеждений, интимной жизни, судимости физических лиц, если иное не установлено законодательством Российской Федерации.

6.3. Оператор осуществляет обработку персональных данных следующих категорий Субъектов ПДн:

  • работники, уволенные работники, кандидаты на вакантные должности, а также родственники работников и кандидатов;
  • участники (представители участников) Оператора, лица, входящие в органы управления Оператора, аффилированные лица и лица, относящимся к группе лиц, к которой принадлежит Оператор, контролирующие лица, представители, действующие на основании доверенности или договора, представители в соответствии с требованиями применимого законодательства РФ (адвокат; арбитражный управляющий и пр.), родственники указанных лиц;
  • клиенты и контрагенты Оператора, представители/работники клиентов и контрагентов, посетители сайта Оператора;
  • физические лица, не относящиеся к клиентам Оператора, заключившие или намеревающиеся заключить с Оператором договорные отношения в связи с осуществлением Оператором административно-хозяйственной деятельности при условии, что их персональные данные включены в автоматизированные системы Оператора и обрабатываются в соответствии с законодательством РФ в области персональных данных;
  • физические лица, персональные данные которых сделаны ими общедоступными, а их обработка не нарушает их прав и соответствует требованиям, установленным законодательством РФ в области персональных данных;
  • иные физические лица, выразившие согласие на обработку Оператором их персональных данных или физические лица, обработка персональных данных которых необходима Оператору для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей. Содержание и объем обрабатываемых персональных данных определяются целями их обработки, приведенными в разделе 5 настоящей Политики, и указываются в согласии Субъекта ПДн на обработку его персональных данных, за исключением случаев, когда обработка персональных данных может осуществляться без получения такого согласия;
  • обработка персональных данных, избыточных по отношению к заявленной цели их обработки, не допускается.

7. Политика в отношении использования файлов «COOKIE»

7.1. Файлы «cookie» - файлы или фрагменты информации о пользователях сайта Оператора, мобильных приложений Оператора, которые могут быть сохранены. В данном типе файла может храниться различная информация, такая как тип браузера, используемая операционная система, языковые настройки или другие персональные настройки страницы, данные об использовании сайта, или данные входа в систему. Как правило, файлы «cookie» не используются для сбора данных, которые позволяют непосредственно идентифицировать физическое лицо. Однако информация, получаемая посредством файлов «cookie», может быть соотнесена с физическим лицом в момент предоставления персональной информации такого физического лица в сочетании с такой информацией как адрес электронной почты.

7.2. Выбор состава файлов «cookie» для обработки зависит от используемого браузера и устройства. Файлы «cookie» Оператором могут использоваться для:

  • предоставления информации об Операторе, его продуктах и услугах;
  • усовершенствования продуктов и (или) услуг Оператора и для разработки новых продуктов и (или) услуг Оператора;
  • ведения статистики о пользователях;
  • хранения персональных предпочтений и настроек пользователей;
  • отслеживания состояния сессии доступа пользователей;
  • обеспечения функционирования и улучшения качества сайта Оператора;
  • использования интернет-форм на сайте Оператора;
  • предоставления дистанционного банковского обслуживания;
  • формирования списка интересов, демонстрации пользователю интернет-контента.

7.3. При первом посещении сайта Оператора во всплывающем окне (либо с помощью другого технического решения) может быть предложено выбрать типы файлов cookie, которые будут записаны на вашем устройстве. При этом технические файлы «cookie» устанавливаются автоматически при загрузке страницы, если иное не указано в настройках браузера. Если Субъект ПДн одобрил использование файлов «cookie», но потом изменил решение, то может сделать это самостоятельно удалив сохраненные файлы в браузере.

7.4. Обрабатываемые файлы «cookie» уничтожаются, либо обезличиваются по достижении указанных выше целей обработки или в случае утраты необходимости в достижении этих целей.

8. Порядок и условия обработки персональных данных

8.1. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных Субъектов ПДн. Каждая операция с ПДн осуществляется только в объёме, необходимом для конкретной цели и при наличии правового основания.

8.2. Обработка персональных данных, предоставленных Субъектами ПДн, осуществляется Оператором следующими способами: способом смешанной (автоматизированной, неавтоматизированной) обработки (на бумажных, на электронных носителях информации и в информационных системах персональных данных), с передачей по внутренней сети Оператора, с передачей по сети общего пользования Интернет.

8.3. Условием прекращения обработки Оператором персональных данных являются следующие основания:

  • достижение целей обработки ПДн;
  • истечение срока действия согласия субъекта ПДн на обработку его ПДн;
  • отзыв согласия субъекта ПДн на обработку его ПДн;
  • обращение Субъекта ПДн к оператору с требованием о прекращении обработки ПДн;
  • выявление неправомерной обработки ПДн;
  • прекращение деятельности РНКО при отсутствии правопреемника и при отсутствии иных законных оснований хранения ПДн.

8.4. Хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн не дольше, чем этого требуют цели обработки ПДн, кроме случаев, когда срок хранения ПДн установлен законодательством Российской Федерации, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПДн. Обрабатываемые ПДн подлежат уничтожению по достижению целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством Российской Федерации.

8.5. Сроки обработки персональных данных определяются:

  • сроком действия договора с Субъектом ПДн;
  • сроком действия согласия Субъекта ПДн на обработку персональных данных;
  • требованиями Трудового кодекса Российской Федерации;
  • перечнем документов, образующихся в процессе деятельности кредитных организаций, с указанием сроков их хранения, утвержденному совместным актом Росархива и Банка России (Положение Росархива № 1, Банка России от 12.07.2022 № 801-П «Об утверждении Перечня документов, образующихся в процессе деятельности кредитных организаций, с указанием сроков их хранения»).

8.6. Базы данных, используемые Оператором при осуществлении хранения персональных данных, находятся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Федерального закона № 152-ФЗ.

8.7. Обработка персональных данных Оператором, осуществляемая без использования средств автоматизации, осуществляется таким образом, что в отношении каждой категории субъектов персональных данных определены внутренними документами Оператора места хранения персональных данных (бумажные носителей) и установлен перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ, обеспечено раздельное хранение персональных данных (бумажных носителей), обработка которых осуществляется в различных целях, а также при хранении материальных носителей соблюдены условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, установлены Оператором.

8.8. Оператор не предоставляет и не раскрывает персональные данные Субъектов ПДн третьим лицам без согласия Субъекта ПДн, за исключением случаев, предусмотренных федеральными законами, а также случаев, необходимых для предотвращения угрозы жизни и здоровью Субъекта ПДн.

При передаче персональных данных третьим лицам обязательным условием является включение в договор с таким лицом положений об обеспечении конфиденциальности и безопасности персональных данных при их обработке, а также о соблюдении требований Федерального закона № 152-ФЗ.

8.9. Оператор передает обрабатываемые ПДн в органы государственной власти (в том числе, органы дознания и следствия, иные уполномоченные органы), которые получают доступ к ПДн, обрабатываемым Оператором, в порядке, установленном законодательством Российской Федерации.

8.10. Оператор осуществляет обработку ПДн на основе общих принципов:

  • законности заранее определенных конкретных целей и способов обработки ПДн;
  • обеспечения надлежащей защиты персональных данных;
  • соответствия целей обработки ПДн целям, заранее определенным и заявленным при сборе персональных данных;
  • соответствия объема, характера и способов обработки персональных данных целям обработки персональных данных;
  • обеспечение точности персональных данных, их достаточности и в необходимых случаях актуальности по отношению к целям обработки персональных данных, а также принятие необходимых мер по уничтожению или уточнению неполных или неточных персональных данных;
  • недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
  • хранения персональных данных в форме, позволяющей определить Субъекта ПДн, не дольше, чем этого требуют цели их обработки;
  • уничтожения или обезличивания персональных данных по достижении целей их обработки, если срок хранения персональных данных не установлен законодательством Российской Федерации, договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект ПДн;
  • обеспечения конфиденциальности и безопасности обрабатываемых персональных данных.

8.11. Оператором принимаются следующие меры, необходимые и достаточные для обеспечения выполнения обязанностей Оператора, предусмотренных законодательством Российской Федерации о персональных данных:

8.11.1. Определяет цели обработки ПДн и перечень ПДн;

8.11.2. Назначено лицо, ответственное за организацию обработки персональных данных (далее – Ответственное лицо);

8.11.3. Разрабатывает, утверждает и принимает к исполнению внутренние документы, определяющие политику и вопросы обработки и защиты ПДн Оператором, а также устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений;

8.11.4. Применяет правовые, организационные, технические и иные меры по обеспечению безопасности ПДн при их обработке, предусмотренные действующим законодательством Российской Федерации в области ПДн;

8.11.5. Прекращает обработку и уничтожает ПДн в случаях, предусмотренных законодательством РФ в области ПДн;

8.11.6. Организует и проводит ознакомление работников, непосредственно осуществляющих обработку ПДн, с положениями действующего законодательства Российской Федерации в области ПДн, внутренними нормативными документами Оператора;

8.11.7. При обращении либо получении запроса субъекта ПДн или его законного представителя на доступ к ПДн Оператор предоставляет ему сведения, указанные в п. 4.1.3. настоящей Политики, в доступной форме, не раскрывая при этом ПДн, относящихся к другим Субъектам ПДн, за исключением случаев наличия законного обоснования;

8.11.8. Проведена оценка вреда, который может быть причинен Субъектам ПДн в случае нарушения Федерального закона № 152-ФЗ, соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом № 152-ФЗ;

8.11.9. Осуществляется внутренний контроль соответствия обработки персональных данных требованиям нормативных актов с целью выявления нарушений установленных процедур по обработке персональных данных и устранение последствий таких нарушений;

8.11.10. иные действия, предусмотренные законодательством РФ в области ПДн.

8.12. Оператором принимаются следующие меры по обеспечению безопасности персональных данных при их обработке:

8.12.1. Обеспечение безопасности персональных данных достигается Оператором, в частности:

  1. определением угроз безопасности персональных данных при их обработке в ИСПДн;
  2. применением организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
  3. применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
  4. оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию ИСПДн;
  5. учетом машинных носителей персональных данных;
  6. обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
  7. восстановлением ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
  8. установлением правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечением регистрации и учета всех действий, совершаемых с ПДн в ИСПДн;
  9. контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности ИСПДн.

8.12.2. Выбор средств защиты информации для системы защиты ПДн осуществляется Оператором в соответствии с нормативными правовыми актами, принятыми Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю во исполнение ч. 4 ст. 19 Федерального закона № 152-ФЗ.

8.12.3. Для обеспечения безопасности персональных данных Субъектов ПДн при неавтоматизированной обработке предпринимаются следующие меры:

  1. определяются места хранения ПДн, которые выполняют условия, обеспечивающие сохранность ПДн, и исключают несанкционированный доступ к ним;
  2. все действия при неавтоматизированной обработке ПДн осуществляются только должностными лицами Оператора, и только в объеме, необходимом данным лицам для выполнения своей трудовой функции;
  3. обработка персональных данных осуществляется с соблюдением порядка, предусмотренного постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

8.12.4. Для обеспечения безопасности персональных данных Субъектов ПДн при автоматизированной обработке предпринимаются следующие меры:

  1. все действия при автоматизированной обработке персональных данных осуществляются только должностными лицами Оператора, и только в объеме, необходимом данным лицам для выполнения своей трудовой функции;
  2. персональные компьютеры, имеющие доступ к базам хранения персональных данных, защищены паролями доступа. Пароли устанавливаются администратором информационной безопасности и сообщаются индивидуально работнику, допущенному к работе с персональными данными и осуществляющему обработку персональных данных на данном персональном компьютере;
  3. иные меры, предусмотренные Политикой информационной безопасности ООО РНКО «Плат Форма» при обработке персональных данных в информационных системах;
  4. обработка персональных данных осуществляется с соблюдением требований, предусмотренных Постановлением Правительства РФ № 1119.

9. Трансграничная передача персональных данных

9.1. Оператор осуществляет трансграничную передачу ПДн в соответствии с требованиями Федерального закона № 152-ФЗ.

9.2. До начала осуществления трансграничной передачи ПДн Оператор обязан уведомить Уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять такую передачу.

Уведомление направляется в форме документа на бумажном носителе либо в форме электронного документа, подписанного уполномоченным лицом. Содержание уведомления должно соответствовать перечню сведений, установленному Федеральным законом № 152-ФЗ.

Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 № 180. Направление уведомления осуществляется Ответственным лицом.

Сведения, подлежащие включению в уведомление, предоставляются Ответственному лицу, подразделениями Оператора, инициирующими трансграничную передачу ПДн.

9.3. Оператор направляет уведомление в Уполномоченный орган единожды в отношении каждой страны, на территорию которой планируется трансграничная передача ПДн. При этом сведения от органов власти иностранного государства, иностранных физических и юридических лиц, которым предполагается осуществлять передачу ПДн, запрашиваются в отношении каждого Субъекта ПДн.

9.4. До начала осуществления трансграничной передачи ПДн Оператор проводит оценку вреда (риска), который может быть причинён Субъектам ПДн в случае неправомерного распространения (доступа, утечки) их персональных данных. При этом Оператор оценивает соотношение указанного вреда (уровня риска) и принимаемых им мер по обеспечению соблюдения обязанностей, предусмотренных Федеральным законом № 152-ФЗ.

9.5. Оператор до подачи уведомления, предусмотренного п. 9.3. настоящего Политики, обязан получить от органов власти иностранного государства, иностранных физических лиц, иностранных юридических лиц, которым планируется трансграничная передача ПДн, следующие сведения:

  1. сведения о принимаемых органами власти иностранного государства, иностранными физическими лицами, иностранными юридическими лицами, которым планируется трансграничная передача ПДн, мерах по защите передаваемых ПДн и об условиях прекращения их обработки;
  2. информацию о правовом регулировании в области ПДн иностранного государства, под юрисдикцией которого находятся органы власти иностранного государства, иностранные физические лица, иностранные юридические лица, которым планируется трансграничная передача ПДн (в случае, если предполагается осуществление трансграничной передачи ПДн органам власти иностранного государства, иностранным физическим лицам, иностранным юридическим лицам, находящимся под юрисдикцией иностранного государства, не являющегося стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке ПДн и не включенного в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПДн);
  3. сведения об органах власти иностранного государства, иностранных физических лицах, иностранных юридических лицах, которым планируется трансграничная передача ПДн (наименование либо фамилия, имя и отчество, а также номера контактных телефонов, почтовые адреса и адреса электронной почты).

Ответственность за получение вышеперечисленных сведений и дальнейшую передачу (по корпоративной электронной почте или на бумажном носителе) их в ДИБ возлагается на подразделения, инициирующие осуществление трансграничной передачи ПДн. Мероприятия, указанные в настоящем пункте, осуществляются до начала трансграничной передачи ПДн.

9.6. Оператор вправе начать трансграничную передачу ПДн только после получения подразделением, инициирующим осуществление трансграничной передачи ПДн, от ДИБ подтверждения по электронной почте о том, что:

  • сведения, необходимые для оценки безопасности передачи, получены в достаточном объёме;
  • уведомление в уполномоченный орган по защите прав субъектов персональных данных направлено.

Результат оценки соблюдения лицами, которым планируется трансграничная передача ПДн, требований к конфиденциальности и обеспечению безопасности ПДн при их обработке, фиксируется ДИБ.

9.7. После направления уведомления в соответствии с Федеральным законом № 152-ФЗ, Оператор вправе осуществлять трансграничную передачу ПДн на территории указанных в таком уведомлении иностранных государств, являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке ПДн или включенных в перечень иностранных государств, обеспечивающих адекватную защиту прав Субъектов ПДн, до принятия решения Уполномоченным органом о запрещении или об ограничении трансграничной передачи ПДн. Сроки и условия принятия решения о запрещении или об ограничении трансграничной передачи ПДн определены в Федеральном законе № 152-ФЗ.

9.8. Оператор не вправе осуществлять трансграничную передачу ПДн на территории указанных в уведомлении иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке ПДн и не включенных в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПДн, до принятия решения Уполномоченным органом о запрете или об ограничении трансграничной передачи ПДн, которое принимается последним в течение 10 (десяти) рабочих дней.

9.9. В случае принятия Уполномоченным органом решения о запрете или об ограничении трансграничной передачи ПДн Оператор обязан обеспечить уничтожение органом власти иностранного государства, иностранным физическим лицом, иностранным юридическим лицом ранее переданных им ПДн. Ответственность за обеспечение уничтожения ПДн возлагается на подразделения Оператора, инициирующие осуществление трансграничной передачи ПДн. Если уничтожение происходит в случаях, предусмотренных ст. 21 Федерального закона № 152-ФЗ необходимо соблюдать требования, утвержденные Приказом Роскомнадзора от 28.10.2022 № 179 (ч. 7 ст. 5, ч. 7 ст. 21 Федерального закона № 152-ФЗ).

10. Передача персональных данных третьим лицам

10.1. Персональные данные не распространяются (не раскрываются) третьим лицам без согласия Субъекта ПДн, если иное не предусмотрено законодательством Российской Федерации. При раскрытии (предоставлении) ПДн третьим лицам соблюдаются требования к защите обрабатываемых ПДн. Передача ПДн Субъекта ПДн в коммерческих целях без его письменного согласия исключается.

10.2. Третьи лица, до получения ПДн клиента, обязаны подписать с Оператором соглашение о неразглашении конфиденциальной информации, за исключением случаев, установленных законодательством Российской Федерации.

10.3. Лица, получившие доступ к ПДн Субъекта ПДн, должны быть предупреждены о том, что эти данные могут быть использованы лишь в целях, для которых они переданы, и обязаны соблюдать это правило. Лица, получившие ПДн, обязаны соблюдать режим конфиденциальности.

10.4. Порядок передачи документов, содержащих ПДн третьим лицам, должен осуществляться в соответствии с Положением о конфиденциальной информации ООО РНКО «Плат Форма».

10.5. Персональные данные соискателей и контрагентов третьим лицам не передаются.

10.6. Персональные данные работников передаются в государственные контролирующие органы (ФНС, СФР и др.) в соответствии с законодательством РФ, а также в рамках зарплатного проекта в кредитную организацию, добровольного медицинского страхования. Передача ПДн в финансовую организацию производится с информированного и осознанного согласия работника. В соглашении между РНКО и финансовой организацией должна быть предусмотрена обязанность третьего лица обеспечения конфиденциальности полученной от Оператора информации, в том числе и ПДн.

11. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным

11.1. В случае выявления неправомерной обработки ПДн при обращении Субъекта ПДн или его представителя либо по запросу Субъекта ПДн или его представителя либо Уполномоченного органа Оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому Субъекту ПДн, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении Субъекта ПДн или его представителя либо по их запросу или по запросу Уполномоченного органа Оператор обязан осуществить блокирование персональных данных, относящихся к этому Субъекту ПДн, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы Субъекта ПДн или третьих лиц.

11.2. В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных Субъектом ПДн или его представителем либо Уполномоченным органом, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в течение 7 (семи) рабочих дней со дня представления таких сведений и снять блокирование персональных данных.

11.3. В случае выявления неправомерной обработки персональных данных, осуществляемой Оператором или лицом, действующим по поручению Оператора, Оператор в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению Оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, Оператор в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных Оператор обязан уведомить Субъекта ПДн или его представителя, а в случае, если обращение Субъекта ПДн или его представителя либо запрос Уполномоченного органа были направлены Уполномоченным органом, также указанный орган.

11.4. В случае достижения цели обработки персональных данных Оператор обязан прекратить обработку персональных данных или обеспечить ее прекращение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) в срок, не превышающий 30 (тридцати) календарных дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПДн, иным соглашением между Оператором и Субъектом ПДн либо если Оператор не вправе осуществлять обработку персональных данных без согласия Субъекта ПДн на основаниях, предусмотренных законодательством РФ в области ПДн.

11.5. В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в пп. 9.3-9.4 настоящей Политики, Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и обеспечивает уничтожение персональных данных в срок непревышающий 6 (шесть) календарных месяцев, если иной срок не установлен законодательством РФ в области ПДн.

11.6. Оператор обязан сообщить Субъекту ПДн или его представителю информацию о наличии персональных данных, относящихся к соответствующему Субъекту ПДн, а также предоставить возможность ознакомления с этими персональными данными при обращении Субъекта ПДн или его представителя в течение 10 (десяти) рабочих дней с момента обращения либо получения запроса Субъекта ПДн или его представителя. Данный срок может быть продлен, но не более чем на 5 (пять) рабочих дней. Для этого Оператор направляет Субъекту ПДн мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации. Сведения, указанные в пункте 4.1.3 настоящей Политики, должны быть предоставлены Субъекту ПДн Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим Субъектам ПДн, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.

11.7. Сведения, указанные в пункте 4.1.3 настоящей Политики, предоставляются Субъекту ПДн или его представителю Оператором при обращении либо при получении запроса Субъекта ПДн или его представителя. Запрос должен содержать номер основного документа, удостоверяющего личность Субъекта ПДн или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие Субъекта ПДн в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись Субъекта ПДн или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

11.8. Субъект ПДн вправе направить повторный запрос о предоставлении сведений, указанных в пункте 4.1.3 настоящей Политики, и об ознакомлении с обрабатываемыми персональными данными не ранее чем через 30 (тридцать) календарных дней после первоначального обращения (запроса), за исключением случаев, когда более короткий срок установлен законодательством РФ, принятым в соответствии с ним нормативным правовым актом либо договором, стороной, выгодоприобретателем или поручителем по которому является Субъект ПДн.

11.9. Субъект ПДн вправе обратиться повторно к Оператору или направить ему повторный запрос в целях получения сведений, указанных в пункте 4.1.3 настоящей Политики, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в пункте 9.8 настоящей Политики, в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду со сведениями, указанными в пункте 9.8 настоящей Политики, должен содержать обоснование направления повторного запроса.

11.10. Оператор вправе отказать Субъекту ПДн в выполнении повторного запроса, не соответствующего условиям, предусмотренным пунктами 9.8 и п. 9.9. настоящей Политики. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Операторе.

11.11. Право Субъекта ПДн на доступ к его персональным данным может быть ограничено в соответствии с законодательством РФ в области ПДн, а также в случаях, предусмотренных Федеральным законом № 152-ФЗ.

11.12. В случае отказа в предоставлении Субъекту ПДн или его представителю информации о наличии персональных данных либо самих персональных данных при обращении или получении соответствующего запроса Оператор обязан направить мотивированный письменный ответ с указанием положений ч. 8 ст. 14 Федерального закона № 152-ФЗ либо иного федерального закона, являющихся основанием для отказа. Срок направления ответа — не более 30 (тридцати) календарных дней со дня обращения Субъекта ПДн или его представителя либо с даты получения соответствующего запроса.

11.13. Оператор обязан безвозмездно предоставить Субъекту ПДн или его представителю возможность ознакомления с персональными данными, относящимися к этому Субъекту ПДн.

В случае представления Субъектом ПДн или его представителем сведений, подтверждающих неполноту, неточность или неактуальность персональных данных, Оператор обязан внести в них необходимые изменения в срок не более 7 (семи) рабочих дней со дня представления таких сведений.

В случае представления Субъектом ПДн или его представителем сведений, подтверждающих, что персональные данные получены незаконно либо не являются необходимыми для заявленной цели обработки, Оператор обязан уничтожить такие персональные данные в срок не более 7 (семи) рабочих дней со дня представления указанных сведений.

Оператор обязан уведомить Субъекта ПДн или его представителя о внесённых изменениях либо об уничтожении персональных данных, а также принять разумные меры для уведомления третьих лиц, которым ранее были переданы персональные данные этого Субъекта ПДн.

11.14. Оператор обязан предоставить Уполномоченному органу по его запросу необходимую информацию в течение 10 (десяти) рабочих дней со дня получения такого запроса.

Указанный срок может быть продлён не более чем на 5 (пять) рабочих дней при условии направления Оператором в адрес Уполномоченного органа мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

11.15. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, предоставления доступа) персональных данных, повлекшей нарушение прав Субъектов ПДн, Оператор обязан с момента выявления такого инцидента Оператором, Уполномоченным органом или иным заинтересованным лицом уведомить Уполномоченный орган:

  1. в течение 24 (двадцати четырех) часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав Субъектов ПДн, и предполагаемом вреде, нанесенном правам Субъектов ПДн, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном Оператором на взаимодействие с Уполномоченным органом, по вопросам, связанным с выявленным инцидентом;
  2. в течение 72 (семидесяти двух) часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

12. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных субъектов персональных данных

12.1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, несут ответственность в соответствии с законодательством Российской Федерации.

12.2. Должностные лица Оператора, допущенные к обработке персональных данных, несут персональную ответственность в соответствии с законодательством Российской Федерации за разглашение информации, полученной в ходе исполнения трудовых обязанностей.

12.3. Моральный вред, причинённый Субъекту ПДн вследствие нарушения его прав, несоблюдения правил обработки персональных данных, установленных Федеральным законом № 152-ФЗ, а также требований к защите персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и убытков, понесённых Субъектом ПДн.

12.4. Контроль за исполнением требований настоящей Политики осуществляет Ответственное лицо за организацию обработки персональных данных (п. 8.11.2. настоящей Политики) у Оператора.

13. Заключительные положения

13.1. Иные права и обязанности Оператора в связи с обработкой персональных данных определяются в соответствии с законодательством Российской Федерации в области персональных данных.

13.2. Контроль за исполнением требований настоящей Политики осуществляет Ответственное лицо за организацию обработки персональных данных у Оператора (п. 8.11.2. настоящей Политики).

13.3. Сотрудники Оператора, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном федеральными законами и локальными нормативными актами Оператора.