1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Целью настоящего Положения является определение для каждой цели обработки персональных данных, установленной Политикой в отношении обработки персональных данных в обществе с ограниченной ответственностью «АйЭсТи», утвержденной приказом от 22 октября 2025 г. № 88 (далее – Политика), категории и перечня обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способов, сроков их обработки и хранения, порядка уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований. Настоящее Положение также устанавливает правила обработки персональных данных субъектов персональных данных, персональные данные которых подлежат обработке в обществе с ограниченной ответственностью «АйЭсТи» (далее – ООО «АйЭсТи», Общество).
1.2. Настоящее Положение разработано в соответствии с:
- Трудовым кодексом Российской Федерации;
- Гражданским кодексом Российской Федерации;
- Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
- постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
- приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28.11.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных»;
- приказом Федеральной службы по техническому и экспортному контролю от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
- приказом Генерального директора общества с ограниченной ответственностью «АйЭсТи» от 22.10.2025 № 88 «Об утверждении Политики в отношении обработки персональных данных в обществе с ограниченной ответственностью «АйЭсТи».
1.3. Настоящее Положение распространяется на все процессы, связанные с обработкой и защитой персональных данных в Обществе.
1.4. Настоящее Положение распространяется на всех работников Общества и является обязательным для исполнения.
1.5. Мероприятия по организации обработки персональных данных реализуются отделами Общества по согласованию и под контролем ответственного за организацию обработки персональных данных в Обществе.
1.6. Для целей реализации настоящего Положения используются следующие термины с соответствующими определениями:
- персональные данные – любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных);
- обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
- распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц;
- предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
- блокирование персональных данных – временное прекращение обработки персональных данных;
- уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
- обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
- информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
- конфиденциальность персональных данных – обязательное для соблюдения Обществом или получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.
2. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1. Обработка персональных данных осуществляется в соответствии с целями обработки персональных данных, установленными Политикой.
2.2. Объем обрабатываемых персональных данных, категории субъектов персональных данных в зависимости от целей обработки персональных данных определены в Приложении № 1 к настоящему Положению.
2.3. Обработка персональных данных в Обществе осуществляется с согласия на обработку персональных данных субъекта персональных данных.
- Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.
2.4. Персональные данные субъектов персональных данных, не являющихся работниками Общества, обрабатываются в соответствии с условиями гражданско-правовых договоров и (или) соглашений с физическими и юридическим лицами, индивидуальными предпринимателями и иными лицами (контрагентами).
2.5. Персональные данные предоставляются непосредственно субъектом персональных данных.
- В случае, если персональные данные субъекта персональных данных возможно получить только у третьей стороны, то субъекта персональных данных информируют об этом заранее и от него требуется получение письменного согласия на получение его персональных данных у третьей стороны.
- Общество сообщает субъекту персональных данных о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа работника дать письменное согласие на их получение.
2.6. При обработке персональных данных Общество обеспечивает точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных.
2.7. Обработка персональных данных в Обществе осуществляется с использованием информационных систем персональных данных.
3. ДОСТУП РАБОТНИКОВ К ПЕРСОНАЛЬНЫМ ДАННЫМ
3.1. Перечень работников, осуществляющих обработку персональных данных или имеющих к ним доступ, определяется организационно-распорядительными документами Общества.
3.2. Работники допускаются только к тем персональным данным, которые необходимы им для выполнения своих трудовых функций, определенных в трудовом договоре с работником и в должностной инструкции работника.
3.3. Доступ работников к персональным данным незамедлительно прекращается в случае их исключения из перечня работников, осуществляющих обработку персональных данных или имеющих к ним доступ, либо изменения их трудовой функции на не связанную с обработкой персональных данных.
3.4. Работники, осуществляющие обработку персональных данных, должны быть проинформированы о факте обработки ими персональных данных, обработка которых осуществляется Обществом, категориях обрабатываемых персональных данных, о правилах осуществления такой обработки, установленных действующим законодательством, а также должны быть ознакомлены с организационно-распорядительными документами Общества.
3.5. До предоставления доступа к персональным данным и их обработке работники изучают положения законодательства Российской Федерации о персональных данных, Политику, локальные акты Общества по вопросам обработки персональных данных, правила по использованию информационных систем персональных данных (в случае их применения).
3.6. Работники, осуществляющие обработку персональных данных или имеющие к ним доступ, несут персональную ответственность за соблюдение конфиденциальности персональных данных в пределах их трудовой функции и должностных обязанностей.
3.7. Работники, осуществляющие обработку персональных данных или имеющие к ним доступ, допускаются к персональным данным после подписания обязательства о соблюдении конфиденциальности персональных данных.
- Обязательство о соблюдении конфиденциальности персональных данных должно храниться в личном деле работника.
4. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
4.1. Сбор персональных данных осуществляется путем:
- получения сведений и документов от субъектов персональных данных;
- получения сведений в рамках исполнения гражданско-правовых договоров и соглашений с контрагентами;
- получения сведений из информационных систем персональных данных.
4.2. Персональные данные при их обработке работниками обособляются от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных (далее – материальные носители), в специальных разделах или на полях форм (бланков).
4.3. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки работниками различных категорий персональных данных для каждой категории персональных используется отдельный материальный носитель.
4.4. При использовании типовых форм документов, предполагающих или допускающих включение в них персональных данных (далее – типовая форма), соблюдаются следующие условия:
- типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) содержат сведения о цели обработки персональных данных, имя (наименование) и адрес Общества, фамилию, имя, отчество и адрес субъекта персональных данных, источник получения персональных данных, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых Обществом способов обработки персональных данных;
- типовая форма предусматривает поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, при необходимости получения письменного согласия на обработку персональных данных;
- типовая форма составляется таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;
- типовая форма исключает объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.
4.5. При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных, принимаются следующие меры по обеспечению раздельной обработки персональных данных:
- при необходимости использования или распространения определенных персональных данных отдельно от находящихся на том же материальном носителе других персональных данных осуществляется копирование персональных данных, подлежащих распространению или использованию, способом, исключающим одновременное копирование персональных данных, не подлежащих распространению и использованию, и используется (распространяется) копия персональных данных;
- при необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.
4.6. Обработка персональных данных осуществляется таким образом, что в отношении каждой категории персональных данных можно определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.
4.7. Общество обеспечивает раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.
4.8. При хранении материальных носителей соблюдаются условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.
4.9. Уточнение персональных данных при осуществлении их обработки работником производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, – путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.
4.10. Передача персональных данных субъекта персональных данных третьим лицам осуществляется только с согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных федеральными законами.
4.11. Предоставление доступа работникам сторонних организаций к персональным данным, обрабатываемым Обществом, в том числе в рамках обслуживания информационных систем персональных данных, рассматривается как поручение обработки персональных данных третьей стороне.
- Представители сторонних организаций допускаются к обработке персональных данных на основании заключаемых договоров в соответствии с требованиями, установленными законодательством.
5. СРОКИ ОБРАБОТКИ И ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Сроки обработки и хранения персональных данных определяются в соответствии с законодательством Российской Федерации, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
5.2. Сроки обработки и хранения персональных данных определены в приложении № 1 к настоящему Положению.
5.3. Общество прекращает обработку персональных данных при достижении целей обработки персональных данных, истечении срока действия согласия или отзыве согласия субъекта персональных данных на обработку его персональных данных, а также выявлении неправомерной обработки персональных данных, если иное не предусмотрено федеральным законодательством.
5.4. Контроль за хранением и использованием материальных носителей персональных данных, препятствующий несанкционированному использованию, уточнению, распространению и уничтожению персональных данных, находящихся на этих носителях, осуществляют руководители структурных подразделений Общества.
6. ПОРЯДОК УНИЧТОЖЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Уничтожение персональных данных с истекшими сроками хранения обеспечивается руководителями отделов, в которых осуществляется обработка персональных данных.
6.2. Накапливаемые для уничтожения документы, копии документов, черновики, содержащие персональные данные, хранятся отдельно от других документов.
6.3. В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных обеспечивается блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных с момента такого обращения или получения указанного запроса на период проверки.
- В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных обеспечивается блокирование персональных данных, относящихся к этому субъекту персональных данных с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц. В случае подтверждения факта неточности персональных данных Общество на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов уточняет персональные данные в течение семи рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
6.4. В случае выявления неправомерной обработки персональных данных, осуществляемой Обществом, в срок, не превышающий трех рабочих дней с даты этого выявления, обеспечивается прекращение неправомерной обработки персональных данных. В случае, если обеспечить правомерность обработки персональных данных невозможно, в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, такие персональные данные уничтожаются. Об устранении допущенных нарушений или об уничтожении персональных данных Общество уведомляет субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.
6.5. Уничтожение персональных данных производится в следующие сроки, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Обществом и субъектом персональных данных либо если Общество не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Федеральным законом или другими федеральными законами:
- в случае достижения цели обработки персональных данных прекращается обработка персональных данных и уничтожаются персональные данные в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных;
- в случае отзыва субъектом персональных данных согласия на обработку его персональных данных прекращается их обработка и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожаются персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва.
- в случае, невозможности обеспечить правомерность обработки персональных данных, Общество в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обеспечивает уничтожение таких персональных данных.
6.6. В случае отсутствия возможности уничтожения персональных данных в течение сроков, указанных в настоящем Положении, обеспечивается блокирование таких персональных данных или обеспечивается их блокирование и уничтожение персональных данных в срок не более чем 6 (шесть) месяцев, если иное не установлено действующим законодательством.
6.7. Уничтожение документов на бумажных носителях, содержащих персональные данные, производится через шредирование (измельчение) документов.
6.8. Уничтожение персональных данных, хранящихся в электронном виде на материальных носителях, производится путем выполнения процедуры специальной подготовки материальных носителей (многократное форматирование разделов, выделенных под хранение данных) или удалением с электронных носителей методами и средствами гарантированного удаления остаточной информации.
6.9. Уничтожение персональных данных, хранящихся в электронном виде на материальных носителях, производится путем механического нарушения целостности носителя, не позволяющего произвести считывание или восстановление персональных данных, в случае невозможности их иным способом.
6.10. Уничтожение персональных данных, обрабатываемых в информационных системах персональных данных, осуществляется путем стирания записи в базах данных по запросу субъекта персональных данных или при достижении целей обработки персональных данных.
6.11. Уничтожение или обезличивание части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).
6.12. При необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.
6.13. По окончании процедуры уничтожения персональных данных составляется акт об уничтожении персональных данных, который подписывается ответственным за организацию обработки персональных данных и работником, уничтожившим персональные данные.
6.14. Факт уничтожения персональных данных фиксируется в соответствии с Требованиями к подтверждению уничтожения персональных данных, утвержденными приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28.11.2022 № 179 (далее – Требования).
6.15. Документами, подтверждающими уничтожение персональных данных, являются:
- акт об уничтожении персональных данных, в случае если обработка персональных данных осуществляется без использования средств автоматизации (Приложение № 2);
- акт об уничтожении персональных данных (Приложение № 3) и выгрузка из журнала регистрации событий в информационной системе персональных данных (далее – выгрузка из журнала) (Приложение № 4), в случае если обработка персональных данных осуществляется с использованием средств автоматизации.
6.16. В случае если обработка персональных данных осуществляется Обществом одновременно с использованием средств автоматизации и без использования средств автоматизации, документами, подтверждающими уничтожение персональных данных субъектов персональных данных, являются акт об уничтожении персональных данных, и выгрузка из журнала, соответствующая Требованиям.
6.17. Акт об уничтожении персональных данных и выгрузка из журнала подлежат хранению Обществом в течение 3 лет с даты уничтожения персональных данных.
7. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
7.1. Настоящее Положение подлежит изменению в случае изменения действующих и (или) появления новых законодательных и нормативных правовых актов Российской Федерации, в том числе специальных нормативных актов по обработке и защите персональных данных.
7.2. Актуализация настоящего Положения обеспечивается лицом, ответственным за организацию обработки персональных данных в Обществе.
7.3. В случае выявления нарушений правил обработки персональных данных в информационных системах персональных данных Обществом незамедлительно принимаются меры по установлению причин нарушений и их устранению.
7.4. Общество осуществляет внутренний контроль и аудит соответствия обработки персональных данных требованиям Федерального закона и принятым в соответствии с ним нормативных правовых актов, требованиям к защите персональных данных, Политики, локальных актов Общества.