Политика в отношении обработки персональных данных

Содержание политики в отношении обработки персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ
   1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») принята и действует в ООО «Чанъань Моторс Рус» (далее — «Компания»). Компания ставит своей важнейшей целью и условием осуществления своей деятельности соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
   2. Цель настоящей Политики — сформировать на уровне локального регулирования принципы соблюдения Компанией законодательства Российской Федерации о персональных данных (далее — «ПД»).
   3. Настоящая Политика разработана в соответствии с нормами действующего законодательства Российской Федерации.
   4. Настоящая Политика утверждается Приказом Генерального директора Компании. Настоящая Политика может дополняться, изменяться и уточняться по мере изменений действующего законодательства Российской Федерации, а также в силу утверждения локальных нормативных актов Компании.
   5. Во исполнение требований ФЗ «О персональных данных», Трудового кодекса Российской Федерации, приказов, рекомендаций и инструкций Министерства цифрового развития, связи и массовых коммуникаций, Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзора), Федеральной службы по техническому и экспортному контролю (ФСТЭК) и Федеральной службы безопасности (ФСБ), других законодательных актов Российской Федерации в области обработки и защиты ПД, а также локальных нормативных Компания обеспечивает легитимность обработки и безопасность ПД в своей деятельности.
   6. Компания включена в Реестр операторов, осуществляющих обработку ПД (далее — «Реестр»), опубликованный на сайте Роскомнадзора в сети Интернет по адресу — http://pd.rkn.gov.ru/operators-registry/operators-list .
   7. Положения настоящей Политики применяется к обработке ПД Компанией также в следующих случаях:
      1. использование веб-сайтов и мобильных приложений, владельцем которых является Компания;
      2. любые обращения в Компанию в любой форме, направление жалоб, комментариев или замечаний и предложений;
      3. посещение офисов и иных помещений Компании;
      4. продажа автомобилей и иных товаров, проведение работ (включая сервисное обслуживание автомобилей) Дилерами, оказание услуг (включая информационные услуги с использованием веб-сервисов);
      5. взаимодействие с контрагентами, Деловыми партнерами при осуществлении хозяйственной деятельности Компании;
      6. в иных случаях.
   8. Субъектами, чьи ПД обрабатываются Компанией по правилам настоящей Политики (далее — «Субъекты»), могут являться следующие лица:
      1. клиенты (в том числе потенциальные клиенты), в том числе посетители дилерских и сервисных предприятий UNI и/или CHANGAN в России, чьи ПД могут быть переданы Компании в соответствии с договорами с такими предприятиями при условии обеспечения предприятиями законности такой передачи и обработки ПД, и чьи ПД могут быть переданы Компанией дилерским и сервисным предприятиям UNI и/или CHANGAN в России с целью исполнения заявок/запросов клиентов, а также лица, получающие (собирающиеся получить) услуги, оказываемые Компанией, Дилерами, лицами, специально привлеченными Компанией для оказания услуг/выполнения работ для клиента, лица, обращающиеся к Компании, в том числе посредством чат-бота на сайте, контакт-центра, формы обратной связи, др.;
      2. контрагенты или бизнес-партнеры (потенциальные контрагенты или бизнес-партнеры) Компании и их представители и работники;
   9. Компания в процессе обработки ПД следует следующим принципам:
      1. обработка ПД осуществляется на законной и справедливой основе;
      2. обработка ПД ограничивается достижением конкретных, заранее определенных и законных целей;
      3. не допускается обработка ПД, несовместимая с целями сбора ПД;
      4. не допускается объединение баз данных, содержащих ПД, обработка которых осуществляется в целях, несовместимых между собой;
      5. обработке подлежат только ПД, которые отвечают целям их обработки;
      6. содержание и объем обрабатываемых ПД соответствуют заявленным целям обработки. Не допускается избыточность обрабатываемых ПД по отношению к заявленным целям их обработки;
      7. при обработке ПД обеспечивается точность ПД, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПД, принимаются необходимые меры по удалению или уточнению неполных или неточных ПД;
      8. хранение ПД осуществляется в форме, позволяющей определить субъекта ПД, не дольше, чем того требуют цели обработки ПД, если срок хранения ПД не установлен федеральным законом, согласием на обработку ПД, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПД;
      9. обрабатываемые ПД уничтожаются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом;
      10. обработка ПД не используется в целях причинения имущественного и/или морального вреда субъектам ПД, затруднения реализации их прав и свобод.
2. ОСНОВНЫЕ ПОНЯТИЯ, ИСПОЛЬЗУЕМЫЕ В НАСТОЯЩЕЙ ПОЛИТИКЕ
   1. Автоматизированная обработка ПД — обработка ПД с помощью средств вычислительной техники.
   2. Блокирование ПД — временное прекращение обработки ПД (за исключением случаев, если обработка необходима для уточнения ПД) .
   3. Информационная система ПД — совокупность содержащихся в базах ПД и обеспечивающих их обработку информационных технологий и технических средств.
   4. Обезличивание ПД — действия, в результате которых невозможно определить без использования дополнительной информации принадлежность ПД конкретному Пользователю или иному субъекту ПД.
   5. Обработка ПД — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПД, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПД.
   6. Субъект ПД — физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных.
   7. ПД — любая информация, относящаяся прямо или косвенно к определенному или определяемому субъекту.
   8. ПД, разрешенные субъектом ПД для распространения, — ПД, доступ неограниченного круга лиц к которым предоставлен субъектом ПД путем дачи согласия на обработку ПД, разрешенных субъектом ПД для распространения в порядке, предусмотренном ФЗ «О персональных данных». < /span>
   9. Предоставление ПД — действия, направленные на раскрытие ПД определенному лицу или определенному кругу лиц.
   10. Распространение ПД — любые действия, направленные на раскрытие ПД неопределенному кругу лиц (передача ПД) или на ознакомление с ПД неограниченного круга лиц, в том числе обнародование ПД в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к ПД каким-либо иным способом.
   11. Трансграничная передача ПД — передача ПД на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.
   12. Уничтожение ПД — любые действия, в результате которых ПД уничтожаются безвозвратно с невозможностью дальнейшего восстановления содержания ПД в информационной системе ПД и/или уничтожаются материальные носители ПД.
3. СОСТАВ ПД И ЦЕЛИ ИХ ОБРАБОТКИ
   1. Компания при обработке ПД преследует исключительно те цели, которые были определены перед началом их сбора. Последующие изменения целей возможны только в ограниченной мере и подлежат обоснованию и информированию об этом субъекта ПД. В случае если предоставление ПД и (или) получение Компанией согласия на обработку ПД являются обязательными, Компания разъясняет субъекту ПД юридические последствия отказа предоставить его ПД и (или) дать согласие на их обработку.
   2. Конкретные состав и цели обработки ПД фиксируются и доводятся до сведения субъекта ПД при сборе ПД способом и в форме, соответствующими источнику получения и основаниям обработки таких ПД (например, согласие на обработку ПД, информирование об условиях предоставления услуг, соответствующий договор и т.п.).
   3. В целях обработки ПД Компания различает несколько видов субъектов: Клиенты и Контрагенты.
   4. Под клиентами понимаются покупатели дилеров, контактные покупатели юридических лиц, посетители сайта https://dav-changanauto.ru , пользователи мобильных приложений.
   5. Целями обработки ПД Клиентов являются обеспечение (организация) продажи товаров и предоставления услуг дилерами в соответствии с требованиями Постановления Правительства РФ от «19» января 1998 года № 55 «Об утверждении Правил продажи отдельных видов товаров, перечня товаров длительного пользования, на которые не распространяется требование покупателя о безвозмездном предоставлении ему на период ремонта или замены аналогичного товара, и перечня непродовольственных товаров надлежащего качества, не подлежащих возврату или обмену на аналогичный товар других размера, формы, габарита, фасона, расцветки или комплектации» и Постановления Правительства РФ от «11» апреля 2001 года № 290 «Об утверждении Правил оказания услуг (выполнения работ) по техническому обслуживанию и ремонту автомототранспортных средств».
   6. Также преследуется цель продвижение и совершенствование товаров и услуг Компании, в том числе направления рекламных рассылок и сообщений, анализ посещения сайта, обработка Куки-файлов.
   7. В целях обработки ПД Клиентов обрабатываются ПД, не являющиеся специальными или биометрическими: фамилия, имя, отчество; паспортные данные или данные документа, удостоверяющего личность; город и адрес места жительства; адрес электронной почты; номер мобильного телефона; дата рождения; пол; место рождения; запись голоса (для распознавания голосовых команд телематическим устройством автомобиля); поведение на сайте и в Интернете; IP-адрес, браузер; данные о транспортном средстве клиента: VIN номер, государственный регистрационный знак, марка, модель, год выпуска, поколение, модификация, комплектация, тип кузова, цвет, количество дверей, пробег, количество владельцев, пробег автомобиля, перечень работ, проведенных с автомобилем, перечень замененных деталей, название дилерского центра, где и когда приобретен / обслуживался / ремонтировался а/м, дата выдачи автомобиля при покупке / из сервиса.
   8. Под контрагентами понимаются физические лица, юридические лица и индивидуальные предприниматели.
   9. Целями обработки ПД Контрагентов являются заключение, исполнение, изменение и расторжение сделок и осуществление Компанией иных возложенных законодательством Российской Федерации функций, полномочий и обязанностей.
   10. В целях обработки ПД Контрагентов обрабатываются ПД, не являющиеся специальными или биометрическими: фамилия, имя, отчество; паспортные данные или данные документа, удостоверяющего личность; город и адрес места жительства; адрес электронной почты; номер мобильного телефона; дата рождения; пол; место рождения; запись голоса (для распознавания голосовых команд телематическим устройством автомобиля); поведение на сайте и в Интернете; IP-адрес, браузер; данные о транспортном средстве клиента: VIN номер, государственный регистрационный знак, марка, модель, год выпуска, поколение, модификация, комплектация, тип кузова, цвет, количество дверей, пробег, количество владельцев, пробег автомобиля, перечень работ, проведенных с автомобилем, перечень замененных деталей, название дилерского центра, где и когда приобретен / обслуживался / ремонтировался а/м, дата выдачи автомобиля при покупке / из сервиса.
   11. Компанией установлен смешанный способ обработки ПД, хранение которых осуществляется в порядке, исключающем к ним доступ неуполномоченных лиц, их утрату или их неправомерное использование. Документы передаются на архивное хранение по достижении целей обработки. Сроки хранения бумажных материальных носителей персональных данных определяются в соответствии со сроком действия договоров с субъектами ПД и законодательством Российской Федерации.
   12. Сроки обработки — с моменты дачи согласия на обработку ПД до момента отзыва согласия с учетом положений законодательства о прекращении обработки ПД.
   13. Уничтожение носителей производится путем их физического разрушения с предварительным уничтожением содержащейся на них ПД, если это позволяют физические принципы работы носителя в присутствии комиссии. Уничтожение ПД из информационных систем производится путем их удаления из соответствующих систем. Об уничтожении ПД Компания уведомляет субъектов ПД в порядке, установленном законодательством РФ.
4. ПРАВИЛА ОБРАБОТКИ ПД
   1. Обработка ПД осуществляется Компанией на законной основе. В случаях, предусмотренных действующим законодательством Российской Федерации, Компания осуществляет получение согласия (письменного согласия) субъекта на обработку его ПД в установленным порядке. Если Компания получает ПД от третьего лица, то она требует подтверждения от этого лица, что оно имеет необходимые основания для передачи ПД в Компанию.
   2. Компания в праве поручить обработку и/или передавать ПД третьим лицам в соответствии с правилами действующего законодательства Российской Федерации.
   3. Решение, порождающее юридические последствия в отношении субъекта ПД или иным образом затрагивающее его права и законные интересы, может быть принято на основании исключительно автоматизированной обработки его ПД только при наличии согласия в письменной форме субъекта ПД или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта ПД.
   4. ПД о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни не обрабатываются Компанией.
   5. Компания не имеет право размещать ПД субъекта в общедоступных источниках без его согласия.
   6. Компания организовывает процессы взаимодействия с субъектами ПД таким образом, чтобы субъект мог обратиться в Компанию по всем предусмотренным в законодательстве Российской Федерации вопросам, связанным с обработкой его ПД.
   7. Согласие на обработку ПД может быть отозвано субъектом путем направления письменного уведомления, подписанного субъектом ПД, в адрес Компании заказным почтовым отправлением с описью вложения или курьерской службой, либо вручено лично под подпись уполномоченному представителю Компании.
   8. При наличии подписок на получение информационных и рекламных коммуникаций, субъект может обратиться к Компании с просьбой об отписке от таких коммуникаций следующими способами:
      1. путем активации автоматической функции «Отписаться» по ссылке, присутствующей в электронном письме, содержащем коммуникацию. В этом случае Компания прекращает направление коммуникаций на адрес электронной почты субъекта;
      2. путем обращения с соответствующим запросом по адресу местонахождения Компании.
   9. Компания может запрашивать согласие субъекта ПД неоднократно при каждом обращении субъекта. В случае если при последующих запросах Компанией согласия (например, при заполнении веб-форм с соответствующим полем для проставления галочки о согласии) таковое не будет дано, ранее данное согласие не будет автоматически признаваться отозванным и продолжит действовать в течение указанного в согласии срока.
5. ПРАВА И ОБЯЗАННОСТИ КОМПАНИИ
   1. Компания имеет право:
      1. получать от субъекта ПД достоверные информацию и/или документы, содержащие ПД;
      2. в случае отзыва субъектом ПД согласия на обработку ПД, а также, направления обращения с требованием о прекращении обработки ПД, Компания вправе продолжить обработку ПД без согласия субъекта ПД при наличии оснований, указанных в ФЗ «О персональных данных»;
      3. самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных действующим законодательством Российской Федерации о ПД, если иное не предусмотрено действующим законодательством Российской Федерации о ПД.
   2. Компания обязана:
      1. предоставлять субъекту ПД по его просьбе информацию, касающуюся обработки его ПД;
      2. организовывать обработку ПД в порядке, установленном действующим законодательством Российской Федерации;
      3. отвечать на обращения и запросы субъектов ПД и их представителей в соответствии с требованиями ФЗ «О персональных данных»;
      4. сообщать в уполномоченный орган по защите прав субъектов ПД по запросу этого органа необходимую информацию в течение 10 дней с даты получения такого запроса;
      5. публиковать или иным образом обеспечивать неограниченный доступ к настоящей Политике;
      6. принимать правовые, организационные и технические меры для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПД, а также от иных неправомерных действий в отношении ПД;
      7. прекратить передачу (распространение, предоставление, доступ) ПД, прекратить обработку и уничтожить ПД в порядке и случаях, предусмотренных ФЗ «О персональных данных»;
      8. исполнять иные обязанности, предусмотренные действующим законодательством Российской Федерации о ПД
6. ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТОВ ПД
   1. Субъекты ПД имеют право:
      1. получать информацию, касающуюся обработки его ПД, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются субъекту ПД Компанией в доступной форме, и в них не должны содержаться ПД, относящиеся к другим субъектам ПД, за исключением случаев, когда имеются законные основания для раскрытия таких ПД. Перечень информации и порядок ее получения установлен ФЗ «О персональных данных»;
      2. требовать от Компании уточнения его ПД, их блокирования или уничтожения в случае, если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
      3. выдвигать условие предварительного согласия при обработке ПД в целях продвижения на рынке товаров, работ и услуг;
      4. на отзыв согласия на обработку ПД, а также, на направление требования о прекращении обработки ПД;
      5. обжаловать в уполномоченный орган по защите прав субъектов ПД или в судебном порядке неправомерные действия или бездействие Оператора при обработке его ПД;
      6. на осуществление иных прав, предусмотренных законодательством Российской Федерации.
   2. Субъекты ПД обязаны:
      1. предоставлять Компании достоверные данные о себе;
      2. сообщать Компании об уточнении (обновлении, изменении) своих ПД.
   3. Лица, передавшие Компании недостоверные сведения о себе, либо сведения о другом субъекте ПД без согласия последнего, несут ответственность в соответствии с законодательством Российской Федерации.
7. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПД
   1. Компания до начала осуществления деятельности по трансграничной передаче ПД обязана уведомить уполномоченный орган по защите прав субъектов ПД о своем намерении осуществлять трансграничную передачу ПД (такое уведомление направляется отдельно от уведомления о намерении осуществлять обработку ПД).
   2. Компания до подачи вышеуказанного уведомления, обязана получить от органов власти иностранного государства, иностранных физических лиц, иностранных юридических лиц, которым планируется трансграничная передача ПД, соответствующие сведения:
      1. ведения о принимаемых органами власти иностранного государства, иностранными физическими лицами, иностранными юридическими лицами, которым планируется трансграничная передача ПД, мерах по защите передаваемых ПД и об условиях прекращения их обработки;
      2. информация о правовом регулировании в области ПД иностранного государства, под юрисдикцией которого находятся органы власти иностранного государства, иностранные физические лица, иностранные юридические лица, которым планируется трансграничная передача ПД (в случае, если предполагается осуществление трансграничной передачи ПД органам власти иностранного государства, иностранным физическим лицам, иностранным юридическим лицам, находящимся под юрисдикцией иностранного государства, не являющегося стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке ПД и не включенного в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПД);
      3. сведения об органах власти иностранного государства, иностранных физических лицах, иностранных юридических лицах, которым планируется трансграничная передача ПД (наименование либо фамилия, имя и отчество, а также номера контактных телефонов, почтовые адреса и адреса электронной почты).
8. ТРЕБОВАНИЮ К ОБЕСПЕЧЕНИЮ КОНФИДЕНЦИАЛЬНОСТИ И БЕЗОПАСНОСТИ ПД
   1. В целях обеспечения безопасности ПД при их обработке Компания проводит периодической контроль системы защиты ПД.
   2. В целях обеспечения конфиденциальности обработки ПД Компания предпринимает, не ограничиваясь, следующие меры против несанкционированного сбора, обработки или использования ПД:
      1. предоставление доступа к ПД только в случаях и в порядке, предусмотренном законодательством Российской Федерации;
      2. идентификация и аутентификация субъектов доступа и объектов доступа;
      3. управление доступом субъектов доступа к объектам доступа;
      4. ограничение программной среды;
      5. обеспечение целостности информационной системы и ПД;
      6. регистрация событий безопасности;
      7. антивирусная защита;
      8. защита технических средств;
      9. защита информационной системы, ее средств, систем связи и передачи данных;
      10. ознакомление работников Компании, непосредственно осуществляющих обработку ПД, с положениями законодательства Российской Федерации о ПД, в том числе требованиями к защите ПД, документами, определяющими политику Компании в отношении обработки ПД, локальными актами по вопросам обработки ПД, требованиями к неавтоматизированной обработке ПД, и (или) обучение указанных работников.
   3. Компания также осуществляет взаимодействие с уполномоченными органами в части защиты обрабатываемых ею ПД.
   4. Компания и иные лица, получившие доступ к ПД, обязаны не раскрывать третьим лицам и не распространять их без согласия субъекта ПД, если иное не предусмотрено действующим законодательством.
9. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛНОМОЧИЯ
   1. Настоящая Политика вступает в силу с момента ее утверждения и действует до момента внесения изменений и/или принятия нового документа.
   2. Политика может время от времени обновляться или иным образом изменяться Компанией, при этом любые изменения подлежат опубликованию Компанией. Такие изменения вступают в силу с момента их публикации.
   3. В случае если какое-либо из положений настоящей Политики является или становится недействительным, это не затрагивает действительность остальных положений настоящей Политики.
   4. В случае изменения нормативно-правовых актов, использованных в настоящей Политике, настоящая Политика продолжает свое действие в части, не противоречащей действующему законодательству. В остальной части Компания руководствуется нормами действующего законодательства Российской Федерации.
   5. Субъект может получить любые разъяснения по интересующим вопросам, касающимся обработки его ПД, обратившись к Компании с помощью электронной почты dpo@changanauto.ru .
   6. Актуальная версия Политики в свободном доступе расположена в сети Интернет по адресу https://dav-changanauto.ru .