1. ОБЩИЕ ПОЛОЖЕНИЯ
Общество с ограниченной ответственностью «СкайКросс» (далее – Общество) уделяет внимание защите персональных данных при их обработке и ответственно подходит к соблюдению прав субъектов персональных данных.
Утверждение настоящей Политики является одной из принимаемых Обществом мер по защите персональных данных, предусмотренных Законом Республики Беларусь от 7 мая 2021 г. № 99‑З «О защите персональных данных» (далее – Закон).
Политика разъясняет субъектам персональных данных, упомянутым в настоящем документе (далее – Субъекты):
· как и для каких целей их персональные данные собираются, используются и обрабатываются одним из способов, предусмотренных Законом;
· какими правами наделены Субъекты, чьи данные обрабатываются в случаях, предусмотренных Политикой;
· механизм реализации прав Субъектов в отношении обрабатываемых Обществом персональных данных.
Политика не содержит сведений об обработке персональных данных при организации процессов, связанных с трудовыми отношениями (в том числе соискателей на вакантные должности и членов их семей), оказанием услуг (выполнением работ) физическими лицами по гражданско-правовым договорам, при осуществлении административных процедур в отношении работников и бывших работников Общества, а также в отношении обработки файлов cookie, так как данные отношения регулируются отдельными локальными правовыми актами Общества.
При внесении изменений в акты законодательства, а также в случае принятия иных нормативных правовых актов по вопросам, регулируемым настоящей Политикой, Общество руководствуется такими изменениями вне зависимости от внесения соответствующих правок в текст Политики.
Настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет по адресу https://skycross.by/policy, а также размещается в месте, доступном для обозрения в помещении Общества.
2. КАТЕГОРИИ СУБЪЕКТОВ, ЦЕЛИ И ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Объём и правовые основания для обработки персональных данных каждой категории Субъектов определяются в соответствии с законодательством и настоящей Политикой. Ниже приведены основные цели, категории субъектов, перечни обрабатываемых данных, правовые основания и сроки хранения.
Цель обработки
Категории субъектов
Перечень обрабатываемых персональных данных
Правовые основания
Срок хранения
Применение системы видеонаблюдения в интересах обеспечения общественного порядка
Посетители объектов
Изображение человека; запись звонка
Законодательные акты об охранной деятельности и видеонаблюдении
30 суток
Ведение списков заказчиков и исполнителей
Контрагенты – индивидуальные предприниматели либо уполномоченные представители иных субъектов хозяйствования
Фамилия, собственное имя, отчество (при наличии) либо инициалы; должность; контактные данные (адрес электронной почты, номер телефона)
Договор, подписанные документы, согласие (при отсутствии иных оснований)
В течение срока действия договора или согласия, после чего – согласно Перечню
Подготовка, заключение, исполнение договоров, документов во исполнение обязательств
Лица, уполномоченные на подписание договора и иных документов; лица, подписавшие договор, иной документ
Фамилия, имя, отчество (при наличии) либо инициалы; должность; личная подпись; контактные данные; иные сведения, предусмотренные договором
Трудовое законодательство (для работников), договор, подписанные документы
3 года после окончания срока действия договора, при отсутствии налоговой проверки – 10 лет
Претензионно-исковая работа, мероприятия по взысканию задолженности
Контрагенты (ИП или уполномоченные представители)
Фамилия, имя, отчество; должность
Договор, подписанные документы
3 года
Составление (оформление) доверенностей для представления интересов Общества
Работники
Фамилия, имя, отчество; данные документа, удостоверяющего личность
Трудовые отношения
3–10 лет в зависимости от вида доверенности
Определение круга аффилированных лиц Общества и ведение учёта таких лиц
Аффилированные лица
Фамилия, имя, отчество; адрес места жительства; иные сведения по закону
Законодательство о хозяйственных обществах
10 лет
Рассмотрение обращений (заявлений), в том числе внесённых в книгу замечаний и предложений
Лица, направившие обращения, иные лица, чьи данные указаны в обращении
Фамилия, имя, отчество; адрес места жительства (пребывания); суть обращения; контактные данные; иные сведения
Закон об обращениях граждан, подписанные документы
5–10 лет (в зависимости от содержания)
Рассмотрение заявлений субъектов о реализации их прав в рамках Закона
Лица, направившие заявления
Фамилия, имя, отчество; адрес; дата рождения; идентификационный номер или данные документа, удостоверяющего личность; иные сведения
Закон о защите персональных данных
1 год
Заключение и исполнение договора оказания услуг, в том числе через турагента
Заказчики
Фамилия, имя, отчество; адрес места жительства; контактные данные (телефон, e-mail)
Договор, подписанные документы
3 года (при отсутствии налоговой проверки – 10 лет)
Приём и возврат платежей за услуги
Заказчики услуг
Фамилия, имя, отчество; платёжные данные
Договор, подписанные документы
В пределах срока исковой давности (3 года)
Анализ поведения пользователей сайта https://skycross.by
Посетители сайта
Куки-файлы
Согласие субъекта (отметка в чек-боксе)
До изменения настроек куки либо до 2 лет; согласие хранится 1 год
3. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Обработка персональных данных Субъектов для целей, не предусмотренных законодательством или заключаемым договором, осуществляется с согласия Субъектов, если отсутствуют иные правовые основания для такой обработки. Способы получения согласия изложены в разделе, посвящённом получению согласия.
Сроки хранения персональных данных устанавливаются Обществом в соответствии с Законом Республики Беларусь «Об архивном деле и делопроизводстве» и Перечнем типовых документов, утверждённым постановлением Министерства юстиции. Если срок хранения не определён законодательством, он устанавливается Обществом самостоятельно исходя из заявленных целей обработки. По истечении установленных сроков документы, содержащие персональные данные, уничтожаются, а данные в информационных системах удаляются; при отсутствии технической возможности удаления – блокируются.
Передача персональных данных третьим лицам производится только в случаях, прямо предусмотренных законодательными актами, либо для выполнения обязательств по договорам с Субъектами при наличии законных оснований.
Персональные данные в Обществе обрабатываются в большинстве случаев с использованием средств автоматизации. Также допускается обработка без использования средств автоматизации, если при этом обеспечиваются поиск и (или) доступ к ним по определённым критериям (журнал, список, реестр, перечень и пр.).
Доступ к персональным данным предоставляется ограниченному кругу лиц, уполномоченному осуществлять мероприятия, связанные с обработкой. Порядок предоставления доступа определяется локальными правовыми актами Общества.
4. ПОЛУЧЕНИЕ СОГЛАСИЯ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ
Согласие Субъекта представляет собой свободное, однозначное, информированное выражение его воли, посредством которого он разрешает обработку своих персональных данных.
Согласие может быть получено в письменной или в иной электронной форме. В иной электронной форме согласие получается посредством проставления Субъектом отметки в специально отведённом чек-боксе на веб-сайте Общества.
До получения согласия Общество предоставляет Субъекту информацию об условиях обработки его персональных данных, а именно:
· местонахождение Общества;
· цель обработки;
· перечень обрабатываемых персональных данных, необходимых для достижения заявленной цели;
· перечень совершаемых действий с персональными данными и способ обработки (с использованием средств автоматизации либо без);
· привлекаемые уполномоченные лица (при их наличии);
· в случае трансграничной передачи – информирование о рисках, связанных с отсутствием надлежащего уровня защиты в стране-получателе;
· срок, на который даётся согласие.
Общество также разъясняет Субъекту его права, связанные с обработкой, механизм их реализации, а также последствия дачи согласия или отказа в его даче.
5. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
Субъекты, данные которых обрабатываются Обществом, имеют следующие права:
1. На внесение изменений – требовать от Общества внесения изменений в свои персональные данные в случае, если они являются неполными, устаревшими или неточными. Для этого необходимо предоставить соответствующие документы и (или) их заверенные копии. Общество обязано внести изменения в срок до 15 календарных дней с момента получения запроса.
2. На получение информации, касающейся обработки – получать информацию, содержащую: наименование и место нахождения Общества; подтверждение факта обработки; перечень обрабатываемых данных и источник их получения; правовые основания и цели; срок, на который дано согласие; наименование и местонахождение уполномоченных лиц (при их наличии). Ответ предоставляется в течение 5 рабочих дней после получения заявления.
3. На получение информации о предоставлении данных третьим лицам – получать один раз в календарный год бесплатно информацию о том, какие персональные данные и кому передавались в течение года. Общество предоставляет такие сведения в срок до 15 календарных дней.
4. Требовать прекращения обработки и удаления – требовать бесплатного прекращения обработки своих персональных данных, включая их удаление, при отсутствии иных законных оснований для обработки. Общество обязано прекратить обработку, удалить или заблокировать данные в срок до 15 календарных дней, за исключением случаев, когда обработка может быть продолжена на иных основаниях, установленных законодательством.
5. Отозвать ранее данное согласие – в любое время без объяснения причин отозвать своё согласие на обработку, если обработка осуществляется на основании такого согласия. Право на отзыв не может быть реализовано в случаях, когда обработка ведётся на иных правовых основаниях (договор, закон). Общество обязано прекратить обработку и удалить данные в срок до 15 календарных дней, если нет иных оснований для продолжения.
6. На обжалование действий (бездействия) и решений Общества – если Субъект считает, что обработка осуществляется с нарушением законодательства, он может подать жалобу в Национальный центр защиты персональных данных Республики Беларусь. Жалоба рассматривается в порядке, установленном законодательством об обращениях граждан и юридических лиц.
6. ПОРЯДОК РЕАЛИЗАЦИИ ПРАВ СУБЪЕКТАМИ
Для осуществления прав, перечисленных в предыдущем разделе (за исключением права на отзыв согласия в упрощённой форме), Субъект направляет в Общество заявление. Заявление может быть оформлено как на бумажном носителе, так и в форме электронного документа, и направляется по почтовому или электронному адресу Общества, указанным в разделе «Контакты».
В заявлении обязательно должны присутствовать следующие сведения:
· фамилия, имя и отчество (при наличии) Субъекта, а также адрес его места жительства или пребывания;
· дата рождения;
· идентификационный номер, а при его отсутствии – реквизиты документа, удостоверяющего личность (только в случаях, когда эти данные были предоставлены субъектом при даче согласия или когда обработка осуществляется без согласия на законных основаниях);
· чёткое изложение существа требований;
· собственноручная подпись (для письменного заявления) либо электронная цифровая подпись (для заявления в виде электронного документа).
Для реализации права на отзыв ранее данного согласия необходимо направить Обществу соответствующее заявление в вышеуказанном порядке. Если согласие изначально было предоставлено в иной электронной форме (не в виде электронного документа с ЭЦП), отзыв допускается осуществить путём отправки электронного сообщения на официальный адрес электронной почты Общества. При этом следует учитывать, что право на отзыв не подлежит реализации, когда обработка производится на основании заключённого договора или иных правовых предписаний, предусмотренных законодательством в сфере персональных данных.
Ответ на поданное заявление направляется Субъекту в той же форме, в какой было получено заявление (письменной или электронной), если только в самом заявлении не указан иной способ получения ответа.
Субъект также вправе обратиться за содействием по вопросам реализации своих прав к сотруднику, на которого возложена обязанность по осуществлению внутреннего контроля за обработкой персональных данных в Обществе, по адресу электронной почты dpo@skycross.com.
7. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ И УПОЛНОМОЧЕННЫМ ЛИЦАМ
Общество осуществляет обработку персональных данных с привлечением уполномоченных лиц на основании заключённых договоров, в которых отдельно оговорены порядок, условия, объём, сроки обработки, а также ответственность за нарушение порядка обработки. Общество обязуется предоставлять информацию об уполномоченных лицах по первому требованию Субъекта.
Общество регулярно привлекает к обработке персональных данных следующих уполномоченных лиц на договорной основе:
Уполномоченное лицо
Цель поручения
Перечень данных
Действия
ООО «ЦРМБАЙ» (г. Минск)
Техническая интеграция CRM-системы с внешними сервисами коммуникации, телефонии и учёта
Данные контрагентов, покупателей, работников
Хранение
ООО «Активные технологии» (г. Минск)
Регистрация доменного имени и хостинг сайта
Данные, обрабатываемые при посещении сайта
Хранение
ООО «Хьюмен систем» (г. Минск)
Техническая поддержка, обновление, администрирование и доработка программного обеспечения
Данные бухгалтерского учёта, данные контрагентов, покупателей, работников
Хранение
Третьи лица, которым Общество поручает обработку персональных данных, как правило, находятся на территории стран, в которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных.
Общество предоставляет персональные данные третьим лицам на договорной основе, а также в рамках иных правовых оснований, предусмотренных Законом, в частности:
· РУП «Белпочта» – для направления почтовой корреспонденции при исполнении обязательств;
· ООО «СДЭК-Бел» – для доставки и получения грузовых отправок;
· ЗАО «Интернет-магазин Евроопт» – для направления и получения почтовых отправлений;
· банкам – для осуществления взаиморасчётов с контрагентами, работниками и иными лицами;
· операторам электросвязи и сервисов обмена электронными сообщениями, в том числе Viber Media S.à r.l, WhatsApp LLC, Telegram FZ-LLC, Instagram, LLC – с целью информационной поддержки потребителей услуг в период их оказания;
· государственным органам и иным организациям – при наличии правовых оснований, установленных законодательством.
8. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ
Общество осуществляет трансграничную передачу персональных данных в иностранные государства, на территории которых не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, в частности в отношении следующих сервисов: Viber Media S.à r.l, WhatsApp LLC, Telegram FZ-LLC – с целью информационной поддержки потребителей услуг в период их оказания.
В связи с этим Общество дополнительно информирует субъектов о существовании рисков, возникающих в связи с отсутствием надлежащего уровня защиты в таких иностранных государствах:
· отсутствие специального законодательства, регулирующего обработку персональных данных, в том числе требований по соблюдению таких норм;
· отсутствие независимого уполномоченного государственного органа по защите прав субъектов персональных данных;
· ограниченный круг прав субъектов;
· использование ненадлежащих способов получения персональных данных;
· риск незаконной обработки, в результате которой данные могут стать доступными неограниченному кругу лиц.
9. МЕРЫ, ПРИМЕНЯЕМЫЕ ДЛЯ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
Общество принимает меры для защиты персональных данных Субъектов от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий. К таким мерам относятся:
· ознакомление работников Общества с требованиями законодательства и локальными правовыми актами в области защиты персональных данных;
· издание внутренних документов по вопросам, связанным с обработкой персональных данных;
· применение организационных и технических мер по обеспечению защиты, необходимых для выполнения требований к защите персональных данных;
· осуществление внутреннего контроля за соблюдением работниками требований законодательства и локальных актов;
· ограничение доступа работников к документам, информационным ресурсам, техническим средствам и носителям информации;
· организация обучения и проведение методической работы с работниками структурных подразделений, осуществляющих обработку данных;
· назначение лица, ответственного за контроль обработки персональных данных в Обществе;
· осуществление технической и криптографической защиты в порядке, установленном законодательством;
· совершение иных действий, предусмотренных законодательством в области защиты персональных данных.
10. ОТВЕТСТВЕННОСТЬ И ВОЗМЕЩЕНИЕ ВРЕДА
Общество и его работники несут ответственность за надлежащую обработку персональных данных в размерах и порядке, установленных законодательством Республики Беларусь.
Моральный и имущественный вред, причинённый Субъекту вследствие нарушения его прав в сфере защиты персональных данных или требований к технической и криптографической защите, подлежит возмещению в соответствии с законодательством Республики Беларусь.
11. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
Настоящая Политика вступает в силу с даты утверждения и применяется в отношении всех Субъектов.
Вопросы обработки персональных данных, не урегулированные настоящей Политикой, регламентируются законодательством Республики Беларусь.
12. КОНТАКТНАЯ ИНФОРМАЦИЯ
Почтовый адрес Общества: Республика Беларусь, г. Минск, ул. Красная, дом 21А, помещение 2Н.
Адрес электронной почты для обращений по вопросам обработки персональных данных: dpo@skycross.com.
Адрес размещения Политики в сети Интернет: https://skycross.by/policy.
С полным текстом политики можно ознакомиться по ссылке