Политика в отношении обработки персональных данных и реализуемых требованиях к защите персональных данных

1. Общие Положения

1.1.Обеспечение безопасности персональных данных является одной из приоритетных задач Общества с ограниченной ответственностью Микрокредитной компании «Русские Финансы Микрозаймы» (ООО МКК «РФМ»). Настоящая политика разработана в целях соблюдения законодательства о персональных данных. Кредитор – ООО МКК «РФМ»,  ОГРН 1155749002090, ИНН/КПП 5753061690/575301001, свидетельство МФО серии 01 № 003723 от 30.03.2015г., запись в государственном реестре МФО № 651503054006340.

1.2.Настоящая политика определяет принципы, порядок и условия обработки персональных данных работников Кредитора, заемщиков и иных лиц. 

1.3.Персональные данные обрабатываются Кредитором с целью обеспечения защиты прав и свобод человека и гражданина, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную

1.4.В данной Политики используются следующие понятия:

1. персональные данные – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных),  в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация. 
2. обработка персональных данных – действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных;
3. Оператор, Кредитор (ООО МКК «РФМ») – юридическое лицо, организующее и  осуществляющее обработку персональных данных, определяющее цели  и содержание обработки персональных данных;
4. распространение персональных данных – действия, направленные на передачу персональных данных между должностными лицами  Оператора,  осуществляющими профильные операции, а также третьим лицам в рамках исполнения договорных обязательств  и на ознакомление с персональными данными указанного выше круга лиц, в том числе размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом;
5. использование персональных данных – действия  с персональными данными, совершаемые Оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц; 
6. блокирование персональных данных – временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи;
7. уничтожение персональных данных – действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных;
8. обезличивание персональных данных – действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных;
9. информационная система персональных данных – информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществить обработку таких персональных данных с использование средств автоматизации или без использования таких средств;
10. конфиденциальность персональных данных – обязательное для соблюдения  Оператором  требование не допускать  их распространения без согласия субъекта персональных данных или наличия иного законного основания; 

1.5.Все вышеперечисленные действия с персональными данными со следующими категориями субъектов осуществляются в целях:

• персональные данные работника Кредитора - информация, необходимая Кредитору в связи с трудовыми отношениями и касающиеся конкретного работника.
• персональные данные аффилированного лица или персональные данные руководителя, участника или сотрудника юридического лица, являющегося аффилированным лицом по отношению к Кредитору - информация, необходимая Кредитору для отражения её в отчетных документах о деятельности Кредитора в соответствии с требованиями федеральных законов и иных нормативных правовых актов.
• персональные данные контрагента (потенциального контрагента), а также персональные данные руководителя, участника (акционера) или сотрудника юридического лица, являющегося контрагентом Кредитора - информация, необходимая Кредитору для заключения договора и исполнения своих обязательств в рамках договорных отношений с контрагентом, а также для выполнения требований законодательства Российской Федерации.
• персональные данные Заемщика (потенциального Заемщика) - информация, необходимая Кредитору для заключения договора потребительского микрозайма и выполнения своих обязательств по такому договору, защиты прав и законных интересов Кредитора (минимизация рисков Кредитора, связанных с нарушением обязательств по договору потребительского микрозайма), осуществления и выполнения возложенных законодательством РФ на Кредитора функций и обязанностей (реализация мер по противодействию легализации доходов, полученных преступным путем и др.)

1.6.Кредитор осуществляет обработку персональных данных в следующих случаях:

• осуществления финансовых операций и иной деятельности, предусмотренной Уставом Кредитора, действующим законодательством РФ, в частности №151-ФЗ от 2 июля 2010 года «О микрофинансовой деятельности и микрофинансовых организациях», №353-ФЗ от 21 декабря 2013 года «О потребительском кредите (займе)», №218-ФЗ от 30.12.2004 года «О кредитных историях», №115-ФЗ от 07.08.2001 года «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма», №152-ФЗ от 27.07.2006 года «О персональных данных».
• заключения, исполнения и прекращения договоров с физическими, юридическим лицами, индивидуальными предпринимателями и иными лицами, в случаях, предусмотренных действующим законодательством и Уставом Кредитора;
• обеспечения соблюдения законов и иных нормативных правовых актов, содействия работникам в трудоустройстве, обучении и продвижении по службе, обеспечения личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества, в том числе исполнения требований налогового законодательства в связи с исчислением и уплатой налога на доходы физических лиц, а также единого социального налога, пенсионного законодательства при формировании и представлении персонифицированных данных о каждом получателе доходов, учитываемых при начислении страховых взносов на обязательное пенсионное страхование и обеспечение, заполнения первичной статистической документации, ведения кадрового делопроизводства в соответствии с Трудовым кодексом РФ, Налоговым кодексом РФ, федеральными законами, в частности: «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования».
• «Обезличивание ПДн для передачи в государственные информационные системы».

1.7. Период обработки персональных данных определяется в соответствии с Законом «О персональных данных».

Обработка персональных данных начинается с момента поступления персональных данных в информационную систему персональных данных и прекращается:

• в случае выявления неправомерных действий с персональными данными в срок, не превышающий трех рабочих дней с даты такого выявления, Общество устраняет допущенные нарушения. В случае невозможности устранения допущенных нарушений, Общество, в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, уничтожает персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных Общество уведомляет субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, Общество уведомляет также указанный орган;
• в случае достижения цели обработки персональных данных или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом, Общество незамедлительно прекращает обработку персональных данных и уничтожает соответствующие персональные данные в срок, не превышающий трех рабочих дней с даты достижения цели обработки персональных данных, и уведомляет об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, Общество уведомляет также указанный орган;
• в случае отзыва субъектом персональных данных согласия на обработку его персональных данных Общество прекращает обработку персональных данных и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожает персональные данные в срок, не превышающий трех рабочих дней с даты поступления указанного отзыва. Об уничтожении персональных данных Общество уведомляет субъекта персональных данных.
• в случае прекращения деятельности Общества.

2.  Содержание персональных данных

2.1.В состав персональных данных субъекта персональных данных, которые физическое лицо (заемщик) сообщает Оператору входят следующие данные:

1. фамилия (прежняя фамилия), имя, отчество;
2. место рождения;
3. паспортные данные (серия, номер, кем и когда выдан, фотографическое изображение);
4. данные второго документа (свидетельство о постановке на учет в налоговом органе, страховой медицинский полис, водительское удостоверение, удостоверение личности офицера, военный билет, заграничный паспорт, страховое пенсионное свидетельство, пенсионное удостоверение);
5. семейное положение;
6. социальный статус; 
7. образование (с указанием учебного заведения);
8. число лиц, находящихся на иждивении (их возраст);
9. адрес и дата регистрации;
10. адрес фактического проживания (срок проживания, форма собственности);
11. номера домашнего, рабочего и мобильных телефонов;
12. место работы (наименование организации, число лет организации, количество сотрудников, тип организации, отрасль);
13. сведения о доходах и расходах (с указанием по основному месту работы и совместительству);
14. информация о выданных кредитах(займах);
15. сведения, содержащиеся в трудовой книжке.

 2.2.В состав  персональных данных третьих лиц, которые субъект персональных данных сообщает  Оператору входят следующие данные:

2.2.1.Для супруга(и).

1. фамилия, имя, отчество;
2. доход;
3. номер мобильного телефона.

2.2.2.Для контактного лица.

1. имя, отчество;
2. номер мобильного и стационарного телефонов;
3. статус контактного лица (родственник, знакомый).

2.2.3.Для  непосредственного руководителя физического лица (заемщика).

1. фамилия, имя, отчество. 

3. Порядок обработки персональных данных

3.1.Обработка персональных данных субъекта персональных данных Оператором  осуществляется на основе следующих принципов:

1. законности целей и способов обработки персональных данных и добросовестности;
2. соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям Оператора, определенным в уставе;
3. соответствия объема и характера обрабатываемых  персональных данных, способов обработки персональных данных целям (заключение и исполнение договора займа) обработки персональных данных;
4. достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
5. недопустимости объединения созданных для несовместимых между собой целей баз данных информационных систем персональных данных.

3.2.Хранение персональных данных Оператором осуществляется на бумажных и электронных носителях, в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.

3.3.Обработка персональных данных субъекта персональных данных осуществляется Оператором с согласия субъекта персональных данных. Типовое письменное согласие субъекта персональных данных утверждается приказом директора Кредитора и соответствует требованиям п.4 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

3.4.Оператор персональных данных принимает на себя обязательство обеспечения конфиденциальности персональных данных субъектов персональных данных. 

3.5.Обработка специальных категорий персональных данных субъектов персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни Оператором  не осуществляется. Обработка ПДн третьих лиц осуществляется только при наличии их письменного согласия. Биометрические данные не обрабатываются.

3.6.Персональные данные третьих лиц, которые субъект персональных данных сообщает Оператору подвергаются исключительно автоматизированной обработке и при принятии решений не порождают никаких юридических последствий в отношении этих субъектов персональных данных, а также не затрагивают их законные права и интересы.

3.7.Трансграничная передача ПДн не осуществляется. Использование иностранных сервисов запрещено.

4. Права субъекта персональных данных.

4.1.Субъект персональных данных имеет право на получение сведений об Операторе, о месте его нахождения, о наличии у Оператора персональных данных, относящихся к данному субъекту персональных данных, а также на ознакомление с такими персональными данными.  Субъект персональных данных вправе требовать от Оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

4.2.Доступ к своим персональным данным предоставляется субъекту персональных данных или его законному представителю Оператором при обращении либо при получении письменного запроса субъекта персональных данных или его законного представителя.

4.3.Субъект персональных данных имеет право на получение при обращении или при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей:

1. подтверждение факта обработки персональных данных Оператором, а также цель такой обработки;
2. способы обработки персональных данных, применяемые Оператором;
3. сведения о лицах, которые имеют доступ к персональным данным  или которым может быть предоставлен такой доступ;
4. перечень обрабатываемых персональных данных и источник их получения;
5. сроки обработки персональных данных, в том числе сроки их хранения;
6. сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка персональных данных.

5. Обязанности Оператора.

5.1. При сборе персональных данных Оператор предоставляет субъекту персональных данных по его  письменному заявлению информацию, предусмотренную в п.4.3 настоящей Политики. Информация предоставляется Оператором в письменном виде.

5.2. Оператор сообщает субъекту персональных данных или его законному представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставляет возможность ознакомления с ними при обращении субъекта персональных данных или его законного представителя либо в течение 30 дней с даты получения запроса физического лица (заемщика) или его законного представителя.

5.3. Оператор может отказать в предоставлении персональных данных заинтересованным лицам и обязан в этом случае дать в письменной форме мотивированный ответ, содержащий ссылку на  положение ч.5 ст.14 Федерального закона от 27.07.2006 № 152 - ФЗ «О  персональных данных» или иного федерального закона, являющееся основанием для такого отказа, в срок не превышающий 30 дней со дня обращения субъекта персональных данных или его представителя либо с даты получения запроса субъекта персональных данных или его законного представителя.

5.4. Оператор безвозмездно предоставляет субъекту персональных данных или его законному представителю возможность ознакомления с персональными данными, относящимися к соответствующему субъекту персональных данных, а также вносит в них необходимые изменения. О внесенных изменениях и предпринятых мерах Оператор уведомляет субъекта персональных данных или его законного представителя, которым персональные данные этого субъекта были переданы.

5.5 Оператор сообщает в уполномоченный орган по защите прав субъектов персональных данных по его запросу информацию, необходимую для осуществления деятельности указанного органа, в течение 7 рабочих дней с даты получения такого запроса.

5.6 В случае выявления недостоверных персональных данных субъекта персональных данных или неправомерных действий с ними Оператора при обращении или по запросу субъекта персональных данных или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных Оператор  осуществляет блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период проверки.

5.7 В случае подтверждения факта недостоверности персональных данных Оператор  на основании документов, представленных субъектом персональных данных или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов  уточняет персональные данные и снимает их блокирование.

5.8 В случае выявления неправомерных действий должностных лиц Оператора с персональными данными,  Оператор  в срок, не превышающий 3 рабочих дней с даты такого выявления,  устраняет допущенные нарушения.

5.9. В случае достижения целей обработки персональных данных (истечение срока хранения первичных документов) Оператор прекращает хранение персональных данных и уничтожает соответствующие персональные данные в срок, не превышающий 3 рабочих дней с даты достижения цели обработки персональных данных и уведомляет об этом субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, - также в указанный орган.

6. Меры по обеспечению защиты персональных данных

6.1. Общество не вправе обрабатывать персональные данные субъекта персональных данных без его письменного согласия, за исключением случаев, приведенных в п. 2 ст. 6 Федерального закона №152-ФЗ «О персональных данных». Письменное согласие может быть составлено в виде отдельного документа или быть внедрено в структуру иного документа, подписываемого субъектом персональных данных.

6.2 Оператор предпринимает необходимые организационные и технические меры по защите персональных данных. Принимаемые меры основаны на требованиях ст. 18.1, ст.19 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», иных нормативных актов в сфере персональных данных. В том числе:

1. Назначены лица, ответственные за организацию обработки и обеспечение безопасности персональных данных.
2. Контроль исполнения требований настоящей Политики осуществляется ответственным за организацию обработки и обеспечение безопасности персональных данных Общества.
3. Ответственность должностных лиц Общества, имеющих доступ к персональным данным, за невыполнение требований норм, регулирующих обработку и защиту персональных данных, определяется в соответствии с законодательством Российской Федерации и внутренними документами Общества.
4. Разработаны и внедрены внутренние документы о защите персональных данных работников, клиентов и контрагентов Общества.
5. Лица, ведущие обработку персональных данных, проинструктированы и ознакомлены с нормативными правовыми актами, регламентирующими порядок работы и защиты персональных данных.
6. Разграничены права доступа к обрабатываемым персональным данным.
7. Обеспечено раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.
8. В целях осуществления внутреннего контроля соответствия обработки персональных данных установленным требованиям проводятся периодические проверки условий обработки персональных данных.
9. Помимо вышеуказанных мер, осуществляются меры технического характера, направленные на:

• предотвращения несанкционированного доступа к системам, в которых хранятся персональные данные;
• резервирование и восстановление персональных данных, работоспособность технических средств и программного обеспечения, средств защиты информации в информационных системах персональных данных модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

Применяются: 

• Шифрование данных (СКЗИ); 
• Антивирусная защита; 
• Двухфакторная аутентификация; 
• Регулярный аудит ИСПДн (раз в квартал)
• иные необходимые меры безопасности.

7. Ответственность Оператора.

Оператор, а также должностные лица Оператора, виновные в нарушении требований Федерального закона от 27.07.2006 «О персональных данных» № 152-ФЗ несут предусмотренную действующим законодательством РФ ответственность.

8. Заключение.

Настоящая Политика является внутренним документом Общества.

Настоящая Политика подлежит изменению, дополнению в случае появления новых законодательных актов и специальных нормативных документов по обработке и защите персональных данных. В случае внесения в настоящую Политику изменений, к ним будет обеспечен неограниченный доступ всем заинтересованным субъектам персональных данных.

Политика размещена на сайте https://momentdengi.ru/o-kompanii/dokumenty/politika-v-otnoshenii-obrabotki-personalnykh-dannykh/

Ответственный за обработку:

- Рыжиков Дмитрий Дмитриевич, тел. +79624840888 b@rfrus.ru