1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок обработки и защиты персональных данных в центре коррекции и развития детей, действующем в форме индивидуального предпринимателя (далее — Оператор), а также меры по обеспечению безопасности персональных данных.
1.2. Политика разработана в соответствии с требованиями следующих нормативных правовых актов:
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
Трудовой кодекс Российской Федерации (гл. 14);
Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Постановление Правительства Российской Федерации от 21.03.2012 № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения операторами обязанностей, предусмотренных Федеральным законом „О персональных данных“»;
иные нормативные правовые акты Российской Федерации в области персональных данных.
1.3. Политика применяется ко всем процессам обработки персональных данных, осуществляемым Оператором с использованием средств автоматизации и без их использования.
1.4. Политика является общедоступным документом. Оператор обеспечивает неограниченный доступ к Политике путём размещения её на официальном сайте (при наличии), а также в помещении центра на информационном стенде.
1.5. Термины и определения, используемые в Политике:
персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
обработка персональных данных — любое действие или совокупность действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение;
оператор персональных данных — индивидуальный предприниматель, самостоятельно или совместно с другими лицами организующий и (или) осуществляющий обработку персональных данных;
информационная система персональных данных (ИСПД) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
конфиденциальность персональных данных — обязанность не передавать персональные данные третьим лицам без согласия субъекта, если иное не предусмотрено законом;
уничтожение персональных данных — действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе и (или) уничтожение материальных носителей персональных данных.
2. Цели обработки персональных данных
2.1. Обработка персональных данных Оператором осуществляется в следующих целях:
оказание услуг по коррекционно-развивающему сопровождению детей, включая психолого-педагогические, логопедические и иные консультационные услуги в рамках ОКВЭД 96.09;
заключение и исполнение договоров об оказании услуг с родителями (законными представителями) несовершеннолетних;
ведение учёта посещаемости и динамики развития детей;
организация сопровождения детей с ограниченными возможностями здоровья, в том числе на основании заключений ПМПК и индивидуальных программ реабилитации или абилитации (ИПРА);
обеспечение безопасности жизни и здоровья детей во время нахождения в центре;
организация трудовых отношений с работниками, ведение кадрового, бухгалтерского и налогового учёта;
информирование родителей (законных представителей) о расписании, результатах занятий, мероприятиях центра;
обеспечение соблюдения требований законодательства в области санитарно-эпидемиологического благополучия и пожарной безопасности.
2.2. Оператор не собирает персональные данные, не относящиеся к целям их обработки. Объём обрабатываемых персональных данных определяется исходя из конкретных целей обработки и минимизируется.
3. Правовые основания обработки персональных данных
3.1. Правовыми основаниями обработки персональных данных являются:
согласие субъекта персональных данных (родителя, законного представителя, работника) на обработку его персональных данных и персональных данных несовершеннолетнего ребёнка;
договоры, заключаемые между Оператором и родителями (законными представителями) об оказании услуг;
трудовые договоры с работниками;
Трудовой кодекс Российской Федерации (ст. 86–90);
Налоговый кодекс Российской Федерации;
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
Федеральный закон от 24.07.1998 № 124-ФЗ «Об основных гарантиях прав ребёнка в Российской Федерации»;
Семейный кодекс Российской Федерации (в части полномочий законных представителей).
3.2. Обработка специальных категорий персональных данных (сведения о состоянии здоровья детей, диагнозы, заключения ПМПК, выписки из ИПРА) осуществляется на основании письменного согласия родителей (законных представителей) в соответствии со статьёй 10 Федерального закона № 152-ФЗ.
3.3. Согласие на обработку персональных данных оформляется отдельным документом и не включается в состав иных документов (договоров, заявлений). Согласие может быть отозвано субъектом в любое время.
4. Категории субъектов и категории обрабатываемых персональных данных
4.1. Категории субъектов персональных данных, обрабатываемых Оператором:
несовершеннолетние дети — получатели услуг центра (в возрасте от 0 до 18 лет);
родители (законные представители) несовершеннолетних детей;
работники центра (педагоги, логопеды, психологи, администраторы и иные сотрудники);
кандидаты на трудоустройство;
посетители центра (в случае видеонаблюдения).
4.2. Категории обрабатываемых персональных данных детей:
фамилия, имя, отчество;
дата рождения, возраст;
фотография (при наличии согласия);
сведения о состоянии здоровья, диагнозы, заключения ПМПК, выписки из ИПРА (специальная категория — ст. 10 ФЗ № 152);
сведения о развитии, результаты диагностики и наблюдений;
информация о посещаемости.
4.3. Категории обрабатываемых персональных данных родителей (законных представителей):
фамилия, имя, отчество;
документ, удостоверяющий личность (серия, номер, дата выдачи, орган, выдавший документ);
адрес регистрации и фактического проживания;
контактный телефон, адрес электронной почты;
документ, подтверждающий полномочия законного представителя (свидетельство о рождении ребёнка, решение об опеке и т. п.).
4.4. Категории обрабатываемых персональных данных работников:
фамилия, имя, отчество;
дата и место рождения;
паспортные данные, СНИЛС, ИНН;
адрес регистрации и фактического проживания, контактный телефон;
сведения об образовании, квалификации, профессиональной переподготовке;
сведения о трудовой деятельности, должности, заработной плате;
медицинская книжка, сведения о прохождении психиатрического освидетельствования;
справка об отсутствии судимости, справка об отсутствии административных правонарушений в сфере оборота наркотических средств.
4.5. Оператор не обрабатывает биометрические персональные данные (сведения, характеризующие физиологические и биологические особенности человека, используемые для установления его личности), за исключением случаев, когда это прямо предусмотрено законодательством.
4.6. Оператор не осуществляет трансграничную передачу персональных данных. Все базы данных, содержащие персональные данные, размещены на территории Российской Федерации.
5. Порядок и условия обработки персональных данных
5.1. При обработке персональных данных Оператор руководствуется следующими принципами:
обработка осуществляется на законной и справедливой основе;
обработка ограничивается достижением конкретных, заранее определённых и законных целей;
не допускается объединение баз данных, обработка персональных данных в которых осуществляется в целях, несовместимых между собой;
обрабатываются только персональные данные, отвечающие целям их обработки;
содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки и не являются избыточными;
при обработке обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях — актуальность по отношению к целям обработки;
хранение персональных данных осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом.
5.2. С персональными данными Оператор совершает следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
5.3. Условия обработки персональных данных несовершеннолетних:
обработка персональных данных ребёнка осуществляется с согласия родителя (законного представителя);
согласие оформляется в письменной форме до начала оказания услуг;
согласие на обработку специальных категорий данных (сведения о здоровье) оформляется отдельно;
согласие на фото- и видеосъёмку ребёнка оформляется отдельно и может быть отозвано в любой момент.
5.4. Передача персональных данных третьим лицам допускается только в следующих случаях:
при наличии согласия субъекта персональных данных;
по запросу уполномоченных государственных органов в случаях, установленных законом (Роскомнадзор, Роспотребнадзор, прокуратура, органы внутренних дел и т. п.);
при передаче документов в уполномоченные органы в соответствии с требованиями законодательства (налоговая отчётность, пенсионный фонд и т. п.).
5.5. При передаче персональных данных третьим лицам Оператор:
удостоверяется в наличии законных оснований для такой передачи;
заключает с лицом, осуществляющим обработку по поручению, договор, предусматривающий обязательство обеспечения конфиденциальности и безопасности персональных данных;
передаёт только тот объём данных, который необходим для достижения конкретной цели.
5.6. Оператор не хранит персональные данные дольше, чем этого требуют цели обработки. Сроки хранения персональных данных:

6. Актуализация, изменение, удаление и уничтожение персональных данных
6.1. Оператор обязан обеспечить точность, достаточность и актуальность персональных данных. При выявлении неточных или неполных данных Оператор осуществляет их уточнение (обновление, изменение) в течение 7 рабочих дней с момента получения соответствующего обращения субъекта.
6.2. Оператор прекращает обработку персональных данных в следующих случаях:
достижение целей обработки персональных данных;
истечение срока, на который дано согласие, если иное не установлено законом;
отзыв согласия субъектом персональных данных;
выявление неправомерной обработки персональ данных;
прекращение деятельности Оператора (ликвидация ИП);
истечение установленных сроков хранения.
6.3. При прекращении обработки персональных данных Оператор:
блокирует персональные данные, если сохранение персональных данных более не требуется для целей обработки, но требуется для установления или защиты прав третьих лиц;
уничтожает персональные данные по достижении целей обработки или при утрате необходимости в их достижении.
6.4. Уничтожение персональных данных осуществляется с соблюдением следующих требований:
уничтожение производится способом, исключающим возможность последующего восстановления данных полностью или частично;
факт уничтожения оформляется актом об уничтожении персональных данных / носителей, содержащих персональные данные;
уничтожение производится комиссией, создаваемой приказом Оператора (при небольших объёмах — лично Оператором).
6.5. Уничтожение бумажных носителей производится путём механического разрушения (измельчение, сжигание). Уничтожение электронных данных — путём стирания (форматирования) носителей или удаления записей из базы данных с последующим подтверждением невозможности восстановления.
7. Меры по обеспечению безопасности персональных данных
7.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.
7.2. Организационные меры:
назначение Оператором лица, ответственного за организацию обработки персональных данных;
ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных и настоящей Политикой — под подпись;
ограничение доступа работников к персональным данным в соответствии с их должностными обязанностями;
хранение документов, содержащих персональные данные, в запирающихся шкафах/кабинетах с ограниченным доступом;
ведение учёта материальных носителей персональных данных;
проведение инструктажей работников по вопросам защиты персональных данных.
7.3. Технические меры:
использование средств антивирусной защиты на всех рабочих станциях;
применение парольной защиты для доступа к информационным системам, содержащим персональные данные;
ограничение доступа к компьютерам, на которых ведётся обработка персональных данных (отсутствие посторонних лиц в помещении во время обработки);
резервное копирование данных, содержащих персональные данные;
обеспечение хранения баз данных на серверах (накопителях), физически расположенных на территории Российской Федерации;
запрет на использование публичных облачных хранилищ (Google Drive, Dropbox и аналогичных) для хранения файлов, содержащих персональные данные.
7.4. Доступ к персональным данным ограничен Оператором и работниками, допущенными к обработке в рамках исполнения должностных обязанностей. Все лица, имеющие доступ к персональным данным, обязаны соблюдать режим конфиденциальности.
7.5. В случае выявления инцидента безопасности персональных данных (утечка, несанкционированный доступ и т. п.) Оператор:
принимает меры по недопущению дальнейших нарушений;
в течение 24 часов направляет первичное уведомление в Роскомнадзор;
в течение 72 часов направляет детальное описание инцидента;
уведомляет субъектов персональных данных, чьи данные были затронуты.
8. Права субъектов персональных данных
8.1. Субъект персональных данных имеет право:
получать информацию, касающуюся обработки его персональных данных (в том числе — информации о_third party, которым данные могут передаваться);
на доступ к своим персональным данным, включая право получать копии;
требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными;
отозвать согласие на обработку персональных данных в любое время;
на защиту своих прав и законных интересов, включая право на обращение в Роскомнадзор или в суд.
8.2. Запрос субъекта персональных данных о предоставлении информации, копий персональных данных, уточнении, блокировании или уничтожении данных направляется Оператору в письменной форме (лично, по почте или на электронный адрес). Оператор рассматривает обращение в срок, не превышающий 10 рабочих дней с даты его получения, с возможностью продления не более чем на 5 рабочих дней с обязательным уведомлением субъекта.
8.3. В случае отзыва согласия на обработку персональных данных Оператор прекращает обработку соответствующих персональных данных в течение 3 рабочих дней с момента получения отзыва, за исключением случаев, когда обработка может продолжаться на иных законных основаниях.
8.4. Родитель (законный представитель) вправе осуществлять права несовершеннолетнего ребёнка в отношении его персональных данных до достижения ребёнком возраста 14 лет. С 14 лет несовершеннолетний может самостоятельно осуществлять свои права в области персональных данных при наличии согласия родителей (законных представителей).
9. Ответственность
9.1. Оператор несёт ответственность за соблюдение требований законодательства о персональных данных в соответствии с действующим законодательством Российской Федерации.
9.2. Работники Оператора, имеющие доступ к персональным данным, несут ответственность за разглашение и (или) незаконное использование ставшей им известной информации в порядке, установленном Трудовым кодексом Российской Федерации, Кодексом об административных правонарушениях и Уголовным кодексом Российской Федерации.
9.3. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, несут гражданско-правовую, административную и уголовную ответственность в соответствии с действующим законодательством.
10. Заключительные положения
10.1. Настоящая Политика вступает в силу с момента её утверждения Оператором и действует бессрочно до замены её новой редакцией.
10.2. Изменения в Политику вносятся при изменении законодательства Российской Федерации о персональных данных, изменении целей и условий обработки персональных данных, а также по решению Оператора. Актуальная редакция Политики размещается на сайте (при наличии) и на информационном стенде центра.
10.3. Все вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с действующим законодательством Российской Федерации о персональных данных.
10.4. Контактные данные Оператора:
Индивидуальный предприниматель Копичева Алла Алексеевна
ИНН: 644505093084
ОГРНИП: 326645700079217
Адрес места осуществления деятельности: г. Саратов, Весенний проезд, д. 8
Телефон: +7-969-621-48-22
E-mail: svoyputsaratov@mail.ru
Сайт: svoyputsaratov.ru