Политика АО «Апатит» в отношении обработки персональных данных и сведения о реализуемых требованиях к защите персональных данных

1. Общие положения

1.1. Политика АО «Апатит» в отношении обработки персональных данных и сведения о реализуемых требованиях к защите персональных данных (далее – Политика) определяет общие принципы и порядок обработки персональных данных и меры по обеспечению их безопасности в АО «Апатит» (далее – Общество).
Целью Политики является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, четкое и неукоснительное соблюдение требований российского законодательства в области персональных данных.
1.2. Политика разработана в соответствии с положениями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», другими законодательными и нормативными правовыми актами, определяющими порядок работы с персональными данными и требования к обеспечению их безопасности.
1.3. В Политике используются следующие термины и определения:
Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
Биометрические персональные данные – сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных.
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Дата-центр – специализированная организация, предоставляющая услуги по размещению серверного и сетевого оборудования, сдаче серверов (в том числе виртуальных) в аренду, а также подключению к сети «Интернет».
Доступ к персональным данным – ознакомление определенных лиц (в том числе работников) с персональными данными субъектов, обрабатываемыми при условии сохранения конфиденциальности этих сведений.
Информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Контрагент – сторона договора с АО «Апатит».
Конфиденциальность персональных данных – обязанность лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством.
Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен на основании законодательства субъектом персональных данных либо по его просьбе, в том числе данные, которые подлежат обязательному раскрытию или опубликованию.
Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Субъект персональных данных – физическое лицо, к которому относятся персональные данные.
Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

2. Общие требования к обработке персональных данных 

2.1. Статус Общества и категории субъектов, чьи персональные данные обрабатываются Обществом 
2.1.1. Общество является оператором, осуществляющим обработку ПДн следующих физических лиц:
2.1.1.1. Работники группы компаний;
2.1.1.2. Представители юридического лица, контрагента;
2.1.1.3. Близкие родственники Работников группы компаний;
2.1.1.4. Лица, работающие по договорам ГПХ;
2.1.1.5. Посетители сайта;
2.1.1.6. Студенты;
2.1.1.7. Акционеры;
2.1.1.8. Члены совета директоров;
2.1.1.9. Участники мероприятий, слушатели курсов, посетители офисов, клиенты;
2.1.1.10. Аффилированные лица;
2.1.1.11. Соискатели вакантных должностей;
2.1.1.12. Посетители, проходящие на охраняемую территорию АО «Апатит»;
2.1.1.13. Предыдущие руководители соискателей на замещение вакансий.
2.1.2. Общество является лицом, организующим обработку ПДн по поручению других операторов, к которым относятся (не ограничиваясь ими):
2.1.2.1. Органы власти и государственные внебюджетные фонды, в которые перечисляются средства Работников или средства для зачисления на счет Работников (инспекции Федеральной налоговой службы, территориальные отделения Пенсионного фонда РФ, Федерального фонда обязательного медицинского страхования, Фонда социального страхования РФ и др.); 
2.1.2.2. Военные комиссариаты, профсоюзные органы, которым ПДн предоставляются (передаются) в случаях, предусмотренных законодательством;
2.1.2.3. Органам власти и государственным внебюджетным фондам, военным комиссариатам и профсоюзным органам ПДн предоставляются (передаются) в объеме, определенном законодательством РФ, соответствующими органами власти и государственными внебюджетными фондами в пределах их полномочий. Специального согласия субъектов на такую передачу ПДн не требуется.
2.1.2.4. Общества, входящие в одну группу компаний с Обществом, которые получают согласие в письменной форме на передачу ПДн их работников Обществу для последующей обработки. Общество самостоятельно таких согласий не получает и не предоставляет соответствующую информацию о такой обработке до начала обработки ПДн работников обществ, входящих в одну группу компаний с Обществом, полагая, что это сделано их работодателями.

2.2. Принципы и цели обработки персональных данных 
Обработка ПДн Обществом осуществляется в соответствии со следующими принципами и целями: 
2.2.1. Законность и справедливая основа обработки ПДн. Общество принимает все необходимые меры по выполнению требований законодательства, не обрабатывает ПДн в случаях, когда это не допускается законодательством, не использует ПДн во вред субъектам. 
2.2.2. Ограничение обработки ПДн достижением конкретных, заранее определённых и законных целей. Общество производит обработку ПДн в соответствии с требованиями законодательства РФ в области ПДн. Для каждой цели обработки ПДн определены категории субъектов, а также категории, перечень обрабатываемых ПДн, сроки и правовые основания обработки ПДн:

Обработка только тех ПДн, которые отвечают заранее объявленным целям их обработки. Соответствие содержания и объёма обрабатываемых ПДн заявленным целям обработки. Недопущение обработки ПДн, не совместимой с целями сбора ПДн, а также избыточных по отношению к заявленным целям их обработки ПДн. Общество не собирает и не обрабатывает ПДн, не требующиеся для достижения целей, указанных в п. 2.2.2 Политики, не использует ПДн субъектов в каких-либо целях, отличных от указанных выше. 
2.2.5. Недопущение объединения баз данных, содержащих ПДн, обработка которых осуществляется в целях, не совместимых между собой. 
2.2.6. Обеспечение точности, достаточности и актуальности ПДн по отношению к целям обработки ПДн. Общество принимает все разумные меры по поддержанию актуальности обрабатываемых ПДн, включая, но не ограничиваясь, реализацией права каждого субъекта получать для ознакомления свои ПДн и требовать от Общества их уточнения, блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленных выше целей обработки.
2.2.7. Хранение персональных данных в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен законодательством РФ, договором, стороной которого является субъект ПДн.
2.2.8. Уничтожение либо обезличивание ПДн по достижении заявленных целей их обработки или в случае утраты необходимости в достижении этих целей при невозможности устранения Обществом допущенных нарушений установленного законодательством РФ порядка обработки ПДн, отзыве субъектом согласия на обработку его ПДн, если иное не предусмотрено законодательством РФ или договорами с субъектами.

2.3. Условия обработки персональных данных 

2.3.1.  Обработка ПДн Обществом допускается в следующих случаях:
2.3.1.1. При наличии согласия субъекта ПДн на обработку его ПДн. Порядок получения Обществом согласия субъекта ПДн определен в разделе 2.5 Политики;
2.3.1.2. Если обработка ПДн необходима для осуществления и выполнения возложенных законодательством на Общество функций, полномочий и обязанностей. 
2.3.1.3. Для исполнения договора, стороной которого является субъект ПДн, для заключения договора по инициативе субъекта ПДн. Такими договорами, не ограничиваясь ими, являются трудовые договоры с Работниками Общества и гражданско-правовые договоры с Подрядчиками; преддоговорной работой является работа по подбору персонала, при которой согласие субъекта на обработку подтверждается собственноручно заполненной анкетой Соискателя или анкетой (резюме), переданной им Обществу, в специализированную организацию по подбору персонала, или размещенной Соискателем на специализированных сайтах в сети «Интернет», или присланной Соискателем Обществу по электронной почте;
2.3.1.4. Если обработка ПДн необходима для осуществления прав и законных интересов Общества или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъектов ПДн;
2.3.1.5. Если обработка ПДн осуществляется в статистических или иных исследовательских целях при условии обязательного обезличивания ПДн;
2.3.1.6. Если доступ неограниченного круга лиц к ПДн предоставлен субъектом ПДн либо по его просьбе;
2.3.1.7. Если ПДн подлежат опубликованию или обязательному раскрытию в соответствии с законодательством.
2.3.2. Общество не раскрывает третьим лицам и не распространяет ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством или договором с субъектом ПДн.
2.3.3. Общество не обрабатывает ПДн, относящиеся к специальным категориям и касающиеся расовой и национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, о членстве Работников и Подрядчиков в общественных объединениях или их профсоюзной деятельности, за исключением случаев, прямо предусмотренных законодательством.
2.3.4. Обработка ПДн о судимости может осуществляться Обществом исключительно в случаях и в порядке, установленных законодательством.
2.3.5. В случае необходимости передачи ПДн за пределы РФ, такая передача должна осуществляться в соответствии с законодательством РФ. До начала осуществления трансграничной передачи ПДн необходимо убедиться в том, что иностранным государством, на территорию которого предполагается осуществлять передачу ПДн, обеспечивается адекватная защита прав субъектов ПДн. Трансграничная передача ПДн на территории иностранных государств, не обеспечивающих адекватную защиту прав субъектов ПДн, может осуществляться в случаях:
•     наличия согласия в письменной форме субъекта ПДн на такую передачу;
•     предусмотренных международными договорами и законодательством РФ;
•     исполнения договора, стороной которого является субъект ПДн;
•     защиты жизни, здоровья, иных жизненно важных интересов субъекта ПДн или других лиц при невозможности получения согласия в письменной форме субъекта ПДн.
2.3.6. Общество не принимает решения, порождающие юридические последствия в отношении субъекта ПДн или иным образом затрагивающие права и законные интересы субъекта, на основании исключительно автоматизированной обработки ПДн. Данные, имеющие юридические последствия или затрагивающие права и законные интересы субъекта, подлежат перед их использованием проверке со стороны уполномоченных работников Общества.
2.3.7. Проставление субъектом специального знака – «галочки» или «веб-метки» в специальном поле на сайте при заполнении формы сбора ПДн и нажатия соответствующей кнопки расценивается однозначно, как принятие условий настоящей Политики и предоставление согласия на обработку ПДн в объеме, для целей и в порядке, предусмотренных в предлагаемом перед проставлением специального знака для ознакомления тексте.
2.3.8. Условием прекращения обработки ПДн является достижение целей обработки, истечение срока действия согласия или отзыв согласия субъекта ПДн на обработку его ПДн, а также выявление неправомерной обработки ПДн.
2.3.9. Общество обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), распространение, удаление, уничтожение ПДн с использованием баз данных, находящихся на территории РФ. 

2.4. Конфиденциальность персональных данных 2.4.1.  Работниками Общества, получившими доступ к ПДн, должна быть обеспечена конфиденциальность таких данных.
2.4.2.  Общество вправе с согласия субъекта поручить обработку его ПДн другому лицу, если иное не предусмотрено законодательством, на основании заключаемого с этим лицом договора, содержащего в качестве существенного условия обязанность лица, осуществляющего обработку ПДн по поручению Общества, соблюдать принципы и правила обработки ПДн, предусмотренные законодательством. Объем передаваемых другому лицу для обработки ПДн и количество используемых этим лицом способов обработки должны быть минимально необходимыми для выполнения им своих обязанностей перед Обществом. В поручении Общества должны быть определены перечень действий (операций) с ПДн, которые будут совершаться лицом, осуществляющим обработку ПДн, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность ПДн и обеспечивать безопасность ПДн при их обработке, а также должны быть указаны требования к защите обрабатываемых ПДн в соответствии со статьей 19 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных».
2.4.3.  Общество вправе разместить свои ИСПДн в дата-центре, принадлежащем иному лицу. Если договором с дата-центром доступ персонала дата-центра к ИСПДн Общества не допускается, данное размещение не рассматривается Обществом как поручение дата-центру обработки ПДн и не требует согласия субъектов.
2.4.4.  В случае, если Общество поручает обработку ПДн другому лицу, ответственность перед субъектом ПДн за действия указанного лица несет Общество. Лицо, осуществляющее обработку ПДн по поручению Общества, несет ответственность перед Обществом.

2.5. Согласие субъекта персональных данных на обработку своих персональных данных 

2.5.1. Во всех случаях, субъект ПДн принимает решение о предоставлении его ПДн Обществу и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку ПДн должно быть конкретным, информированным и сознательным. 
2.5.2.  Согласие предоставляется субъектом в любой позволяющей подтвердить факт его получения форме, если иное не установлено законодательством. 
2.5.3.  В случаях, предусмотренных законодательством РФ, Общество получает согласие Работника в письменной форме на обработку принадлежащих ему персональных данных. 
2.5.4.  Согласие работника на обработку персональных данных разрешенных им для распространения, оформляется отдельно от других согласий на обработку его персональных данных с учетом установленных требований и ограничений.
2.5.5.  В законодательно предусмотренных случаях, согласие на обработку персональных данных может быть дано представителем субъекта персональных данных.
2.5.6.  В случае получения согласия на обработку ПДн от Представителя субъекта полномочия данного представителя на дачу согласия от имени субъекта ПДн проверяются Обществом.
2.5.7. В случае получения Обществом ПДн от контрагента на основании заключенного между ними договора ответственность за правомерность и достоверность ПДн, а также за получение согласия субъектов (их представителей) на передачу их ПДн Обществу несет контрагент, передающий ПДн.
2.5.8. Общество, получившее ПДн от контрагента, не принимает на себя обязательства по информированию субъектов (их представителей), чьи ПДн переданы Обществу, о начале обработки ПДн, полагая, что они проинформированы об этом передавшим их ПДн контрагентом при заключении договора с субъектом ПДн и/или при получении согласия на такую передачу. Данная обязанность контрагента включается в договор между ним и Обществом.
2.5.9. Согласие Работника на обработку его ПДн для заключения и исполнения трудового договора, стороной которого является Работник, не требуется. В случаях, когда основанием для обработки ПДн Работника является согласие, оно должно быть в письменной форме, с соблюдением требований, установленных ч. 4 ст. 9 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных». Вышеуказанное согласие может даваться не в виде отдельного документа, а закрепляться трудовым договором (дополнительным соглашением к нему) при условии включения в него сведений, установленных ч. 4 ст. 9 Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных».
2.5.10. Получение согласия Подрядчика на обработку его ПДн не требуется, т.к. обработка необходима для исполнения гражданско-правового договора, стороной которого является Подрядчик – субъект ПДн, за исключением случаев, когда необходимо получение согласия Подрядчика в письменной форме для конкретных случаев обработки ПДн. 
2.5.11. Cогласия Родственников Работников не требуется, если обработка их ПДн осуществляется на основании федеральных законов (для получения алиментов, оформления социальных выплат, предоставления льгот и гарантий и пр.), а также выполняется Обществом, как работодателем, в соответствии с требованиями органов государственного статистического учета. 
2.5.12. Согласия Участников, Аффилированных лиц и Лиц, входящих в одну группу компаний с Обществом на обработку их ПДн не требуется, т.к. их обработка в целях, указанных в п. 2.2.2 настоящей Политики, необходима для осуществления и выполнения возложенных законодательством на Общество полномочий и обязанностей.
2.5.13. Не требуется согласия субъектов на обработку ПДн для лиц, подписавших договоры с Обществом, ПДн которых содержатся в единых государственных реестрах юридических лиц и индивидуальных предпринимателей, являются открытыми и общедоступными (при одновременном наличии сведений для таких лиц о номере, дате выдачи и органе, выдавшем документ, удостоверяющий личность физического лица применяются предусмотренные требования обеспечения конфиденциальности ПДн). 
2.5.14. Во всех остальных случаях необходимо получение согласия субъектов ПДн, являющихся Представителями контрагентов, за исключением лиц, подписавших договоры с Обществом, предоставивших доверенности на право действовать от имени и по поручению контрагентов Общества и тем самым совершивших конклюдентные действия, подтверждающие их согласие с обработкой ПДн, указанных в тексте договора и (или) доверенности. Согласие у своего работника на передачу его ПДн Обществу и обработку им этих ПДн может получить контрагент. В этом случае получения Обществом согласия субъекта на обработку его ПДн не требуется.
2.5.15.  Согласие Представителя субъекта на обработку его ПДн дается в форме конклюдентных действий, выразившихся в предоставлении доверенности на право действовать от имени и по поручению субъектов ПДн и документа, удостоверяющего его личность.
2.5.16.  Согласие Посетителей на обработку их ПДн дается в форме конклюдентных действий, выражающихся либо в предоставлении своих ПДн, необходимых для входа на охраняемую территорию Общества, либо в форме передачи документа, удостоверяющего личность, работникам службы охраны.
2.5.17. Работники обществ, входящих в одну группу компаний с Обществом, дают своим работодателям согласие на передачу их ПДн Обществу для обработки в целях, указанных в п. 2.2 настоящей Политики, в письменной форме в порядке, предусмотренном ч. 4 ст. 9 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
2.5.18.  Согласие субъектов на предоставление их ПДн не требуется при получении Обществом в рамках установленных полномочий мотивированных запросов от органов прокуратуры, правоохранительных органов, органов следствия и дознания, органов безопасности, от государственных инспекторов труда при осуществлении ими государственного надзора и контроля за соблюдением трудового законодательства и иных органов, уполномоченных запрашивать информацию в соответствии с компетенцией, предусмотренной законодательством.
Мотивированный запрос должен включать в себя указание цели запроса, ссылку на правовые основания запроса, в том числе подтверждающие полномочия органа, направившего запрос, а также перечень запрашиваемой информации.
2.5.19.  В случае поступления запросов из организаций, не обладающих соответствующими полномочиями, Общество обязано получить согласие в любой доказываемой форме (письменной – по форме, установленной приказом Общества, устной – с обязательной записью такого согласия путем получения электронного письма или смс-сообщения с адреса (номера), указанного субъектом при предоставлении своих ПДн и т.п.) от субъекта, не являющегося работником Общества, на предоставление его ПДн и предупредить лиц, получающих ПДн, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, а также требовать от этих лиц подтверждения того, что это правило будет (было) соблюдено. 
2.5.20.  Согласие на обработку ПДн, обработка которых не установлена требованиями законодательства или не требуется для исполнения договора с Обществом, стороной которого является субъект ПДн, может быть отозвано субъектом ПДн. 
2.5.21. Согласие на обработку ПДн, разрешенных для распространения, прекращает свое действие с момента истечения срока, указанного в данном согласии.  
2.5.22.  Форма согласия субъекта на обработку его ПДн Обществом, разрешенных для распространения, даваемого в письменной форме в случаях, предусмотренных законодательством, устанавливается приказом Общества. Указанная форма должна соответствовать условиям, предусмотренным в ст. 10.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Требования к содержанию такого согласия устанавливаются уполномоченным органом по защите прав субъектов ПДн (Роскомнадзор). Во всех случаях обязанность предоставить доказательство получения согласия субъекта ПДн на обработку его персональных данных или доказательство наличия оснований, указанных в Федеральном законе от 27.07.2006 г. № 152-ФЗ «О персональных данных», возлагается на Общество.

3. Права субъекта персональных данных 

3.1. Субъект ПДн имеет право на получение информации, касающейся обработки его ПДн. Субъект ПДн вправе требовать от Общества уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

4. Сведения о реализуемых требованиях к защите персональных данных 

4.1.      Защита ПДн, обрабатываемых Обществом, обеспечивается реализацией правовых, организационных и технических мер, необходимых и достаточных для обеспечения требований законодательства в области защиты ПДн.
4.2.      Правовые меры включают:
4.2.1. Разработку локальных нормативных актов Общества, реализующих требования законодательства, в том числе Политики Общества в отношении обработки ПДн;
4.2.2. Отказ от любых способов обработки ПДн, не соответствующих целям, заранее предопределенным Обществом.
4.3.      Организационные меры включают:
4.3.1.      Назначение лица, ответственного за организацию обработки ПДн;
4.3.2.      Назначение лица, ответственного за обеспечение безопасности ПДн в ИСПДн;
4.3.3.      Ограничение состава Работников Общества, имеющих доступ к ПДн, и организацию разрешительной системы доступа к ним;
4.3.4.      Ознакомление Работников Общества, непосредственно осуществляющих обработку ПДн, с положениями законодательства о ПДн, в том числе с требованиями к защите ПДн, с Политикой, другими локальными нормативными актами Общества по вопросам обработки ПДн;
4.3.5.      Обучение всех категорий Работников, непосредственно осуществляющих обработку ПДн, правилам работы с ними и обеспечения безопасности обрабатываемых данных;
4.3.6.      Определение в должностных инструкциях Работников Общества обязанностей по обеспечению безопасности обработки ПДн и ответственности за нарушение установленного порядка;
4.3.7.      Регламентацию процессов обработки ПДн;
4.3.8.      Организацию учета материальных носителей ПДн и их хранения, обеспечивающих предотвращение хищения, подмены, несанкционированного копирования и уничтожения;
4.3.9.      Определение типа угроз безопасности ПДн, актуальных для ИСПДн, с учетом оценки возможного вреда субъектам ПДн, который может быть причинен в случае нарушения требований безопасности, определение уровня защищенности ПДн;
4.3.10.      Определение угроз безопасности ПДн при их обработке в ИСПДн, формирование на их основе модели (моделей) угроз ПДн;
4.3.11.      Размещение технических средств обработки ПДн в пределах охраняемой территории;
4.3.12.      Ограничение допуска посторонних лиц в помещения Общества, недопущение их нахождения в помещениях, где ведется работа с ПДн и размещаются технические средства их обработки, без контроля со стороны работников Общества.
4.4.      Технические меры включают:
4.4.1.     Реализацию требований к защите ПДн при их обработке в ИСПДн, исполнение которых обеспечивает установленные уровни защищенности ПДн;
4.4.2.     Разработку на основе модели угроз системы защиты ПДн для установленных Правительством РФ уровней защищенности ПДн при их обработке в информационных системах;
4.4.3.     Использование для нейтрализации актуальных угроз средств защиты информации (далее - СЗИ), прошедших процедуру оценки соответствия;
4.4.4.     Оценку эффективности принимаемых мер по обеспечению безопасности ПДн;
4.4.5.     Реализацию разрешительной системы доступа работников к ПДн, обрабатываемым в ИСПДн, и программно-аппаратным и программным СЗИ;
4.4.6.     Регистрацию и учет действий c ПДН пользователей ИСПДн;
4.4.7.     Выявление вредоносного программного обеспечения (применение антивирусных программ) на всех узлах информационных систем Общества, имеющих соответствующую техническую возможность;
4.4.8.     Безопасное межсетевое взаимодействие (применение межсетевого экранирования);
4.4.9.     Обнаружение вторжений в информационные системы Общества, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности ПДн;
4.4.10.     Шифрование ПДн, передаваемых по незащищенным каналам связи, в том числе через сеть «Интернет»;
4.4.11.     Восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним (систему резервного копирования и восстановления ПДн);
4.4.12.     Периодическое проведение мониторинга действий пользователей, разбирательств по фактам нарушения требований безопасности ПДн;
4.4.13.     Контроль за выполнением настоящих требований (самостоятельно или с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации) не реже 1 раза в 3 года.
4.4.14.     Комплекс мероприятий, предусмотренных Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и Приказом ФСТЭК от 18 февраля 2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных», по обеспечению безопасности ПДн в Обществе определяется в организационно-распорядительных документах, утверждаемых генеральным директором Общества, с учетом результатов оценки возможного вреда субъекту ПДн, актуальности угроз безопасности ПДн, а также установленного уровня защищенности ПДн.

5. Обработка запросов субъектов персональных данных

5.1.      Для обеспечения соблюдения установленных законодательством прав субъектов ПДн, в Обществе разработан и введён порядок работы с обращениями и запросами субъектов ПДн, а также порядок предоставления субъектам ПДн информации, установленной законодательством РФ в области ПДн.
5.2.      Данный порядок обеспечивает соблюдение следующих прав субъекта ПДн:
•    право на получение информации, касающейся обработки своих ПДн;
•    право на уточнение, блокирование или уничтожение своих ПДн, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
5.3.      Запрос субъекта ПДн должен содержать номер основного документа, удостоверяющего личность субъекта ПДн или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта ПДн в отношениях с Обществом (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Обществом, подпись субъекта ПДн или его представителя, дату обращения.
5.4.      Работники Общества не имеют право отвечать на вопросы, связанные с предоставлением ПДн по телефону в связи с тем, что в таком случае нет возможности идентифицировать личность обращающегося человека.
5.5.      Запросы субъектов могут быть направлены по почте заказным письмом с уведомлением о вручении АО «Апатит» или вручены лично под расписку ответственному за обработку ПДн представителю Общества.

6. Сбор cookie

6.1.     На сайтах Общества обрабатываются cookie и применяются инструменты аналитики данных, согласно техническим параметрам применяемых средств, для статистического анализа использования сервисов и обеспечения их работоспособности, как в целом, так и их отдельных функций.
6.2.     Под файлами «cookie» понимаются данные о пользователях сайта Общества, доступные и собираемые Обществом самостоятельно или с привлечением сервисов [продукты компании «Яндекс»], а именно: [перечень cookie: псевдоним (идентификатор) пользователя, адрес пользователя или адрес устройства пользователя и его технические характеристики, посредством которого пользователь зашел на сайт Общества и (или) установил соединение с интернет-сервисом Общества, используемая операционная система на устройстве пользователя, версия операционной системы, а также сведения о пользователе, включающие IP-адрес, поисковые запросы пользователя, информацию об используемом браузере и языке, даты и время доступа к сайту, интернет-адреса веб-страниц, посещаемых пользователем, тематику информации, размещенной на посещаемых пользователем интернет-ресурсах Общества, идентификатор устройства, географическое положение, количество просмотренных страниц, длительность пребывания на сайте Общества, запросы, которые пользователь использовал при переходе на сайт, страницы, с которых были совершены переходы, идентификатор сессии, время авторизации/регистрации, и любая информация, не позволяющая однозначно идентифицировать пользователя или конкретное физическое лицо, для предоставления пользователю рекламной информации и аналитическая пользовательская информация].
6.3.     На сайте Общества используются следующие параметры cookie согласно Политике в отношении файлов cookie.
6.4.     Общество использует средства веб-аналитики с целью общего анализа использования сайта и получения исходных данных для улучшения сервисов, предлагаемых Обществом. Полученная при этом информация может передаваться в анонимной форме на сервер службы веб-аналитики, сохраняться и обрабатываться там.
6.5.     Сведения об обрабатываемых данных и политике конфиденциальности Организаций-поставщиков аналитических услуг представлены ниже:
•     «Яндекс.Формы»: [https://forms.yandex.ru] (Условия использования сервиса Яндекс.Формы для создателей форм [https://yandex.ru/legal/forms_creators/ ]; Условия использования сервиса Яндекс.Формы для респондентов [https://yandex.ru/legal/forms_respondents/]; Политика конфиденциальности [https://yandex.ru/legal/confidential/]). 
6.6.     Параметрами использования cookie пользователь сайта может управлять самостоятельно в настройках своего браузера.
6.7. Обрабатываемые файлы cookie уничтожаются в случае достижении целей обработки или в случае утраты необходимости в обработке таких сведений.

7. Заключительные положения

7.1. Иные обязанности и права Общества как оператора ПДн и лица, организующего их обработку по поручению других операторов, определяются законодательством РФ в области ПДн.
7.2. Должностные лица и работники Общества, виновные в нарушении норм, регулирующих обработку и защиту ПДн, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством.
 

Если у Вас возникли вопросы относительно удаления учётной записи, пожалуйста, обратитесь по электронной почте по адресу phosagrotrade@phosagro.ru  для получения дополнительной информации.