Положення щодо обробки та захисту персональних даних
1. Загальні терміни та сфера дії
1.1. Основні поняття
- База персональних даних — впорядкована сукупність персональних відомостей, що зберігаються в електронному форматі або у вигляді картотек.
- Відповідальна особа — працівник, уповноважений організовувати захист персональних даних під час їх обробки відповідно до законодавства.
- Власник бази — фізична або юридична особа, яка правомірно визначає мету, склад і порядок обробки персональних даних.
- Державний реєстр баз — державна інформаційна система із відомостями про зареєстровані бази персональних даних.
- Публічні джерела персональних даних — відкриті ресурси (реєстри, каталоги тощо), оприлюднені за згодою суб’єкта даних.
- Згода — добровільне і документально підтверджене волевиявлення особи на обробку її персональних даних.
- Знеособлення — видалення зі складу даних індикаторів, що дозволяють ідентифікувати конкретну особу.
- Обробка — будь‑які операції з персональними даними (збирання, зберігання, використання, передача, зміна, знищення тощо).
- Персональні дані — інформація, за якою можна прямо чи опосередковано встановити особу.
- Розпорядник бази — особа/організація, що має право на обробку даних від імені власника бази (не плутати з технічними підрядниками без доступу до змісту).
- Суб’єкт персональних даних — фізична особа, чиї дані обробляються.
- Третя особа — будь‑який суб’єкт, відмінний від суб’єкта даних, власника чи розпорядника бази, а також контролюючого органу.
- Особливі категорії даних — чутливі відомості (наприклад, про етнічне походження, політичні погляди, стан здоров’я тощо).
1.2. Сфера дії
Це Положення є обов’язковим для всіх працівників і відповідальних осіб продавця, які мають доступ до персональних даних.
2. Перелік баз персональних даних
2.1. Продавець є власником таких баз:
• база персональних даних контрагентів.
3. Мета обробки персональних даних
3.1. Персональні дані обробляються з метою забезпечення цивільно‑правових відносин, надання/отримання послуг і проведення розрахунків за придбані товари та послуги, відповідно до вимог Податкового кодексу України та Закону України «Про бухгалтерський облік та фінансову звітність в Україні».
4. Порядок обробки персональних даних
4.1. Надання згоди на обробку є вільним і усвідомленим рішенням суб’єкта для досягнення конкретної мети.
4.2. Згода може оформлюватися письмово, електронним документом або шляхом технічної позначки.
4.3. Згода фіксується під час встановлення правовідносин із продавцем.
4.4. Під час укладення угод суб’єкт інформується про мету, свої права та можливі передачі даних.
4.5. Обробка особливих категорій персональних даних не допускається.
5. Місцезнаходження баз персональних даних
5.1. Усі бази, зазначені у цьому Положенні, зберігаються за адресою продавця.
6. Умови надання доступу/розкриття інформації
6.1. Доступ до персональних даних надається виключно за згодою суб’єкта або на підставі закону.
6.2. Доступ не надається, якщо запитувач не забезпечує належний рівень захисту даних.
6.3. Запити мають бути оформлені письмово та містити достатнє обґрунтування.
6.4. Строк розгляду запиту — до 10 днів, строк відповіді — до 30 днів.
6.5. За потреби строк може бути продовжено, але не більше ніж до 45 днів.
6.6. У випадку відмови у доступі надається вмотивоване повідомлення.
7. Захист персональних даних
7.1. Застосовуються організаційні та технічні заходи безпеки відповідно до законодавства і внутрішніх політик.
7.2. Призначається відповідальна особа за захист персональних даних.
7.3. Відповідальна особа встановлює правила доступу, інформує про інциденти, веде облік наданих згод.
7.4. Вона має право отримувати необхідні документи та вносити пропозиції щодо підвищення рівня безпеки.
7.5. Працівники, що мають доступ до ПД, зобов’язані дотримуватися конфіденційності.
7.6. Порушення вимог захисту тягне відповідальність згідно із законом та внутрішніми актами.
7.7. Строк зберігання даних визначається метою обробки або строком, на який надано згоду суб’єкта.
8. Права суб’єкта персональних даних
8.1. Суб’єкт має право на доступ до власних даних, їх виправлення, видалення (у межах законодавства), а також право звертатися до уповноважених органів державної влади або до суду.
9. Порядок роботи з запитами суб’єкта
9.1. Запит на доступ до персональних даних може бути подано суб’єктом у письмовій формі. Такий запит розглядається до 10 днів, а відповідь надається у строк до 30 днів.
10. Державна реєстрація баз персональних даних
10.1. Реєстрація баз персональних даних здійснюється відповідно до чинного законодавства України.