ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

ОБ ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

• Общие положения

1. Настоящее Положение об обработке и защите Персональных данных (далее - Положение) определяет политику общества с ограниченной ответственностью «Фитнес-центр ГраФит» (далее - Общество) в отношении обработки Персональных данных, включая порядок сбора, хранения, использования, передачи и защиты Персональных данных.
2. Обработка Персональных данных осуществляется путем смешанной (как с использованием средств автоматизации, так и без использования средств автоматизации) обработки, включая, но, не ограничиваясь с использованием внутренней сети и сети Интернет.
3. Настоящее Положение является локальным правовым актом Общества, обязательным для соблюдения и исполнения работниками Общества, а также иными лицами, участвующими в обработке Персональных данных в соответствии с настоящим Положением.
4. Оператор вправе в одностороннем порядке вносить изменения в настоящее Положение путем размещения актуальной версии Положения на Сайте Общества, при этом, Субъект Персональных данных считается принявшим изменения в случае, если в течение 15 (пятнадцати) календарных дней не заявлено иное.
5. Настоящее положение разработано в соответствии с Конституцией Республики Беларусь, Законом Республики Беларусь от 07.05.2021 № 99-З «О защите Персональных данных» (далее – Закон № 99-3), Законом Республики Беларусь от 10.11.2008 № 455-З «Об информации, информатизации и защите информации», иными нормативными правовыми актами Республики Беларусь и нормативными документами уполномоченных органов государственной власти Республики Беларусь.

• Основные понятия

6. Наряду с терминами, которые используются в Законе № 99-3, в настоящем Положении используются следующие понятия и термины:
   • Общество или Оператор– Общество с ограниченной ответственностью «Фитнес-центр ГраФит», осуществляющее обработку и защиту Персональных данных;
   • Персональные данные– любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано;
   • Субъект Персональных данных или субъект– физическое лицо, не являющееся работником Общества, к которому относятся обрабатываемые Обществом Персональные данные;
   • Обработка Персональных данных– любое действие или совокупность действий, совершаемые с Персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление Персональных данных;
   • Контрагент – физическое или юридическое лицо, с которым Обществом заключен гражданско-правовой договор, участвующее в правоотношениях по заключенным Обществом гражданско-правовым договорам;
   • Сайт – интернет-ресурс Общества доступный в публичной  информационно-телекоммуникационной сети Интернет по сетевому адресу: https://grafitgym.by/;
   • Фитнес-клуб – объект Общества, расположенный по адресу: ул. Орловская, д. 10, 224028, г. Брест, Республика Беларусь.

• Категории Субъектов Персональных данных и перечень обрабатываемых Персональных данных

7. Содержание и объем Персональных данных каждой категории Субъектов определяется необходимостью достижения конкретных целей их обработки, а также необходимостью Общества реализовать свои права и обязанности, а также права и обязанности соответствующего субъекта.
8. Кандидаты на рабочие места, Персональные данные таких субъектов включают следующие данные:
   • фамилия, имя, отчество (а также все предыдущие фамилии);
   • дата и место рождения;
   • гражданство;
   • паспортные данные или данные иного документа, удостоверяющего личность (серия, номер, дата выдачи, наименование органа, выдавшего документ, и др.);
   • данные свидетельства о рождении (номер, дата выдачи, наименование органа, выдавшего документ, и др.);
   • пол;
   • сведения о семейном положении и составе семьи с указанием фамилий, имен и отчеств членов семьи, даты рождения, места работы и/или учебы;
   • сведения о регистрации по месту жительства (включая адрес, дату регистрации);
   • сведения о месте фактического проживания;
   • номер и серия страхового свидетельства государственного социального страхования;
   • данные об образовании, повышении квалификации и профессиональной переподготовке, ученой степени, ученом звании;
   • сведения о трудовой деятельности (включая стаж и опыт работы, данные о занятости с указанием должности, подразделения, сведений о работодателе и др.);
   • специальность, профессия, квалификация;
   • сведения о воинском учете;
   • сведения медицинского характера (в случаях, предусмотренных законодательством);
   • биометрические Персональные данные (включая фотографии, подвижные изображения с камер видеонаблюдения, записи голоса);
   • сведения о социальных льготах и выплатах;
   • контактные данные (включая номера домашнего и/или мобильного телефона, электронной почты и др.);
   • сведения о награждениях и поощрениях;
   • сведения, предоставленные самим кандидатом в ходе заполнения личностных опросников;
   • иные данные, которые, в том числе, могут быть указаны в резюме или анкете кандидата.
9. Контрагенты – физические лица и (или) представители Контрагентов – юридических лиц, Персональные данные таких субъектов включают следующие данные:
   • фамилия, имя, отчество;
   • паспортные данные или данные иного документа, удостоверяющего личность (серия, номер, дата выдачи, наименование органа, выдавшего документ, и др.);
   • сведения о регистрации по месту жительства (включая адрес, дату регистрации);
   • контактные данные (включая номера рабочего, домашнего и/или мобильного телефона, электронной почты и др.);
   • сведения о месте работы, должность;
   • банковские реквизиты;
   • сведения об образовании (в том числе специальных навыках (например: опыт вождения и водительское удостоверение и т.п.), место учебы, факультет, специальность, год и месяц окончания обучения;
   • биометрические Персональные данные (включая фотографии, подвижные изображения с камер видеонаблюдения, записи голоса);
   • иные данные, необходимые для исполнения взаимных прав и обязанностей между Обществом и Контрагентом.
10. Посетители – Субъекты Персональных данных посещающие Фитнес-клуб и (или) предоставляющие информацию в форме обратной связи на Сайте Общества и (или) при последующей коммуникации с Обществом. Персональные данные таких Субъектов могут включать следующие данные:
    • фамилия, имя, отчество;
    • гражданство;
    • паспортные данные или данные иного документа, удостоверяющего личность (серия, номер, дата выдачи, наименование органа, выдавшего документ, и др.);
    • сведения о регистрации по месту жительства (включая адрес, дату регистрации);
    • контактные данные (включая номера домашнего и/или мобильного телефона, электронной почты и др.);
    • сведения о месте работы, должности;
    • биометрические Персональные данные (включая фотографии, подвижные изображения с камер видеонаблюдения, записи голоса);
    • иные данные, необходимые для исполнения взаимных прав и обязательств, исполнения обязательств по гражданско-правовому договору.
11. Персональные данные иных субъектов могут включать следующие данные:
    • фамилия, имя, отчество;
    • контактные данные (включая номера домашнего и/или мобильного телефона, электронной почты и др.);
    • паспортные данные или данные иного документа, удостоверяющего личность (серия, номер, дата выдачи, наименование органа, выдавшего документ, и др.);
    • сведения о регистрации по месту жительства (включая адрес, дату регистрации);
    • банковские реквизиты;
    • в случае посещения Сайта Общества – файлы cookie (обезличенные Персональные данные, собираемые при посещении Сайта Общества, сохраняемые в интернет-браузере пользовательского устройства для отражения и (или) запоминания действий пользователя Сайта Общества);
    • иные данные, предоставленные Субъектом Персональных данных Обществу, необходимые для исполнения взаимных прав и обязанностей, исполнения обязанностей по гражданско-правовому договору.

• Общие цели и требования к обработке Персональных данных Обществом

12. Обработка Персональных данных производится в целях:
    • Осуществления хозяйственной (предпринимательской) деятельности Обществом;
    • Исполнение обязательств по гражданско-правовым договорам, заключенных Обществом, предоставление услуг (выполнение работ) Обществом;
    • рассмотрение возможности трудоустройства кандидатов;
    • ведение кадрового резерва;
    • проверка кандидатов (в том числе их квалификации и опыта работы);
    • организация и сопровождение деловых поездок;
    • обеспечение безопасности, сохранение материальных ценностей и предотвращение правонарушений;
    • проведение обучающих, рекламных и иных мероприятий и обеспечение участия в них Субъектов Персональных данных, в том числе посредством Сайта;
    • реклама и продвижение услуг Общества;
    • корректного функционирования Сайта Общества;
    • обеспечение технической возможности функционирования Сайта Общества, сбор информации о предпочтениях и действиях Субъектов Персональных данных на Сайте Общества;
    • оценка и анализ эффективности работы сайта Общества;
    • осуществление коммуникации с Субъектом Персональных данных;
    • обработка запросов и обращений, в том числе обращений с претензиями и предоставление информации по запросам и обращениям;
    • реализация норм законодательства в области национальной безопасности, борьбы с коррупцией, предотвращения легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения;
    • при получении Персональных данных Обществом на основании договора, заключенного (заключаемого) с субъектом Персональных данных, Контрагентом – юридическим лицом (работника и (или) представителя Контрагента), в целях исполнения обязанностей, установленных этим договором;
    • обработки Персональных данных, в случае, когда они указаны в документе, адресованном Обществу и подписанном Субъектом Персональных данных, в соответствии с содержанием такого документа;
    • предоставление и (или) получение информации, документов, содержащих Персональные данные субъектов, третьим лицам, уполномоченным на обработку банковской тайны, иных данных, в целях исполнения обязательств Общества;
    • в иных целях, вытекающих из требований законодательства и (или) заключаемых (заключенных) Обществом договоров, соглашений.
    • обеспечения соблюдения законодательства и локальных, в том числе правовых актов Общества.
13. Обработка Персональных данных осуществляется в соответствии с Законом № 99-3 и иными актами законодательства в сфере защиты Персональных данных.
14. Обработка Персональных данных соразмерна заявленным целям их обработки и обеспечивает на всех этапах такой обработки справедливое соотношение интересов всех заинтересованных лиц.
15. Обработка Персональных данных осуществляется с согласия Субъекта Персональных данных, за исключением случаев, предусмотренных Законом № 99-3 и иными законодательными актами Республики Беларусь.
16. В случае обработки Персональных данных без согласия Субъекта Персональных данных цели обработки Персональных данных устанавливаются Законом № 99-3 и иными законодательными актами.
17. Обработка Персональных данных ограничивается достижением конкретных, заранее заявленных настоящим Положением, иными локальными, в том числе правовыми актами Общества целей. Не допускается обработка Персональных данных, не совместимая с первоначально заявленными целями их обработки.
18. В случае необходимости изменения первоначально заявленных целей обработки Персональных данных Оператор обязан получить согласие Субъекта Персональных данных на обработку его Персональных данных в соответствии с измененными целями обработки Персональных данных при отсутствии иных оснований для такой обработки, предусмотренных Законом № 99-3 и иными законодательными актами.
19. Обработка Персональных данных носит прозрачный характер. В целях обеспечения прозрачности обработки Персональных данных Субъекту Персональных данных в случаях, предусмотренных Законом № 99-3, предоставляется соответствующая информация, касающаяся обработки его Персональных данных.
20. Оператор обязуется принимать меры по обеспечению достоверности обрабатываемых им Персональных данных, при необходимости обновлять их.
21. Субъект персональных данных, принимая условия настоящего Положения, в том числе соглашается, что при осуществлении своей деятельности Общество вправе передавать Персональные данные субъектов третьим лицам (уполномоченным органам и контрагентам Оператора) в строгом соответствии с требованиями законодательства Республики Беларусь, локальных, в том числе актов Общества, а также для исполнения гражданско-правовых договоров, заключенных с Субъектом Персональных данных при надлежащем обеспечении безопасности этих данных.
22. Хранение Персональных данных осуществляется в форме, позволяющей идентифицировать Субъекта Персональных данных, не дольше, чем этого требуют заявленные цели обработки Персональных данных.

• Права Субъекта Персональных данных

23. В случаях, установленных законодательством Республики Беларусь, основным условием обработки Персональных данных является получение согласия соответствующего Субъекта Персональных данных.
24. Согласие Субъекта Персональных данных представляет собой свободное, однозначное, информированное выражение его воли, посредством которого он разрешает обработку своих Персональных данных.
25. Согласие Субъекта Персональных данных может быть получено, если иное не установлено законодательством, в следующих формах:
    • в письменной форме (в том числе посредством присоединения к публичному договору об оказании физкультурно-оздоровительных услуг и (или) заключение иного гражданско-правового с Обществом);
    • в виде электронного документа;
    • в иной электронной форме, в том числе в форме указания (выбора) субъектом Персональных данных определенной информации (кода) после получения CMC-сообщения, сообщения на адрес электронной почты, проставления субъектом Персональных данных соответствующей отметки на Сайте Общества, других способов, позволяющих установить факт получения согласия субъекта Персональных данных.
26. Субъект Персональных данных имеет право на получение информации, касающейся обработки своих Персональных данных, содержащей:
    • наименование и место нахождения оператора;
    • подтверждение факта обработки Персональных данных Оператором (уполномоченным лицом);
    • его Персональные данные и источник их получения;
    • правовые основания и цели обработки Персональных данных;
    • срок, на который дано его согласие;
    • наименование и место нахождения уполномоченного лица, которое является государственным органом, юридическим лицом Республики Беларусь, иной организацией, если обработка Персональных данных поручена такому лицу;
    • иную информацию, предусмотренную законодательством.
27. Для получения вышеобозначенной информации Субъект Персональных данных направляет Обществу заявление установленной формы, в соответствии со ст. 14 Закона 99-3 (далее – Заявление). В таком случае Общество обязуется в течение 5 (пяти) рабочих дней после получения Заявления предоставить Субъекту Персональных данных указанную информацию.
28. Субъект Персональных данных вправе требовать от Оператора внесения изменений в свои Персональные данные в случае, если Персональные данные являются неполными, устаревшими или неточными. В этих целях Субъект Персональных данных подает Оператору Заявление с приложением соответствующих документов и (или) их заверенных в установленном порядке копий, подтверждающих необходимость внесения изменений в Персональные данные.
29. Оператор обязан в пятнадцатидневный срок после получения Заявления о необходимости внесения изменений в Персональные данные Субъекта Персональных данных внести соответствующие изменения в его Персональные данные и уведомить об этом Субъекта Персональных данных либо уведомить Субъекта Персональных данных о причинах отказа во внесении таких изменений, если иной порядок внесения изменений в Персональные данные не установлен законодательными актами Республики Беларусь.
30. Субъект Персональных данных вправе получать от Оператора информацию о предоставлении своих Персональных данных третьим лицам один раз в календарный год, в соответствии с ст. 12 Закона 99-3, для получения такой информации, Субъект Персональных данных подает Заявление Оператору. Общество обязуется в течение 15 (пятнадцати) дней после получения соответствующего Заявления предоставить Субъекту Персональных данных информацию, какие Персональные данные и кому предоставлялись в течение года, предшествовавшего дате подачи заявления, либо уведомить Субъекта Персональных данных о причинах отказа в ее предоставлении.
31. Субъект Персональных данных вправе отозвать свое согласие на обработку Персональных данных, включая их удаление, при отсутствии оснований для обработки Персональных данных, в порядке, установленном Законом № 99-3. Для реализации указанного права субъект Персональных данных подает Оператору Заявление об отзыве согласия на обработку Персональных данных.
32. Оператор обязан в пятнадцатидневный срок после получения Заявления об отзыве согласия на обработку Персональных данных Субъекта Персональных данных прекратить обработку Персональных данных, а также осуществить их удаление (обеспечить прекращение обработки Персональных данных, а также их удаление уполномоченным лицом) и уведомить об этом Субъекта Персональных данных, а при отсутствии технической возможности удаления Персональных данных Оператор обязан принять меры по недопущению дальнейшей обработки Персональных данных, включая их блокирование, и уведомить об этом Субъекта Персональных данных в тот же срок.
33. Оператор вправе отказать Субъекту Персональных данных в удовлетворении требований о прекращении обработки его Персональных данных и (или) их удалении при наличии оснований для обработки Персональных данных, предусмотренных Законом 99-3 и иными законодательными актами, в том числе, если они являются необходимыми для заявленных целей их обработки, с уведомлением об этом Субъекта Персональных данных в пятнадцатидневный срок.

• Организация защиты Персональных данных

34. Под защитой Персональных данных понимается ряд правовых, организационных и технических мер, направленных на:
    • обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
    • соблюдение конфиденциальности информации ограниченного доступа;
    • реализацию права на доступ к информации.
35. Для защиты Персональных данных Общество принимает необходимые предусмотренные законом меры (включая, но не ограничиваясь):
    • ограничивает и регламентирует состав работников и иных лиц, функциональные обязанности которых требуют доступа к информации, содержащей Персональные данные (в том числе путем использования паролей доступа к электронным информационным ресурсам);
    • обеспечивает условия для хранения документов, содержащих Персональные данные, в ограниченном доступе;
    • организует порядок уничтожения информации, содержащей Персональные данные, если законодательством не установлены требования по хранению соответствующих данных;
    • контролирует соблюдение требований по обеспечению защиты Персональных данных, в том числе установленных настоящим Положением (путем проведения внутренних проверок, установления специальных средств мониторинга и др.);
    • проводит расследование случаев несанкционированного доступа или разглашения Персональных данных с привлечением виновных работников к ответственности, принятием иных мер;
    • внедряет программные и технические средства защиты информации в электронном виде;
    • обеспечивает возможность восстановления Персональных данных модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
36. Для защиты Персональных данных при их обработке в информационных системах Общество проводит необходимые предусмотренные законом мероприятия (включая, но не ограничиваясь):
    • определение угроз безопасности Персональных данных при их обработке;
    • применение организационных и технических мер по обеспечению безопасности Персональных данных при их обработке в информационных системах Персональных данных, необходимых для выполнения требований к защите Персональных данных;
    • учет машинных носителей Персональных данных;
    • обнаружение фактов несанкционированного доступа к Персональным данным и принятие мер по его устранению;
    • восстановление Персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
    • установление правил доступа к Персональным данным, обрабатываемым в информационной системе Персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с Персональными данными в информационной системе Персональных данных.
37. В Обществе назначаются лица, ответственные за организацию обработки Персональных данных, а в случае, если такое лицо не назначено, лицом ответственным за организацию обработки Персональных данных является руководитель (директор) Общества.
38. Общество осуществляет ознакомление работников и иных лиц, непосредственно осуществляющих обработку Персональных данных, с положениями законодательства о Персональных данных, в том числе с требованиями по защите Персональных данных, настоящим Положением, а также производит обучение указанных работников и иных лиц в установленном законодательством порядке.
39. В Обществе принимаются иные меры, направленные на обеспечение выполнения Обществом обязанностей в сфере Персональных данных, предусмотренных действующим законодательством Республики Беларусь.

• Заключительные положения

40. Работники Общества и иные лица, виновные в нарушении настоящего Положения, а также законодательства Республики Беларусь в области Персональных данных, могут быть привлечены к дисциплинарной и материальной ответственности в порядке, установленном Трудовым кодексом, а также могут быть привлечены к гражданско-правовой, административной и уголовной ответственности в порядке, установленном законодательством Республики Беларусь.
41. Упорядочение обращения с Персональными данными, установленное настоящим Положением, имеет целью обеспечить права и свободы граждан при обработке Персональных данных, сохранение конфиденциальности Персональных данных и их защиту.
42. Настоящее Положение служит основой для разработки локальных, в том числе правовых актов, регламентирующих вопросы обработки и защиты Обществом Персональных данных Субъектов Персональных данных.
43. Все вопросы, не отраженные в настоящей Политике, иных локальных, в том числе правовых актах Общества регулируются законодательством Республики Беларусь.