Политика обработки персональных данных

Настоящая Политика в отношении обработки персональных данных (далее – Политика) разработана в соответствии с п.2 ч.1 ст.18.1 Федерального закона РФ от 27.07.2006 №152-ФЗ «О персональных данных» и определяет политику Закрытого акционерного общества «Л’Ореаль» (далее – Компания) в области обработки и защиты персональных данных (далее – ПДн), а также раскрывает реализуемые в Компании меры по обеспечению безопасности ПДн при осуществлении установленных в Уставе видов деятельности.

Положения настоящей Политики служат основой для разработки локальных нормативных актов, регламентирующих в Компании вопросы обработки ПДн.

Настоящая политика распространяется на все процессы Компании, в рамках которых осуществляется обработка ПДн, как с использованием средств вычислительной техники (средств автоматизации), в том числе с использованием информационно- телекоммуникационных сетей, так и без использования таких средств.

Настоящая политика распространяется на ПДн, которые получены Компанией как до, так и после ее введения в действие.

ИСПДн — Информационная система персональных данных
ПДн — Персональные данные
РФ — Российская Федерация

Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Субъект персональных данных — физическое лицо, обладающее персональными данными прямо или косвенно его определяющими.

Настоящая Политика вступает в силу с момента ее утверждения Генеральным директором Компании и действует бессрочно.
Компания проводит пересмотр положений настоящей Политики и их актуализацию по мере необходимости, а также в следующих случаях:
— изменения положений законодательства РФ, включая законодательство в области ПДн;в случаях выявления несоответствий, затрагивающих обработку и (или) защиту ПДн;
— по результатам контроля выполнения требований по обработке и (или) защите ПДн;
— по решению руководства Компании
При внесении изменений указывается дата последнего обновления редакции. Новая редакция вводится в действие приказом Генерального директора Компании.
Обеспечение неограниченного доступа к Политике реализуется путем ее публикации на сайте Компании в сети Интернет.

При организации обработки ПДн Компания руководствуется следующими принципами:

• обработка ПДн осуществляется на законной и справедливой основе;
• обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей;
• не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только ПДн, которые отвечают целям их обработки;
• содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки;
• при обработке ПДн обеспечивается точность ПДн, их достаточность и актуальность по отношению к целям обработки ПДн;
• хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен Федеральным законом от 27.07.2006 №152-ФЗ «О персональных данных», договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн. Обрабатываемые ПДн подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей.

Компания в своей деятельности исходит из того, что субъект ПДн предоставляет точную и достоверную информацию, во время взаимодействия с Компанией, извещает представителей Компании об изменении своих ПДн.

Компания производит обработку ПДн, в соответствии с договорными обязательствами (исполнение соглашений, договоров и обязательств), общехозяйственной деятельностью Компании, а также в соответствии с требованиями законодательства РФ в области ПДн.

В Компании производится обработка ПДн следующих категорий субъектов персональных данных:

• кандидаты на вакантные должности;
• работники Компании;
• родственники работников Компании;
• представители юридических лиц – контрагентов Компании;
• клиенты – физические лица в статусе индивидуальных предпринимателей;
• физические лица, с которыми Компанией заключаются договоры гражданско- правового характера;
• клиенты-потребители, в т.ч. покупатели продукции в магазинах Компании и посетители интернет-сайтов, принадлежащих Компании.

Для каждой категории субъектов ПДн определены цели обработки их ПДн:

Обработка ПДн кандидатов на вакантные должности производится в целях подбора подходящих кандидатов, проведения собеседования, принятия решения о возможности приема на работу.

Обработка ПДн работников Компании производится в следующих целях:

• обеспечение соблюдения требований трудового, пенсионного, страхового законодательства и иных требований действующего законодательства РФ в связи с возникновением, изменением и прекращением трудовых отношений, включая осуществление контроля качества и количества выполняемой работы, учета рабочего времени, обеспечения сохранности имущества, соблюдения пропускного режима в помещениях Компании;
• ведение единого кадрового учёта работников Компании, включая расчет и начисление заработной платы;
• ведение бухгалтерского учета Компании, включая оформление необходимых первичных документов (организация командировок, внутренних мероприятий компании);
• обеспечение личной безопасности работников Компании;
• обеспечение выполнения внутренних политик и процедур Компании;
• продажа и доставка товаров Компании работникам Компании, предоставление дополнительной информации о Компании (в том числе информации о деятельности, реализуемых товарах/услугах);
• участия в корпоративных мероприятиях.

Обработка ПДн родственников работников Компании производится в целях осуществления и исполнения функций, полномочий и обязанностей, возложенных законодательством Российской Федерации на Компанию, а также исполнения обязанностей, добровольно принятых Компанией в соответствии с локальными нормативными актами Компании.

Обработка ПДн представителей юридических лиц - контрагентов Компании и клиентов – физических лиц в статусе индивидуальных предпринимателей производится с целью взаимодействия с клиентами – юридическими лицами и индивидуальными предпринимателями по вопросам логистики, платежам, исполнению договоров, для отправки писем о наличии просроченной задолженности и иных юридически значимых сообщений, осуществления рассылок по электронной почте, проведения обучения по различным направлениям, а также обмена необходимой информации.

Обработка ПДн физических лиц, с которыми Компанией заключаются договоры гражданско-правового характера, производится в целях обеспечение соблюдения требований гражданского, пенсионного, страхового, налогового законодательства и иных требований действующего законодательства РФ в связи с возникновением, изменением и прекращением гражданско-правовых отношений, включая осуществление контроля за качеством и количеством оказанных услуг/выполненных работ, обеспечения сохранности имущества, соблюдения пропускного режима в помещениях Компании.

Обработка ПДн клиентов – потребителей (физических лиц), в т.ч. покупателей продукции в магазинах Компании и посетителей сайтов, принадлежащих Компании, производится в следующих целях:

• исполнение обязательств Компании в рамках заключенных договоров (в том числе оформление заказов, продажа и доставка товаров Компании);
• предоставление дополнительной информации о ЗАО «Л’Ореаль» (в том числе информации о деятельности, реализуемых товарах/услугах) посредством смс-сообщений, электронных писем, телефонных звонков;
• получение обратной связи в отношении товаров/услуг Компании (в том числе посредством смс-сообщений, электронных писем, телефонных звонков) и последующий анализ полученных данных;
• изучение и анализ рынка (в том числе посредством мониторинга действий на сайтах, в мобильных приложениях, используемых Компанией);
• проведение мероприятий (в том числе стимулирующих мероприятий рекламного характера);
• анализ предпочтений в отношении товаров Компании, услуг, предлагаемых Компанией (в том числе посредством мониторинга действий на сайтах, в мобильных приложениях, используемых Компанией);
• администрирование учётной записи пользователей на сайтах, в мобильных приложениях, используемых Компанией;
• направление рекламных и информационных рассылок (в том числе в отношении товаров/услуг, реализуемых Компанией, деятельности Компании) по электронной почте, посредством смс-сообщений, телефонных звонков и иных способов связи, подтвержденных с субъектом персональных данных.

В Компании не обрабатываются специальные категории ПДн, биометрические и общедоступные ПДн. В Компании обрабатываются иные категории ПДн. Перечень обрабатываемых ПДн определяется действующим законодательством РФ, а также локальными нормативными актами Компании.

В Компании осуществляется сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, передача (в том числе распространение, предоставление определенному кругу третьих лиц или определенному третьему лицу для достижения целей обработки, доступ, а также трансграничная передача), обезличивание, блокирование, удаление, уничтожение ПДн при их обработке как с использованием средств автоматизации, так и без использования таковых.

Компания обрабатывает ПДн субъектов ПДн в соответствии с локальными нормативными актами (внутренними процедурами и политиками), разработанными в соответствии с требованиями законодательства РФ в области ПДн и в рамках действующего законодательства.

При обработке ПДн субъекта, обеспечивается их конфиденциальность, целостность и доступность. Передача ПДн третьим лицам для выполнения договорных обязательств осуществляется только с согласия субъекта ПДн, а для выполнения требований законодательства РФ – в рамках установленной законодательством процедуры.

Компания может поручить обработку ПДн другому лицу при выполнении следующих условий:

• получено в установленной форме согласие субъекта ПДн на поручение обработки ПДн другому лицу;
• поручение обработки ПДн осуществляется на основании заключаемого с этим лицом договора, разработанного с учетом требований Федерального закона РФ от 27.07.2006 № 152-ФЗ «О персональных данных».

Лицо, осуществляющее обработку ПДн по поручению Компании, обязано соблюдать принципы и правила обработки ПДн и несет ответственность перед Компанией. Компания несет ответственность перед субъектом ПДн за действия уполномоченного лица, которому Компания поручила обработку ПДн.

При обработке ПДн субъектов, Компания руководствуется положениями Федерального закона РФ от 27.07.2006 №152-ФЗ «О персональных данных».

В соответствии со статьей 2 Федерального закона от 21 июля 2014 года № 242- ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно- телекоммуникационных сетях» при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", Компания обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан РФ с использованием баз данных, находящихся на территории РФ, за исключением случаев:

• обработка ПДн необходима для достижения целей, предусмотренных международным договором РФ или законом, для осуществления и выполнения возложенных законодательством РФ на Компанию функций, полномочий и обязанностей;
• обработка ПДн необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством РФ об исполнительном производстве;
• обработка ПДн необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов РФ, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27 июля 2010 года № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», включая регистрацию субъекта персональных данных на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;
• обработка ПДн необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта персональных данных.

Компания обязана убедиться в том, что иностранным государством, на территорию которого предполагается осуществлять передачу ПДн, обеспечивается адекватная защита прав субъектов ПДн, до начала осуществления такой передачи.

Трансграничная передача ПДн на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов ПДн, может осуществляться в случаях:

• наличия согласия в письменной форме субъекта ПДн на трансграничную передачу его ПДн;
• исполнения договора, стороной которого является субъект ПДн;
• предусмотренных международными договорами Российской Федерации;
• в иных случаях, предусмотренных законодательством Российской Федерации.

Для обеспечения соблюдения установленных законодательством прав субъектов ПДн, в Компании разработан и введен порядок работы с обращениями и запросами субъектов ПДн, а также порядок предоставления субъектам ПДн информации, установленной законодательством РФ в области ПДн.

Данный порядок обеспечивает соблюдение следующих прав субъекта ПДн:

— право на получение информации, касающейся обработки ПДн соответствующего субъекта ПДн, в том числе содержащей:

• подтверждение факта обработки ПДн;
• правовые основания и цели обработки ПДн;
• применяемые Компанией способы обработки ПДн;
• наименование и место нахождения Компании, сведения о лицах (за исключением работников Компании), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Компанией или на основании иных требований Федерального закона РФ от 27.07.2006 №152-ФЗ «О персональных данных»;
• обрабатываемые ПДн, относящиеся к соответствующему субъекту ПДн, источник их получения, если иной порядок представления таких ПДн не предусмотрен Федеральным законом РФ от 27.07.2006 №152-ФЗ «О персональных данных»;
• сроки обработки ПДн, в том числе сроки их хранения;
• порядок осуществления субъектом ПДн прав, предусмотренных Федеральным законом РФ от 27.07.2006 №152-ФЗ «О персональных данных»;
• информацию об осуществляемой или о предполагаемой трансграничной передаче ПДн;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Компании, если обработка поручена или будет поручена такому лицу;
• иные сведения, предусмотренные Федеральным законом РФ от 27.07.2006 №152-ФЗ «О персональных данных» или другими требованиями законодательства в области ПДн.

— право на уточнение, блокирование или уничтожение своих ПДн, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также право принимать предусмотренные законодательством РФ в области ПДн меры по защите своих прав.

Запрос субъекта ПДн должен содержать номер основного документа, удостоверяющего личность субъекта ПДн или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие, что субъект ПДн состоит в отношениях с Компанией (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Компанией, подпись субъекта ПДн или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством РФ.

В соответствии с требованиями Федерального закона РФ от 27.07.2006 №152-ФЗ «О персональных данных» Компания обязуется:

• осуществлять обработку ПДн с соблюдением принципов и правил, предусмотренных Федеральным законом РФ от 27.07.2006 №152-ФЗ «О персональных данных»;
• не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено Федеральным законом РФ от 27.07.2006 №152-ФЗ «О персональных данных»;
• представлять доказательство получения согласия субъекта ПДн на обработку его ПДн или доказательство наличия оснований, в соответствии с которыми такое согласие не требуется;
• осуществлять обработку ПДн только с согласия в письменной форме субъекта ПДн, в случаях, предусмотренных Федеральным законом РФ от 27.07.2006 №152-ФЗ «О персональных данных»;
• представлять субъекту ПДн или его представителю по запросу информацию, касающуюся обработки ПДн соответствующего субъекта ПДн, либо предоставить мотивированный отказ в предоставлении указанной информации, содержащий ссылку на положения Федерального закона РФ от 27.07.2006 №152-ФЗ «О персональных данных», в срок, не превышающий тридцати дней со дня обращения субъекта ПДн или его представителя;
• разъяснять субъекту ПДн юридические последствия отказа предоставить его ПДн, если предоставление ПДн является обязательным в соответствии с Федеральным законом РФ от 27.07.2006 №152-ФЗ «О персональных данных»;
• принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
• вносить изменения в обрабатываемые ПДн по требованию субъекта ПДн или его представителя, в случае подтверждения факта неточности обрабатываемых ПДн соответствующего субъекта ПДн в течение семи рабочих дней;
• блокировать обработку ПДн в случае выявления неправомерной обработки при обращении субъекта ПДн или его представителя, если блокирование ПДн не нарушает права и законные интересы соответствующего субъекта ПДн или третьих лиц;
• уничтожать ПДн соответствующего субъекта ПДн в срок, не превышающий десяти рабочих дней, в случае, если обеспечить правомерность обработки ПДн невозможно, если иной срок не установлен действующим законодательством;
• уведомлять субъекта ПДн или его представителя о всех изменениях, касающихся соответствующего субъекта ПДн;
• вести журнал учета обращений субъектов ПДн, в котором фиксируются все запросы и обращения субъекта ПДн или его представителя;
• прекращать обработку и уничтожать ПДн соответствующего субъекта ПДн, в случае достижения цели обработки ПДн в срок, не превышающий тридцати дней с даты достижения цели обработки ПДн, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, иным соглашением между Компанией и субъектом ПДн, либо Федеральным законом РФ от 27.07.2006 №152-ФЗ «О персональных данных» или другими федеральными законами;
• прекращать обработку ПДн и уничтожать Пдн соответствующего субъекта ПДн, в случае отзыва субъектом ПДн согласия на обработку своих ПДн в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн, иным соглашением между Компанией и субъектом ПДн.

В соответствии с положениями Федерального закона РФ от 27.07.2006 №152-ФЗ «О персональных данных» Компания имеет право:

— осуществлять обработку ПДн без согласия субъекта ПДн при наличии оснований, указанных в ст.6, 10, 11 Федерального закона РФ от 27.07.2006 №152-ФЗ «О персональных данных»;

— отказать субъекту ПДн в выполнении запроса/повторного запроса, в случае, если субъекту ПДн был предоставлен мотивированный ответ об отказе выполнения такого запроса;

— осуществлять обработку ПДн без уведомления Роскомнадзора об обработке ПДн в случаях обработки ПДн:

• в соответствии с трудовым законодательством;
• полученных Компанией в связи с заключением договора, стороной которого является субъект ПДн, если ПДн не распространяются, а также не предоставляются третьим лицам без согласия субъекта ПДн и используются Компанией исключительно для исполнения указанного договора и заключения договоров с субъектом ПДн;
• включающих в себя только фамилии, имена и отчества субъектов ПДн;
• без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами РФ в области ПДн.

Компания принимает необходимые и достаточные организационные и технические меры для защиты ПДн субъектов ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.

Меры по обеспечению безопасности ПДн, применяемые в Компании:

• назначение ответственного за организацию обработки ПДн;
• издание документов, определяющих политику Компании в отношении обработки ПДн, локальных нормативных актов по вопросам обработки ПДн, а также локальных нормативных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ в области ПДн, устранение последствий таких нарушений;
• оценка вреда, который может быть причинен субъектам ПДн в случае нарушения законодательства РФ в области ПДн, соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения законодательства РФ в области ПДн;
• ознакомление работников Компании, непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ в области ПДн, в том числе требованиями к защите ПДн, документами, определяющими политику Компании в отношении обработки ПДн, локальными нормативными актами по вопросам обработки ПДн, и (или) обучение указанных работников;
• определение угроз безопасности ПДн при их обработке в информационных системах персональных данных (далее – ИСПДн);
• применение организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
• оценка эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;
• учет машинных носителей ПДн;
• обнаружение фактов несанкционированного доступа к ПДн и принятие мер;
• восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установление правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечение регистрации и учета всех действий, совершаемых с ПДн в ИСПДн;
• контроль за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности ИСПДн.

Компания назначает лицо, ответственное за организацию обработки ПДн.

Лицо, ответственное за организацию обработки ПДн, получает указания непосредственно от Генерального директора Компании.

Лицо, ответственное за организацию обработки ПДн обязано:

• осуществлять внутренний контроль за соблюдением Компанией и ее работниками законодательства РФ в области ПДн, а также внутренних организационно- распорядительных документов Компании по вопросам обработки и защиты ПДн;
• доводить до сведения работников Компании положения законодательства РФ в области ПДн, локальных нормативных актов по вопросам обработки ПДн, требований к защите ПДн;
• участвовать в пересмотре внутренних организационно-распорядительных документов Компании по вопросам обработки и защиты ПДн;
• организовывать прием и обработку обращений и запросов субъектов ПДн или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов;
• исполнять иные обязанности и нести иные права, определенные в соответствующем локальном нормативном акте Компании.

Иные обязанности и права Ответственного за организацию обработки ПДн определяются в локальном нормативном акте Компании «Руководство должностного лица, ответственного за организацию обработки персональных данных в Закрытом акционерном обществе «Л’Ореаль».

Работники Компании, осуществляющие обработку ПДн, а также ответственные лица за организацию и обеспечение безопасности ПДн в Компании несут ответственность в соответствии с действующим законодательством РФ за нарушение положений настоящей Политики, локальных нормативных актов Компании, иных требований, предусмотренных законодательством РФ в области ПДн.