Политика обработки персональных данных

Утверждена и действует с 25.05.2018 

1.Термины, используемые в настоящей Политике обработки данных, имеют следующие значения.: 

1.1. Персональные данные – любая информация о физическом лице, личность которого установлена или личность которого можно прямо или косвенно установить (субъект данных), например, по имени и фамилии, персональному идентификационному номеру, данным о местоположении и интернет-идентификатору, или по физическим, физиологическим, генетическим, психическим и другим признакам. 

1.2. Лицо – любое физическое лицо, чьи Персональные данные обрабатываются (субъект данных), например, это может быть Потенциальный кандидат, Кандидат, Временный работник, Административный работник или любое другое физическое лицо.

1.3. Ответственное лицо – лицо, назначенное Контролером ответственным за защиту Персональных данных, включая сотрудника по защите данных (как определено в GDPR). Адрес электронной почты сотрудника по защите данных, назначенного Контролером: dpo@biuro.eu.

1.4. GDPR – Регламент (ЕС) 2016/679 Европейского парламента и Совета о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных и отменяющий Директиву 95/46/EC. Доступно по адресу: http.7/eur-lex.europa.eu/’legal-content/LT/TXT/? uri-CELEX° 3A32016R0679

1.5. В группу компаний «Biuro» входят следующие компании: ЗАО “Biuro Baltic”, ЗАО “Biuro”, ЗАО “Darbius”, ЗАО “Workis”, SIA “Biuro”, SIA “Biuro Latvia”, SIA “Starjobs”, OÜ “Biuro”, WORKIS OÜ, UAB “Biuro go”, ЗАО “Biuro MSP”, ЗАО “Talena”, ЗАО “Skilera”.

1.6. Обработка данных – любое действие, автоматизированное или неавтоматизированное, которое осуществляется в отношении Персональных данных, например, сбор, запись, сортировка, организация, хранение, адаптация или изменение, доступ, использование, раскрытие, ограничение, удаление или уничтожение и т.д.

1.7. Потенциальный кандидат – физическое лицо, чьи Персональные данные обычно являются общедоступными или публикуются в различных базах данных по поиску работы, либо лицо само предоставляет свои данные для того, чтобы с ним связались с целью предложить такому лицу возможность сотрудничать с Контроллер, участвовать в процессе отбора и, в зависимости от результатов отбора, приступить к работе. Потенциальный кандидат становится Кандидатом, заполнив анкету, содержащую его/ее личные данные.

1.8. Кандидат – физическое лицо, с которым уже связался Контроллер и которое согласилось сотрудничать с Контроллер, заполнило необходимые формы и предоставило свои Персональные данные, необходимые для того, чтобы Контролер мог сделать потенциальное предложение о работе, пригласить его на отбор и, в случае успеха, предложить заключить контракт.

1.9. Временный работник – Кандидат, успешно прошедший отбор и получивший предложение заключить временный трудовой договор.

1.10. Административный персонал – как правило, административный персонал Контролера, работающий с Персональными данными, но могут быть представители, уполномоченные или лица, имеющие доступ к Персональным данным на любой другой основе и выполняющие поручения Контролера.

1.11. Нарушение – нарушение безопасности Персональных данных, приводящее к случайному или незаконному уничтожению, потере, изменению, несанкционированному раскрытию, несанкционированной передаче, несанкционированному хранению или несанкционированному доступу, или другой обработке Персональных данных

1.12. Политика – Политика обработки персональных данных группы компаний «Biuro».

1.13. Контролирующий орган – независимый государственный орган, ответственный за надзор за соблюдением Требований к обработке данных, обладающий другими правами и функциями в соответствии с GDPR. Ведущим Контролирующим органом является Государственная инспекция по защите данных – государственный бюджетный орган, учрежденный и действующий в Литовской Республике.

Адрес веб-сайта Государственной инспекции по защите данных: www.ada.lt.

1.14. Оператор – физическое или юридическое лицо, которое по поручению Контролера обрабатывает Персональные данные, т.е. помогает Контролеру и выполняет его указания.

1.15. Контролер – любая компания, входящая в группу компаний «Biuro» в качестве контролера Персональных данных, которая самостоятельно или совместно с другими определяет цели и средства Обработки данных. Этот термин включает любую одну или все компании, входящие в группу компаний «Biuro».

1.16. Администратор сайта – ЗАО «Biuro Baltic», код юридического лица 302824226, адрес: Gedimino pr. 26, LT-01104 Vilnius, Литва, тел.: +37052139476, эл. почта: dpo@biuro.eu.

2. Цель Политики – установить основные правила Обработки данных каждой компанией, входящей в группу компаний «Biuro» в качестве Контроллера, обеспечивая соблюдение и надлежащее осуществление GDPR и любого другого применимого законодательства.

3. При обработке Персональных данных Контролеры должны, прежде всего , соблюдать следующие принципы GDPR: ограничение цели (Обработка данных только для изначально указанной цели); минимизация данных (только необходимый объем Персональных данных); законность, справедливость и прозрачность; точность; ограничение срока хранения (сохраняется только столько, сколько необходимо для конкретной цели); целостность и принципы конфиденциальности и подотчетности (Контролер должен предоставить доказательства выполнения своего обязательства).

4. Требования Политики должны соблюдаться всеми сотрудниками Администрации Контролера, которые обрабатывают Персональные данные, содержащиеся в базах данных Контролера, или получаемые/собираемые Персональные данные любым способом, или которые им стали известны в ходе выполнения своих обязанностей. Персональные данные могут обрабатываться и использоваться только теми сотрудниками Администрации, которым это необходимо для выполнения своих обязанностей и которые ознакомлены с Политикой (путем заключения трудового договора и подтверждения этого подписью). Такие сотрудники Администрации могут иметь доступ или предоставлять другим лицам только те документы и/или данные, которые необходимы для выполнения их обязанностей.

5. Реализация Политики и соблюдение вышеуказанных принципов защиты Персональных данных обеспечивается руководителям Контроллера совместно с Ответственными лицами путем принятия соответствующих мер и наблюдая за принятием соответствующих мер.

Актуальный список Ответственных лиц доступен каждому Контроллеру в базе данных группы компаний «Biuro».

6. Персональные данные обрабатываются Контролером в законных целях в порядке, указанном на сайте или в мобильном приложении каждого Контролера. Подробная информация об Обработке данных обрабатывается и доступная только Ответственным лицам во внутренней базе данных. В виде таблицы Лицам на национальном языке предоставляется следующая информация об Обработке Данных в соответствии с GDPR: информация о Персональных данных, цели использования Персональных данных, критерии правомерной обработки, группы Лиц, срок хранения, операторы и получатели данных и, при необходимости, другая информация (например, от кого получены данные, если данные предоставлены не самим Лицом; что данные предоставлены третьей стране за пределами ЕЭЗ; последствия непредоставления данных).

Таблица доступна на веб-сайте Контролера в разделе «Персональные данные».

7. В исключительных случаях, когда обрабатываются специальные категории Персональных данных, такие как информация о судимости, здоровье, членстве в профсоюзе и т.д., Административный персонал дополнительно проверяет, все ли необходимые шаги были предприняты, и при необходимости предпринимает дополнительные шаги (например, получает отдельное согласие на обработку) и принимает меры (например, не хранить в базе данных Контролера или в используемых программах ), когда это необходимо.

Шаги и их последовательность при обработке специальных категорий Персональных данных описаны во внутреннем процессе группы компаний «Biuro» «Обработка специальных категорий Персональных данных».

8. Персональные данные могут быть получены непосредственно от самих Лиц и от третьих лиц автоматизированным и неавтоматизированным способом, как указано в таблице об Обработке данных. В случае неавтоматизированной обработки Персональных данных, собранные данные вводятся в базу данных Контроллера вручную сотрудниками Администрации.

Таблица доступна на веб-сайте Контролера в разделе «Персональные данные».

9. Обрабатываемые Персональные данные могут быть предоставлены другим лицам только в соответствии с процедурами, установленными GDPR, и применимым законодательством, и только в случаях, указанных в настоящей Политике или в таблице об обработки данных. За пределами Европейского Союза и Европейской экономической зоны Персональные данные могут быть предоставлены только при условии обеспечения достаточного уровня защиты Персональных данных. Для Обработки данных Контролер будет использовать Операторов – поставщиков услуг серверных и облачных сервисов, которые могут работать за пределами Европейского Союза и Европейской экономической зоны, а соответствующие Персональные данные могут быть переданы в третьи страны в объеме, необходимом для выполнения функций Обработки данных, возложенных на Оператора.

Таблица доступна на веб-сайте Контролера в разделе «Персональные данные».

10. Контроллер может предоставлять Персональные данные судам, правоохранительным органам, службам судебных приставов, нотариальным конторам, адвокатам, помощникам адвокатов, государственным и муниципальным органам, компаниям, учреждениям и организациям, администраторам компаний, находящихся в стадии банкротства, и другим аналогичным субъектам. Персональные данные могут также предоставляться поставщикам услуг в связи с оказанием услуг Контроллеру (например, финансовые или юридические консультации, обновление программ , в которых обрабатываются Персональные данные). Данные предоставляются, когда это необходимо для защиты законных интересов или когда это требуется по закону для предотвращения или расследования преступных или противоправных действий (например, информация о дорожно-транспортных происшествиях, кражах, ущербе и т.д.), а также в других случаях, предусмотренных законом. Данные предоставляются только в необходимом объеме.

Действия и их последовательность при предоставлении Персональных данных описаны во внутреннем порядке группы компаний «Бюро» «Предоставление данных».

11. Контролер может пригласить в помощь себе Операторов. Действия и обязанности Оператора определяются договором между Оператором и Контролером, за исключением случаев, когда Обработка данных осуществляется в соответствии с правовым актом, обязательным для Оператора. По усмотрению Контролера обработка Данных может также регулироваться в приложении к договору об оказании услуг или иному договору между Контролером и Обработчиком (т.е. не обязательно отдельным договором).

Действия, которые необходимо предпринять, и их последовательн при приглашении Оператора описаны во внутреннем порядке группы компаний «Biuro» «Приглашение Оператора».

12. Осуществление технических и организационных мер безопасности. Контроллер должен выбрать и осуществить соответствующие организационные (например, разработка Политики, контроль ее выполнения, защищенный паролем доступ к компьютерам, компьютерной сети, базе данных), а также технические (использование антивирусного программного обеспечения, установка сигнализации в помещениях, физическая системы контроля входа лиц в помещения и т.д.) меры по своему усмотрению. При осуществлении своей деятельности Контроллер и его Административный персонал должны постоянно принимать во внимание существующие риски и постоянно стремиться минимизировать или избегать их, насколько это возможно.

Подробный список организационных и технических мер, которые должны быть реализованы, приведен в Приложении № 1 «Перечень технических и организационных мер, которые должны быть осуществлены».

13. Административный персонал обязан сохранять конфиденциальность и тайну Персональных данных, о которых ему стало известно при исполнении своих обязанностей, за исключением случаев, предусмотренных применимыми законодательством: когда такая информация является общедоступной, или когда Лицо дает согласие на ее раскрытие, или когда это необходимо для предотвращения уголовных или иных противоправных действий, или в других случаях . Это обязанность сохраняется после прекращения трудового договора или иного соглашения между Контроллером и Административным персоналом. Для этой цели с сотрудниками Администрации могут быть дополнительно подписаны отдельные соглашения о конфиденциальности.

14. Если сотрудникам Администрации, выполняющим функции по Обработке данных (включая тех, кто только знакомятся с Персональными данными), станет известно или возникнут подозрения, что безопасность Персональных данных или положения Политики могли быть нарушены, они должны немедленно (по возможности в течение 1 часа с момента получения информации) сообщить Ответственному лицу о Нарушении или о своих подозрениях. Администрации сообщивший сотрудник должен принять меры, указанные Ответственным лицом (или руководителем Контроллера) для предотвращения возможного Нарушения или для устранения уже произошедшего Н арушения. В случае Нарушения Контроллер должен незамедлительно и, по возможности, в течение не более 72 часов после того, как ему стало известно о Нарушении, уведомить об этом Контролирующий орган и может уведомить Лицо.

Действия и последовательность уведомления о (потенциальном) Нарушении описаны во внутреннем процессе группы компаний «Biuro» «Уведомление о Нарушении».

15. Лицо имеет все права, утвержденные в GDPR, включая право знать (быть информированным) об Обработке своих Персональных данных, иметь доступ к своим Персональным данным и к тому, как они обрабатываются, быть информированным о том, из каких источников и какие данные были собраны, с какой целью они обрабатываются, каким получателям они предоставляются, требовать исправить, удалить свои персональные данные или требовать ограничить или приостановить Обработку своих Персональных данных (за исключением хранения). В случае несоблюдения Политики, GDPR и других законодательных актов, Лицо также имеет право возражать против обработки своих Персональных данных, требовать удалить обрабатываемых данных, а также право на переносимость данных и право подать жалобу в надзорный орган.

16. Лицо имеет право воспользоваться своими правами, изложенными в настоящей Политике, в любое время по письменному запросу, сделанному лично, по почте или с помощью электронных средств связи (эл. почта: dpo@biuro.eu). Такой запрос, полученный Контроллером (сотрудником Администрации Контроллера), должен быть рассмотрен и удовлетворен бесплатно (если Контроллер сочтет запрос законным) или отклонен не позднее чем в течение 30 дней

Действия и последовательность обработки запросов о правах Лица описаны во внутреннем процессе группы компаний «Biuro» «Права Субъекта данных».

17. Если Лицо считает, что его права в отношении Обработки данных были нарушены, оно может подать жалобу в соответствующий Контролирующей орган. В любом случае, Лицо также может обратиться с жалобой на нарушение своих прав в соответствующий надзорный орган в стране проживания, который направит или рассмотрит жалобу совместно с ведущим Контролирующим органом в соответствии с процедурами, изложенными в GDPR.

18. Когда персональные данные больше не нужны для целей их обработки, они уничтожаются автоматизированными средствами или когда Лицо делает законный запрос на удаление Персональных данных, Персональные данные должны быть уничтожены в соответствии с процессом, установленным Контролером, таким образом, чтобы их невозможно было восстановить и их содержание не могло быть распознано. Во всех случаях, когда Лицо отказывается свое согласие на обработку или требует уничтожения или стирания обрабатываемых Персональных данных, а Контролер имеет такое обязательство в соответствии с GDPR, Контролер первоначально ограничит доступ к Персональным данным на период 6 месяцев. После ограничения доступа будут видны только основные Персональные данные (имя, фамилия, номер телефона, адрес электронной почты), чтобы зафиксировать запрос Лица (например, чтобы предотвратить повторный контакт Административного персонала и Повторное предложение о работе , если Лицо уже выразило свое несогласие/возражение). По истечении срока действия ограниченного обязательства запрос Лица должен быть выполнен (например, Персональные данные должны быть удалены, если была подана просьба об их удалении).

Действия и последовательность удаления Персональных данных описаны во внутреннем процессе группы компаний «Biuro» «Права Субъекта данных».

18.1. Сотрудники Администрации, непосредственно обслуживающие/работающие с Лицами, несут ответственность за то, чтобы Лица были надлежащим образом проинформированы о своих правах в отношении Обработки данных и их защиты. За нарушение Политики сотрудники Администрации несут ответственность в установленном законом порядке.

18.2. Инструкции, касающиеся Обработки данных, представлены во внутренних процессах группы компаний «Biuro», другая информация, касающаяся Обработки данных, доступная сотрудникам Администрации, а также информация, опубликованная на веб-сайтах и в мобильных приложениях группы компаний «Biuro», являются неотъемлемой частью настоящей Политики.

19. Контролеры также могут осуществлять видеонаблюдение. Обработка Персональных видеоданных регулируется отдельным документом.

20. Настоящая Политика пересматривается периодически, не реже одного раза в 2 года, и обновляется по мере необходимости. Публикуется только актуальная редакция Политики. Политика, изменения и дополнения к ней утверждаются руководителем одного из Контроллеров, ЗАО «Biuro Baltic», по взаимному согласию Управляющих, и являются обязательными для всех компаний группы «Biuro». Измененная Политика вступает в силу на следующий день после ее утверждения. Сотрудники Администрации должны быть ознакомлены с Политикой при подписании трудового договора и обязаны знакомиться с изменениями и дополнениями к Политике, регулярно проверяя, не утверждены ли новые изменения или дополнения к Политике.

ПРИЛОЖЕНИЯ:

Приложение № 1: Таблица «Персональные данные» 

Приложение № 2: Перечень технических и организационных мер, которые должны быть реализованы. 

ПРИЛОЖЕНИЕ № 1 

К ПОЛИТИКЕ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

ЦЕЛЬ ОБРАБОТКИ ДАННЫХ	СУБЪЕКТЫ ДАННЫХ	ПЕРСОНАЛЬНЫЕ ДАННЫЕ	ПРАВОВОЕ ОСНОВАНИЕ	СРОК ХРАНЕНИЯ (КРИТЕРИИ)
Связаться с Лицом, ищущим работу, представить ему предложения о работе, которые могут его заинтересоват, и пригласить на собеседование	Потенциальные кандидаты	Персональные данные, представленные в Интернете, и          общедоступные в базах данных по поиску работы или предоставленные Лицом иным образом (например, в Комментариях к  размещенному предложению о работе): отдел, источник кандидата, комментарии в CRM-системе перед собеседованием, адрес электронной почты, пол, год рождения, планируемая дата собеседования, знание языков, имя, фамилия, номера телефонов, ожидания относительно заработной платы, , SMS  история, изменения статуса, вакансии, резюме, идентификатор (ID) в CRM-системе, характеристики, квалификация, сертификаты, навыки.	Обработка необходима для соблюдения законных интересов Контролера, за исключением случаев, когда интересы Лица или основные права и свободы, для которых необходима защита Персональных данных, преобладают.  Законными интересами  в данном случае являются предоставление услуг, адаптированных для конкретных Лиц, и коммуникация с этими  ЛицамиКонтроллер желает предоставить свои услуги Потенциальным кандидатам (включая, но не ограничиваясь, предлагать вакансии , приглашать  на процедуры отбора и т.д.) и, в то же время, это необходимо для  коммерческой деятельности Контроллера.	6 месяцев
Предоставление услуг Лицам – Кандидатам, а именно: помощь в поиске работы, подбор предложений о работе для потенциально подходящих кандидатов, активный поиск вакансий, предлагаемых партнерами Контроллера, и уведомление о вакансиях.	Кандидаты	В основном будут обрабатываться Персональные данные, полученные непосредственно от Лица: имя, фамилия, адрес, знание языков, дата рождения, отдел, комментарии в CRM-системе, прошлая трудовая история, информация о возможности использовании личного автомобиля, электронная почта, источник, из которого Кандидат узнал о предложениях «Biuro», пол, квалификация, сертификаты, навыки, номер мобильного телефона, номера телефонов, фотография, содержание рекомендаций, зарплатные ожидания, история SMS-общения   (между Контроллер и Лицом), резюме, изменения статуса вакансий, на которые претендует Кандидат, опыт работы, инвалидность, характеристики, идентификатор (ID) системы CRM, копия медицинской справки (если требуется для работы), по вашему решению, идентификация профиля Google, Facebook, также фотографии профиля Facebook, Google в целях идентификации, идентификация личности (ID) для подтверждения того, что вы можете подписать контракт с помощью электронной подписи, результаты обучающих тестов, город, оценка бывших работодателей.	Обработка необходима для выполнения контракта, стороной которого является субъект данных, или для принятия мер по просьбе субъекта данных до заключения контракта.	2 года с даты заполнения формы Персональных данных или 2 года после заключения трудового договора (независимо от того, является ли трудовой договор срочным или бессрочным, если трудовой договор длится менее 2 лет, срок отсчитывается заново с момента заключения нового договора).  Факультативные, По желанию Лица (галочка ставится при заполнении формы), на продленный период, т.е. на период трудоустройства плюс 2 года после  прекращения трудовых отношений.
Для информирования о новых услугах, деловых новостях, событиях, предоставления информации об улучшении обслуживания и подобной информации.	Кандидаты/сотрудники/потенциальные клиенты/заказчики	Будут обрабатываться Персональные данные, необходимые для связи с Лицом: имя, фамилия, контактная информация (электронная почта и номер телефона).	Лицо дало свое согласие на обработку своих персональных данных для этой конкретной цели.	В течение срока действия заключенного контракта. В случаях, когда осуществляется обработка Персональных данных Кандидата, срок действия договора на оказание услуг между Контролером и Кандидатом будет считаться равным 2 годам с даты внесения Персональных  данных в анкете, 2 годам после заключения трудового договора (независимо от того, является ли трудовой договор срочным или бессрочным) или, по выбору Лица, периоду трудоустройства плюс 2 года после прекращения трудовых отношений (по желанию).
Обеспечение соблюдения трудового договора	Персонал/Сотрудники Администрации	Большинство Персональных данных поступают непосредственно от Лица, но некоторые данные могут быть собраны из других источников (третьих лиц): имя, фамилия, адрес, информация о назначении, знание языков, дела судебных приставов, дата рождения, отдел, город, комментарии в системе CRM, обязательная медицинская справка, резюме (CV), адреса, данные из трудового договора и данные, необходимые для исполнения трудового договора (включая необлагаемую налогом сумму, номер социального страхования, даты отпуска, дату прекращения трудового договора и др.), сертификаты, статус иностранца, пол, IBAN, идентификатор (ID) в системе CRM, семейное положение и данные о детях (если применимо), номера телефонов, присвоенный идентификатор (ID) в Системе клиентов, персональный идентификатор (ID), фотография, профессиональная квалификация, ожидаемая заработная плата, медицинская карта, история коммуникации, характеристики, приоритетный график, дата декретного отпуска, результаты учебных тестов, подпись, инвалидность, место жительства в текущей стране, вид на жительство в текущей стране, пенсионное страхование. Данные, касающиеся командировок (даты, периоды, информация о жилье, суммы к выплате и т.д.). Персональные данные третьих лиц (возможно при условии, что Работник предоставляет соответствующее согласие такого третьего Лица на обработку его/ее Персональных данных): имя, фамилия, идентификатор личности (ID) и номер счета.	Обработка необходима для выполнения контракта, стороной которого является субъект данных, или для принятия мер по просьбе субъекта данных до заключения контракта.	Как правило, на срок действия трудового договора, однако некоторые из перечисленных Персональных данных могут храниться в течение более длительного периода времени в целях архивирования в соответствии с законом.
Преддоговорные отношения, изучение спроса и осуществление прав и обязанностей по заключенным договорам	Потенциальные клиенты/клиенты Потенциальные поставщики/поставщики	Персональные данные, необходимые для контакта и связи до и во время договорных отношений: имя, фамилия, должность, номер мобильного телефона, электронная почта, адрес рабочего места, контакты skype, комментарии CRM-системы, финансовая или банковская информация, подпись, история общения по электронной почте, название компании.	Законный интерес: предконтрактная разработка персонализированной услуги и общение с потенциальными клиентами.  Контроллер намерен предоставлять услуги потенциальным клиентам (включая, но не ограничиваясь, предложением вакансий Потенциальным кандидатам), и это также необходимо для ведения коммерческой деятельности Контроллера.  Законный интерес: Контроллер желает получить услуги от потенциальных поставщиков (включая, но не ограничиваясь, получение котировок от потенциальных поставщиков, обращение к ним за услугами), что также необходимо для ведения коммерческой деятельностиКонтроллера.	3 года с момента последнего контакта с потенциальным клиентом или поставщиком. В случаях, когда договор заключен  –10 лет с момента расторжения договора, если не указан более длительный срок  для целей архивирования.

ИСТОЧНИКИ ДАННЫХ: Персональные данные могут быть получены непосредственно от Лиц или от третьих лиц, обрабатывающих Персональные данные, перечисленные в таблице выше (например, базы данных по поиску работы, информация от судебных приставов, государственных и муниципальных органов, бывших работодателей и т.д.). 

СТАТИСТИЧЕСКИЕ И ЦЕЛИ АРХИВИРОВАНИЯ: Персональные данные, перечисленные в таблице выше, могут обрабатываться для целей архивирования в общественных интересах или для статистических целей, совместимых с целями обработки, перечисленными в таблице выше. Дальнейшая обработка Персональных данных для целей архивирования в общественных интересах или для статистических целей осуществляется после того, как Контролер данных оценивает возможность достижения этих целей путем обработки данных, при которой Субъект данных не может быть идентифицирован, при условии принятия соответствующих мер предосторожности (таких как, например, использование псевдонимизации персональных данных). 

ПОЛУЧАТЕЛИ И ОПЕРАТОРЫ ДАННЫХ: 

При предоставлении услуг любому Лицу или третьим лицам Контролер обязан передавать Персональные данные третьим лицам. Однако, помимо предоставления услуг Контролером, для обеспечения функциональности услуг используются услуги третьих лиц (например, провайдеры облачных хранилищ). Передача Персональных данных этим постороннипоставщикам услуг необходима для того, чтобы эти третьи лица могли предоставлять свои услуги. Этими посторонними поставщики услуг считаются Операторы данных. Передача Персональных данных этим сторонним поставщикам услуг будет ограничена до минимуманеобходимогодля обеспечения предоставления услуг третьих лиц. Все сторонние поставщики услуг, котоКонтролер передает Персональные данные, будут следовать инструкциям Контролера по обработке Персональных данных. 

Основными группами получателей Данных являются: компании группы «Biuro»; Поставщики услуг Контроллера (могут быть независимыми Контролерами данных или лицами в зависимости от конкретной ситуации); Клиенты, взыскатели долгов, государственные органы. 

ПРИЛОЖЕНИЕ № 2 

К ПОЛИТИКЕ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Утверждено и действителен с 25 мая 2018 г. 

ТЕХНИЧЕСКИЕ И ОРГАНИЗАЦИОННЫЕ МЕРЫ 

Контроллер обеспечивает соблюдение самых современных стандартов безопасности и защиты Данных, включая защиту Персональных данных и Конфиденциальных данных. Современные технологии и соответствующие процессы, политики и аудиты обеспечивают соблюдение и постоянное совершенствование мер безопасности. Детали технических и организационных мер, которые были реализованы для целей защиты Данных, включают (но не ограничиваются ими): 

1.Контроль доступа (здание/офисы/центр обработки данных) – для предотвращения несанкционированного доступа к Системам данных, в которых обрабатываются Персональные данные:  

• Система безопасности 
• Фотоэлектрические датчики/детекторы движения 
• Управление ключами (выдача ключей и т.д.) 
• Система замков с подключаемыми картами/ транспондерами, используемая в определенных точках доступа 
• Система ключевых замков (ограниченное использование ключевым персоналом, используется для  доступа в случае сбоя системы контроля) 
• Видеокамеры в точках доступа (офис и Центр обработки данных в Вильнюсе) 
• Замки безопасности (навесные замки) 
• Внимательный прием уборщиц 
• Отдельный, специальный и документированный контроль доступа в центры обработки данных и серверные комнаты для уполномоченных лиц. Доступ уполномоченных лиц документируется по имени и фамилии. Для центров обработки данных установленн отдельные системы контроля доступа 

2. Контроль доступа (системы) – для предотвращения использования систем обработки данных неуполномоченными лицами: 

• Назначение прав пользователей 
• Присвоение паролей 
• Аутентификация с использованием имени пользователя/пароля 
• Использование межсетевых экранов на оборудовании 
• Создание профилей пользователей 
• Дополнительные меры: устранение неисправностей, требования минимальной сложности пароля и принудительная смена пароля, использование вирусных сканеров 
• Присвоение профилей пользователей для ИТ-систем 
• Администрирование централизованного использования смартфонов (например, удаленное стирание смартфонов) 
• Использование Программных межсетевых экранов (офисный клиент). 

3. Контроль доступа (Данные) – обеспечение того, чтобы уполномоченные пользователи системы Обработки данных имели доступ только к тем данным, доступ к которым им разрешен, а также предотвращение чтенияПерсональных данных без разрешения в процессе их использования, передачи либо хранения: 

• Создание концепции авторизации 
• Сокращение числа администраторов до «необходимого» числа 
• Регистрация доступа, особенно при вводе, изменении и удалении данных. 
• Безопасная очистка носителей перед повторным использованием 
• Использование шредеров или услуг (по возможности с пометкой о конфиденциальности) 
• Управление правами системного администратора 
• Политика паролей, включая длину пароля, управление сменой паролей 
• Безопасное хранение носителей данных 

4. Контроль передачи – обеспечить чтобы Персональные данные не могли  быть прочитаны, скопированы или изменены с помощью электронных средств, при передачи или хранения на диске: 

• Документирование получателей Данных и сроков предоставления Данных, включая согласованное время удаления 
• TLS-шифрование для всех коммуникаций (веб-клиент, интерфейсы приложений, мобильные программы) 

5. Контроль ввода – обеспечение возможности последующего контроля и определения того, были ли введены, изменены или удалены Персональные данные в Системах обработки данных, а также иным способом: 

• обеспечить, чтобы уполномоченные пользователи системы обработки данных имели доступ только к тем данным, доступ к которым им разрешен, и также предотвратить чтения Персональных данных без разрешения в процессе их использования, передачи либо хранения. 
• Предоставление прав на ввод, изменение или удаление Данных на основе концепции авторизации 
• Хранение форм, через которые были получены Данные в ходе автоматизированной обработки 

6. Контроль заказов – Предоставление прав на ввод, изменение или удаление данных на основе концепции авторизации: 

• Выбор стороны договора через просмотр истории (особенно в области безопасности данных) 
• Письменные инструкции подрядчику (например, DTS) (GDPR) 
• Согласованные права эффективного контроля для Операторов данных 
• Обязанность сотрудника подрядчика хранить конфиденциальность Данных (GDPR) 
• Обеспечение безопасного уничтожения Данных после прекращения действия контракта (GDPR) 
• Постоянный Надзор подрядчиками и их деятельностью. 

7. Контроль доступности – обеспечить защиту персональных данных от случайного уничтожения или потери: 

• Источники бесперебойного питания (ИБП) 
• Системы обнаружения пожара и дыма 
• Проверки восстановления данных 
• Безопасное внеофисное хранение резервных копий данных 
• Серверные помещения выше ватерлинии в зонах затопления. 
• Кондиционирование воздуха в серверных комнатах 
• Концепция резервного копирования и восстановления данных 
• Серверные комнаты, не расположенные под санитарными узлами 
• Два активных центра Обработки данных/активная конфигурация