8.1. Общество в своей деятельности принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
8.2. Технические средства, позволяющие осуществлять обработку персональных данных - средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах.
8.3. Безопасность персональных данных достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий.
8.4. Безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации (в том числе шифровальные (криптографические) средства, средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки персональных данных), а также используемые в информационной системе информационные технологии. Технические и программные средства должны удовлетворять устанавливаемым в соответствии с законодательством Российской Федерации требованиям, обеспечивающим защиту информации.
8.5. Методами и способами защиты информации от несанкционированного доступа являются:
реализация разрешительной системы допуска пользователей к информационным ресурсам, информационной системе и связанным с ее использованием работам, документам;
ограничение доступа пользователей в помещения, где размещены технические средства, позволяющие осуществлять обработку персональных данных, а также хранятся носители информации;
разграничение доступа пользователей к информационным ресурсам, программным средствам обработки (передачи) и защиты информации;
регистрация действий пользователей, контроль несанкционированного доступа и действий пользователей и посторонних лиц;
учет и хранение съемных носителей информации и их обращение, исключающее хищение, подмену и уничтожение;
резервирование технических средств, дублирование массивов и носителей информации;
использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия:
использование защищенных каналов связи;
размещение технических средств, позволяющих осуществлять обработку персональных данных, в пределах охраняемой территории;
организация физической защиты помещений и собственно технических средств, позволяющих осуществлять обработку персональных данных;
предотвращение внедрения в информационные системы вредоносных программ (программ-вирусов) и программных закладок.
8.6. В Обществе применяется комплекс мер по обеспечению безопасности персональных данных при их обработке, осуществляемой без использования средств автоматизации.
8.6.1. Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.
8.6.2. Необходимо обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.
8.6.3. При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются оператором.
8.7. К техническим средствам защиты информационных систем персональных данных в Обществе относятся серверы и программное обеспечение для хранения и обработки персональных данных Клиентов. Используется клиент-серверная архитектура с разграничением прав доступа пользователей к информации, содержащей персональные данные Клиентов.
8.8. В Обществе используется следующее программное обеспечение для обработки персональных данных:
PMS Opera,
TNG,
Почтовый сервер Exchange,
1С: КСУ,
«MS Office»,
Серверное ПО
Вышеуказанные технические средства информационных систем персональных данных размещаются в офисных и иных помещениях Общества, расположенных по адресу: Российская Федерация, Приморский край, г. Владивосток, ул. Корабельная Набережная, д. 10.
Установка средств зашиты информации и монтаж оборудования, используемого для обработки персональных данных Клиентов, выполнен в соответствии с требованиями технической документации.
8.9. Требования к работникам в связи с обработкой персональных данных:
обеспечение конфиденциальности персональных данных, обрабатывающихся в Обществе, является обязательным требованием для всех работников Общества, которым персональные данные стали известны.
все лица, допущенные к работе с персональными данными, а также связанные с эксплуатацией и техническим сопровождением информационных систем персональных данных должны быть под роспись ознакомлены с требованиями настоящего Положения.
8.10. Порядок доступа и передачи персональных данных:
8.10.1. Перечень должностей и работников, имеющих доступ к персональным данным Клиентов, утверждается настоящим Положением и/или приказом Генерального директора. Указанным в перечне работникам Общества предоставляется доступ к работе с персональными данными исключительно в пределах и объёмах, необходимых для выполнения ими своих должностных обязанностей.
Право доступа к персональным данным Клиентов в пределах, необходимых для выполнения своих должностных обязанностей имеют следующие категории работников Общества:
генеральный директор,
директор филиала,
операционный директор,
работники финансового департамента,
работники отдела безопасности и предотвращения кризисных ситуаций,
заместитель генерального директора по защите активов,
юрисконсульт,
работники ИТ-отдела,
работники службы приема и размещения,
работники службы гостиничного хозяйства,
работники отдела продаж и маркетинга;
работники отдела бронирования;
работники подразделения «СПА и фитнес».
8.10.2. Временный или разовый допуск к работе с персональными данными в связи со служебной необходимостью может быть получен сотрудником Общества по согласованию с генеральным директором.
8.10.3. Доступ лиц, не являющихся сотрудниками Общества, к персональным данным Клиентов Общества без согласия самих Клиентов, запрещен, за исключением доступа сотрудников органов исполнительной власти, осуществляемого в рамках мероприятий по контролю и надзору за исполнением законодательства, реализации функции и полномочий соответствующих органов государственной власти, а также в иных случаях, предусмотренных действующим законодательством. Предоставление информации по запросу или требованию органа государственной власти осуществляется после уведомления генерального директора Общества о необходимости предоставления информации.
8.10.4. Доступ работников Общества к персональным данным Клиентов прекращается с даты прекращения трудовых отношений, либо даты изменения должностных обязанностей работника и/или исключения его из списка лиц, имеющих право доступа к персональным данным. В случае увольнения работника все носители, содержащие персональные данные, которые в соответствии с должностными обязанностями находились в распоряжении работника в период его работы в Обществе, должны быть переданы непосредственному руководителю.
8.10.5. Работники обязаны незамедлительно сообщать заместителю генерального директора по защите активов Общества или Старшему менеджеру по безопасности Общества об утрате или недостаче носителей информации, составляющей персональные данные, а также о причинах и условиях возможной утечки персональных данных. В случае попытки посторонних лиц получить от работника персональные данные, обрабатываемые в Обществе, незамедлительно известить об этом заместителя генерального директора по защите активов Общества или Старшего менеджера по безопасности Общества.
8.10.6. В случае если сотруднику сторонней организации необходим доступ к персональным данным Клиентов Общества, то необходимо, чтобы в договоре со сторонней организацией были прописаны условия конфиденциальности персональных данных и обязанность сторонней организации и её сотрудников по соблюдению требований действующего законодательства в области защиты персональных данных. Указанное согласие не требуется, если персональные данные предоставляются в целях исполнения гражданско-правового договора, заключенного Обществом с субъектом персональных данных.
8.11. Ответственные лица за хранение персональных данных Клиентов определяются приказом Генерального директора или Директора филиала. Персональные данные Клиентом хранятся в службе приема и размещения, подразделении «СПА и фитнес», отделе безопасности и предотвращения кризисных ситуаций, отделе продаж и бронирования, а также на серверах компьютерной системы. Носители персональных данных Клиентов в Обществе не должны оставаться без присмотра. При оставлении рабочего места, работники, осуществляющие обработку персональных данных, должны убирать носители в сейф, запираемый шкаф или иным образом ограничивать несанкционированный доступ к носителям. При утере или порче персональных данных осуществляется по возможности их восстановление.
8.12. При работе с программными средствами автоматизированной системы Общества, реализующей функции просмотра и редактирования персональных данных Клиентов, запрещается демонстрация экранных форм, содержащих такие данные, лицам, не имеющим соответствующего допуска.
8.13. При сборе и обработке персональных данных работником Общества, который в соответствии с должностными обязанностями получает персональные данные от Клиента или иного лица, проводится проверка достоверности документов, содержащих персональные данные. Ввод персональных данных в автоматизированную систему Общества осуществляется работниками, имеющими доступ к соответствующим персональным данным Клиентов.
8.14. Особенности обработки персональных данных, содержащихся на бумажных носителях, без использования средств автоматизации (при составлении документов не используется ПЭВМ) установлены в соответствии с Постановлением Правительства РФ от 15.09.2008 №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
8.14.1. При неавтоматизированной обработке различных категорий персональных данных должен использоваться отдельный материальный носитель для каждой категории персональных данных.
8.14.2. При неавтоматизированной обработке персональных данных на бумажных носителях:
не допускается фиксация на одном бумажном носителе персональных данных, цели обработки которых заведомо не совместимы;
персональные данные должны обособляться от иной информации, в частности путем фиксации их на отдельных бумажных носителях, в специальных разделах или на полях форм (бланков);
8.14.3. При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных (далее — типовые формы), должны соблюдаться следующие условия:
типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели неавтоматизированной обработки персональных данных, имя (наименование) и адрес оператора, фамилию, имя, отчество и адрес субъекта персональных данных, источник получения персональных данных, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых оператором способов обработки персональных данных;
типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на неавтоматизированную обработку персональных данных, - при необходимости получения письменного согласия на обработку персональных данных;
типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;
типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.
8.15. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен действующим законодательством, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, настоящим Положением.
8.16. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижению целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено действующим законодательством/настоящим Положением.
8.17. Случаи уничтожения, блокирования и уточнения персональных данных:
в случае выявления недостоверных персональных данных или неправомерных действий с ними Общество при обращении или по запросу субъекта персональных данных или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных обязано осуществить блокирование персональных данных, относящихся к соответствующему субъекту персональных данных, с момента такого обращения или получения такого запроса на период проверки. Блокирование осуществляется на основании распоряжения (приказа) генерального директора Общества путем прекращения каких-либо действий с персональными данными.
в случае подтверждения факта неточности персональных данных Общество на основании документов, представленных субъектом персональных данных или его законным представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязано уточнить персональные данные (внести изменения) и снять их блокирование. Снятие блокирования осуществляется на основании приказа генерального директора Общества.
в случае выявления неправомерных действий с персональными данными Общество в срок, не превышающий трех рабочих дней с даты такого выявления, обязано устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений Общество в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязано уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных Общество обязано уведомить субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, - также указанный орган.
в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных Общество обязано прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий 30 рабочих дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между Обществом и субъектом персональных данных. Об уничтожении персональных данных Общество обязано уведомить субъекта персональных данных.
уничтожение или обезличивание части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе (удаление, вымарывание).
уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя - путем фиксации на том же материальном носителе сведении о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.
8.18. Уничтожение носителей, содержащих персональные данные осуществляется в следующем порядке:
персональные данные на бумажных носителях уничтожаются способом, не позволяющим восстановить документ (применение шредеров - уничтожителей документов).
персональные данные, размещенные в памяти ПЭВМ, уничтожается путем удаления их из памяти ПЭВМ.
персональные данные, размещенные на флеш-карте, CD-диске, ином носителе информации, уничтожаются путем удаления файла с носителя, при необходимости путем нарушения работоспособности флеш-карты или CD-диска.
8.19. Требования к помещениям, в которых обрабатываются персональные данные.
8.19.1. Доступ в помещения, в которых располагаются средства обработки персональных данных, должен контролироваться работниками службы защиты активов.
8.19.2. Сетевое оборудование, серверы следует располагать в местах, недоступных для посторонних лиц (в специальных помещениях, шкафах, коробах).
8.19.3. Уборка помещений и обслуживание технических средств информационных систем персональных данных должны осуществляться под контролем ответственных за данные помещения и технические средства лиц с соблюдением мер, исключающих несанкционированный доступ к персональным данным, носителям информации, программным и техническим средствам обработки, передачи и защиты информации.
8.20. Обязанности работников ИТ-отдела в части обеспечения защиты информационных систем персональных данных:
управление учетными записями пользователей и установление разграниченных прав доступа в информационных системах персональных данных,
поддержание бесперебойной работы и защиты информационных систем персональных данных,
обеспечение резервного копирования данных,
установка и конфигурирование аппаратного и программного обеспечения информационных систем персональных данных, не связанного с обеспечением безопасности персональных данных в информационных системах персональных данных.
выполнение требований по конфиденциальности, целостности и доступности информационных систем персональных данных и общих требований по безопасности персональных данных, установленных федеральным законодательством.
учет и хранение машинных носителей персональных данных.
анализ защищенности информационных систем персональных данных.
участие в служебных расследованиях фактов нарушения установленного порядка обработки и обеспечения безопасности персональных данных.