ПОЛІТИКА БЕЗПЕКИ ЩОДО ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ "NEW POST INTERNATIONAL MLD" ТОВ
Цю Політику щодо обробки персональних даних (далі « Політика ») розроблено та затверджено компанією NEW POST INTERNATIONAL MLD ТОВ, IDNO 1014600029674 з юридичною адресою: вул. Барбу Леутару 3, муніципій Кишинів, Республіка Молдова (далі « Оператор »), компанія, яка існує та діє відповідно до законодавства Республіки Молдова, з метою дотримання положень Закону № 133 від 8 липня, 2011 про захист персональних даних та вимоги до криптографічної обробки та забезпечення безпеки персональних даних під час їх обробки в інформаційних системах персональних даних, затверджений постановою Уряду від 14 грудня 2010 р. № 1123, а також відповідно до положення інших нормативних актів, що стосуються захисту персональних даних відповідної особи, щодо наступного:
1. СФЕРА ЗАСТОСУВАННЯ
- 1Ця Політика є актом внутрішнього розпорядку, який є обов'язковим для виконання Оператором, працівниками та службовцями Оператора. Оператор повідомить зміст цієї Політики всім своїм співробітникам шляхом її розміщення в доступному їм місці. Зміст цієї Політики буде доведено до відома Клієнтів Оператора шляхом розміщення на веб-порталі www.novapost.com.
- 2Ця Політика застосовується та є обов'язковою для всіх операційних дій Компанії, які передбачають обробку персональних даних, але не обмежуються: - обробкою даних про Співробітників, обробкою даних про Клієнтів/постачальників/субпідрядників; обробки даних засобами відеоспостереження та обробки даних у бухгалтерському обліку.
- 3Співробітники та представники (виконавці доручень) Оператора оброблятимуть персональні дані відповідно до принципів і правил, зазначених у цій Політиці, для законних цілей.
2. МЕТА
- 1Метою розробки цієї Політики є визначення вимог і порядку захисту Персональних даних від несанкціонованого витоку та дотримання правил обробки Персональних даних, з метою забезпечення захисту приватного життя суб'єктів.
- 2Система бухгалтерського обліку та обліку робочого часу, дані про співробітників, клієнтів і постачальників, а також будь-які інші дані, що обробляються відповідно до цієї Політики, зберігаються на серверах Оператора. Дані передаються через кордон в Україні до Компанії ТОВ «НОВА ПОШТА» на підставі укладеної Угоди про передачу персональних даних.
- 3Дані, якими керує ця система, зберігаються на серверах Оператора для зберігання на серверах, розташованих за зареєстрованою адресою Імпортера даних, з метою зберігання та пошуку даних у результаті збору інформації, створеної в результаті укладання договорів з клієнтами, а також у статистичних цілях. Дані зберігаються на серверах стільки часу, скільки це необхідно за укладеним договором. Якщо транскордонний договір розірвано, призупинено або якимось іншим чином експортер даних не зможе зберігати дані за межами юрисдикції Республіки Молдова, то Оператор тимчасово призупинить передачу даних. У будь-якому випадку розірвання угоди про транскордонну передачу сторони зберігають свої права та обов'язки щодо переданих персональних даних. Передача даних здійснюється через кордон до України.
- 4Персональні дані, записані в цій системі запису, зберігатимуться на серверах Оператора, які знаходяться за межами Республіки Молдова. У цьому сенсі Оператор уклав Договір про транскордонну передачу персональних даних з уповноваженим іноземним Оператором, який детально регулює умови та деталі передачі персональних даних, права та обов'язки імпортера та експортера даних, що регулюються. Зокрема, Імпортер даних має зобов'язання обробляти персональні дані лише на умовах та відповідно до вказівок експортера даних.
- 5Передачі підлягають такі категорії даних: Персональні дані стосуються наступних категорій даних: прізвище, ім'я та по батькові; стать, підпис, електронний підпис, персональний державний ідентифікаційний номер (IDNP); Дата і місце народження; громадянство, дані з документів про цивільний стан, особистий код медичного страхування (CPAM), мобільний телефон, домашня адреса/телефон/факс місця проживання, професія електронної пошти, посада професійна підготовка – дипломи – навчання дані про сімейне становище членів сім'ї економічне чи фінансове становище, сума заробітної плати брутто, бонуси, надбавки, стимули, заохочення, дані з листка про медичну відпустку, банківські дані, зображення, дані з посвідчення водія дисциплінарні санкції код особистого соціального страхування (CPAS) код особистого медичного страхування дані з реєстраційних свідоцтв з місця роботи.
- 6Суб'єкт персональних даних буде проінформований про передачу даних, а також про його права. Транскордонна передача даних відбувається за явною згодою Суб'єкта даних. Згода щодо транскордонної передачі буде включена в Індивідуальний трудовий договір у формі прямої згоди. Модель згоди на транскордонну передачу даних додається до цієї Політики. Поштовий рахунок, за допомогою якого обробляються дані Клієнта, додається до цієї Політики.
- 7І експортер, і імпортер даних забезпечуватимуть суворе дотримання прав суб'єкта даних. У цьому сенсі суб'єктам даних буде надано, безпосередньо або через третю сторону, особисту інформацію про них, якою володіє організація, за винятком запитів, які явно є образливими. Джерела персональних даних не мають мати можливість їх ідентифікувати, якщо це неможливо, вживаючи розумні зусилля, або якщо права інших осіб, крім фізичної особи, будуть порушені. Суб'єкти даних повинні мати можливість виправити, змінити або видалити свою особисту інформацію, якщо вона є неточною або обробляється з порушенням цих принципів. Якщо є вагомі причини сумніватися в правомірності запиту, організація може попросити додаткове обґрунтування перед тим, як продовжити виправлення, зміну чи видалення. Повідомлення про будь-які виправлення, модифікацію або видалення третіх сторін, яким було розкрито дані, не можна робити, якщо це вимагає непропорційних зусиль. Особа також повинна мати можливість заперечити проти обробки персональних даних, які її стосуються, якщо для цього є обґрунтовані та законні причини, пов'язані з її особистою ситуацією. Обов'язок доведення будь-якої відмови лежить на імпортері даних, і суб'єкт даних завжди може оскаржити відмову в органі влади.
3. КАТЕГОРІЇ СУБ'ЄКТІВ ТА КАТЕГОРІЇ ДАНИХ
- 1У зв'язку зі своєю діяльністю Оператор обробляє персональні дані своїх співробітників (працівників, кандидатів на роботу), а також дані, що стосуються фізичних осіб: партнерів, субпідрядників та інших постачальників товарів і послуг Оператора в межах, встановлених законодавством («Суб'єкти»).
- 2Категорії персональних даних, які обробляються Оператором, представлені в Додатку 1 до цієї Політики.
- 3Оператор обробляє персональні дані за допомогою ручних та/або автоматичних засобів, дотримуючись вимог законодавства та в умовах, що забезпечують безпеку, конфіденційність та дотримання прав суб'єктів.
4. ЗАГАЛЬНІ ПРИНЦИПИ ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ
- 1Персональні дані обробляються:
- 1.1правильно та відповідно до законодавчих положень - обробка персональних даних буде здійснюватися в суворій відповідності до законодавства у сфері захисту персональних даних. Цей факт означає, що перед збором, використанням і розкриттям персональних даних обробка повинна чітко випливати з законного права чи обов'язку;
- 1.2для визначених, явних і законних цілей, і згодом вони не обробляються для несумісних цілей - будь-яка обробка персональних даних здійснюється для чітко визначених, чітких і законних цілей, адекватних, релевантних і не надмірних щодо мети, для якої вони використовуються. зібрані та згодом оброблені. Накопичена інформація призначена для використання Оператором та його партнерами в законних цілях і може передаватися, залежно від потреби, таким одержувачам: сторони-замовники, державні нотаріуси, суди, юридичні та фінансові консультанти, включаючи юристів, постачальники товарів і послуг, державні установи, банківські установи, державні реєстри, а також інші види безпосередньо цільових одержувачів.
- 1.3конфіденційність - співробітники Оператора, які пройшли навчання щодо безпосередньої обробки персональних даних, зобов'язані дотримуватися конфіденційності персональних даних, які обробляються Оператором, на підставі закону та/або відповідних договорів.
- 1.4згода - будь-яка обробка персональних даних Суб'єктів може здійснюватися лише за умови, що вони висловили свою згоду на обробку, за винятками, передбаченими законодавством.
- 1.5захист суб'єктів - суб'єкти мають право доступу до даних про них, які обробляються Оператором, втручання в них, протидії та не підлягають індивідуальному рішенню, а також право звертатися до Національного центру для захисту персональних даних або до суду для захисту будь-яких прав, гарантованих законом, які були порушені. Обмеження цих прав може бути допущено у випадках, передбачених законом.
- 1.6безпека – Заходи безпеки персональних даних встановлюються таким чином, щоб забезпечити належний рівень безпеки персональних даних, які обробляються Оператором.
- 1.7адекватна, релевантна та не надмірна – будь-яка обробка персональних даних має відповідати меті, для якої вона була зібрана, бути актуальною та не надмірною в контексті переслідуваної мети. Для дотримання цих вимог оператор застосовує принцип мінімізації персональних даних, який полягає в зборі лише тієї інформації, яка суворо необхідна для виконання послуг, що надаються. Оцінка відповідності цим вимогам проводитиметься періодично та за потреби.
- 1.8точні та актуальні – категорії даних, що обробляються оператором, вичерпно встановлені, обробляються лише правдиві дані. Оператор періодично перевіряє оброблені персональні дані, порівнюючи оброблені дані з тими, що зберігаються у суб'єктів даних.
- 1.9протягом періоду, який не перевищуватиме тривалості, необхідної для досягнення цілей, для яких вони збираються та згодом обробляються - персональні дані зберігаються лише протягом існування цивільних відносин та/або протягом строку, прямо встановленого спеціальним законодавством, згідно з яким персональні дані обробляються.
5. ПРАВА СУБ'ЄКТІВ ПЕРСОНАЛЬНИХ ДАНИХ
- 1Якщо персональні дані збираються безпосередньо від суб'єкта цих даних, відповідно до положень статті 12 Закону про захист персональних даних, особі необхідно надати таку інформацію, якщо вона вже не володіє відповідною інформацією. інформація:
- 1.1щодо особи оператора або, в залежності від обставин, уповноваженої ним особи (найменування, юридична адреса, ІПН, номер реєстрації в Реєстрі операторів персональних даних);
- 1.2щодо конкретної мети обробки зібраних персональних даних;
- 1.3щодо одержувачів або категорій одержувачів персональних даних;
- 1.4наявність прав на інформацію та доступ до зібраних даних; втручання в дані (зокрема, для виправлення, оновлення, блокування або видалення персональних даних, обробка яких суперечить закону через їх неповний або неточний характер) і протидії, а також умови, за яких ці права можуть бути використані; якщо відповіді на запитання, за допомогою яких збираються дані, є обов'язковими чи добровільними, включаючи можливі наслідки відмови відповідати на запитання, за допомогою яких збирається інформація.
- 2Суб'єктам персональних даних гарантується право доступу та можливість ознайомлення зі складеними документами з метою перевірки правильності їх складання, оскарження не включення або неправильного включення окремих відомостей, а також оскарження інших помилок, допущених при введенні персональних даних. У цьому сенсі особи, відповідальні за обробку персональних даних, забезпечуватимуть доступ особи лише до тих персональних даних, які її безпосередньо стосуються, виключаючи можливість перегляду персональних даних щодо інших суб'єктів, що містяться в персональних справах (інших матеріалах) , за винятком випадків, коли заявники досягають законного інтересу, який не завдає шкоди інтересам чи основним правам і свободам суб'єкта персональних даних.
- 3Право на інформацію забезпечується оператором персональних даних (або суб'єктами, які забезпечують обслуговування системи та/або надають сторонні послуги оператора) усім особам, які підлягають обробці.
- 4У разі отримання суб'єктом персональних даних права на втручання, недостовірні дані будуть оновлені шляхом виправлення або видалення на підставі лише законних джерел (документів, що посвідчують особу, актів цивільного стану, основних державних інформаційних ресурсів тощо) модифікація, яка має бути виконана в усіх системах керованої інформації та записів.
6. ЗАСТОСУВАННЯ, ПРИЗНАЧЕННЯ ТА АДРЕСИ ПОЛІСУ
- 1Ця Політика застосовується та є обов'язковою для всієї операційної діяльності Компанії та доводиться до відома співробітників і партнерів Оператора та є обов'язковою для них.
Відповідальна особа - 2Оператор наказом за підписом керівної особи призначає із числа своїх працівників особу, відповідальну за розробку, виконання та контроль за дотриманням зобов'язань у сфері захисту персональних даних. Особою, відповідальною за захист персональних даних, є Адміністратор компанії ( « Відповідальна особа » ).
- 3Обов'язки відповідальної особи:
- 3.1проводить аналіз ризиків щодо інформаційних ресурсів;
- 3.2забезпечує логічні заходи захисту;
- 3.3забезпечує перевірку наявності, оновлення та достатності ліцензій на інформаційні ресурси;
- 3.4забезпечує облік результатів аудиту ІТ-систем, а також їх зберігання та доступність для перевірки відповідно до внутрішніх нормативних документів;
- 3.5визначає порядок користування користувачами інформаційної системи правом доступу до інформаційних ресурсів та управління ними та організовує контроль за використанням цих ресурсів;
- 3.6забезпечує виготовлення резервних копій інформаційних ресурсів та їх зберігання, а також відновлення інформаційних ресурсів у разі, якщо функціонування інформаційних ресурсів було порушено або неможливе внаслідок пошкодження технічного ресурсу чи з інших причин;
- 3.7забезпечує заходи фізичного захисту;
- 3.8бере участь в аналізі ризиків, ідентифікує загрози інформаційній системі, пов'язані з технічними ресурсами, та оцінює ймовірність цих загроз;
- 3.9забезпечує відновлення технічних засобів у разі їх пошкодження.
- 4Відповідальна особа забезпечує впровадження відповідних процедур обробки даних, а також фіксацію слухань для фіксації актів управління Персональними даними.
- 5Особа, відповідальна за захист персональних даних, забезпечує навчання працівників, а також перевірку знань у сфері захисту персональних даних.
- 6Відповідальна особа буде належним чином та своєчасно залучена до всіх аспектів, пов'язаних із захистом персональних даних.
- 7Оператор підтримує відповідальну особу у виконанні її завдань, надає необхідні ресурси для того, щоб фахівець із захисту персональних даних міг виконувати завдання, описані вище, і надає доступ до Персональних даних і документів обробки Персональних даних, а також можливість оновити спеціальні знання спеціаліста із захисту даних.
- 8Обов'язки особи, відповідальної за захист персональних даних:
- 8.1інформувати та консультувати працівників, які здійснюють обробку Персональних даних, щодо їх обов'язків відповідно до внутрішніх актів Оператора та нормативних актів про захист;
- 8.2здійснювати нагляд за дотриманням внутрішніх та зовнішніх актів, що регулюють захист персональних даних, у тому числі розподіл завдань, інформувати та навчати працівників, залучених до дій з обробки персональних даних;
- 8.3за запитом надавати консультації щодо Оцінки впливу на захист персональних даних, брати участь у підготовці цієї оцінки та контролювати її виконання;
- 8.4розробляти та вести реєстр порушень захисту персональних даних;
- 8.5співпрацювати з компетентним наглядовим органом і бути контактною лінією з наглядовим органом щодо питань, пов'язаних з обробкою персональних даних, у тому числі щодо попередніх обговорень та інших питань;
- 8.6консультувати Суб'єктів даних, які звернулися до спеціаліста із захисту персональних даних щодо обробки Персональних даних в Компанії.
- 9Права особи, відповідальної за захист персональних даних:
- 9.1збирати інформацію для ідентифікації процесів обробки Персональних даних, аналізувати та перевіряти відповідність обробки Персональних даних внутрішнім актам та інформувати, надавати поради та рекомендації щодо обробки Персональних даних;
- 9.2проводити аудит обробки Персональних даних без попереднього повідомлення;
- 9.3ознайомлюватися з документами компанії, технічними та організаційними вимогами, що стосуються обробки Персональних даних, а також своєчасно отримувати інформацію про інциденти безпеки та ознайомлюватися з Реєстром інцидентів безпеки;
- 9.4брати участь у прийнятті рішень, метою яких є захист персональних даних, знайомитися з відповідними документами, щоб висловити свою думку та надати консультації з цього приводу.
7. СКЛАДОВІ ІНФОРМАЦІЙНОЇ БЕЗПЕКИ
- 1Оператор усвідомлює важливість інформаційної безпеки та визначає складові інформаційної безпеки та вимоги, яким повинні відповідати працівники Оператора у своїй повсякденній трудовій діяльності.
- 2Безпека інформації описується її конфіденційністю, цілісністю та доступністю. Компанія піклується про те, щоб забеспечити:
- 2.1доступність інформації лише особам, уповноваженим на її отримання (конфіденційність);
- 2.2інформація та методи її обробки є правильними та повними (цілісність);
- 2.3авторизовані користувачі мають доступ до інформації за потреби (доступність).
- 3Компанія здійснює технічний захист Персональних даних за допомогою фізичних і логічних засобів захисту, шляхом забезпечення захисту від загрози Персональним даним, спричиненої фізичним впливом, і шляхом захисту, реалізованого засобами інформаційних технологій (ІТ-засоби). Вибираючи тип зберігання Персональних даних, буде враховано можливість шкоди, спричиненої пожежею, повінню, вибухом, а також іншими інцидентами безпеки, спричиненими природою, ІТ та людьми.
- 4Технічні ресурси, що містять персональні дані, включаючи настільні та портативні комп'ютери, жорсткі диски, коли вони не використовуються, зберігаються в місцях, недоступних для інших (наприклад, у закритих кімнатах або шафах).
8. КЛАСИФІКАЦІЯ ЗАХИСТУ ПЕРСОНАЛЬНИХ ДАНИХ ЗА ЇХ РІВНЕМ, ЗНАЧЕННЯМ ТА КОНФІДЕНЦІЙНОСТЮ, РЕЄСТР ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ
- 1У рамках своєї діяльності Оператор веде облік кількох персональних даних, таких як записи співробітників, тренерів, учасників тренінгів, партнерів Оператора, бухгалтерські записи, записи відвідувачів тощо, реєструючи їх у відповідних реєстрах. Усі ці реєстри містять персональні дані. Усі реєстри, що містять персональні дані, зберігаються в захищених місцях у суворій відповідності до цих правил і використовуються виключно для цілей, для яких вони були створені.
- 2Реєстри обліку
- 2.1Оператор формує та веде Реєстр, який регулярно переглядається та доповнюється відповідно до фактичної обробки Персональних даних, у тому числі періодично переглядає терміни зберігання Персональних даних, визначені в Реєстрі.
- 2.2Реєстр ведеться з метою загальної реєстрації дій, що здійснюються з Персональними даними для однієї або кількох цілей, у тому числі реєстрації та контролю отримувачів Персональних даних.
- 2.3У разі необхідності Оператор надає доступ до Реєстру уповноваженому контролюючому органу.
9. ПРАВИЛА ТА ПРОЦЕДУРИ БЕЗПЕКИ
- 1Доступ до офісу:
- 1.1Керівництво Оператора усвідомлює важливість інформаційної безпеки та визначає вимоги, яким повинні відповідати працівники Компанії у своїй повсякденній трудовій діяльності.
- 1.2Доступ до приміщень/офісів Оператора або приміщень, де розміщені інформаційні системи персональних даних, які обробляються Оператором, обмежено на підставі бейджів, ідентифікаційних карток чи ключів доступу, дозволено лише працівникам Оператора, партнерам та авторизованим відвідувачам (" Користувачі "). Доступ відвідувачів реєструється в реєстрах, які зберігаються не менше одного року. Після закінчення строку зберігання реєстри ліквідовуються, а відомості та документи, що містяться в реєстрі, що підлягає ліквідації, передаються в архів. Перед наданням фізичного доступу до інформаційних систем персональних даних перевіряються навички доступу.
- 1.3У всіх точках доступу до інформаційних систем персональних даних здійснюється адміністрування та моніторинг фізичного доступу, у тому числі реагування на порушення режиму доступу. Моніторингові реєстри зберігаються не менше одного року, після закінчення якого ліквідуються, а відомості та документи, що містяться в реєстрі, що ліквідується, передаються в архів.
- 1.4Комп'ютери, сервери, інші термінали доступу розташовуються в місцях з обмеженим доступом для сторонніх осіб.
- 2Адміністрування облікових записів (акаунтів) доступу
- 2.1Адміністрування облікових записів доступу користувачів, які обробляють персональні дані, включаючи їх створення, активацію, зміну, перегляд, деактивацію та видалення, адмініструється Оператором. Для адміністрування використовуються засоби автоматизованої підтримки. Дія облікових записів доступу тимчасових користувачів, які обробляють персональні дані, припиняється автоматично після закінчення встановленого періоду часу (для кожного типу облікових записів доступу окремо). Облікові записи доступу неактивних користувачів, які обробляють персональні дані, автоматично деактивуються через максимум три місяці. Використовуються автоматизовані засоби реєстрації та інформації про створення, зміну, деактивацію та припинення доступу до облікових записів.
- 2.2У приміщеннях для зустрічей, призначених для громадськості, діяльність з обробки персональних даних буде максимально зведена до мінімуму, а засоби та обладнання, що забезпечують доступ до даних, які обробляє Оператор, будуть захищені.
- 2.3Комп'ютери, сервери, інші термінали доступу розташовуються в місцях з обмеженим доступом для сторонніх осіб.
- 3Цілісність периметра
- 3.1Конкретно та чітко визначений периметр офісу Оператора. Периметр будівлі або приміщення, де розташовані засоби обробки персональних даних, має бути фізично неушкодженим. Зовнішні стіни приміщень повинні бути міцними, входи обладнані замками.
- 4Заходи захисту технічних засобів від надзвичайних ситуацій (пожежі, повені):
- 4.1Для захисту дата-центру побудовано сучасну систему пожежогасіння. Протипожежний стан дата-центру контролює Адміністратор.
- 4.2Комп'ютер, на якому зберігається інформація з певним ступенем конфіденційності, не може бути підключений до зовнішніх мереж локальної мережі, з якої можливий доступ до зовнішніх мереж.
- 4.3Інформація про особливий рівень конфіденційності не передається через зовнішні мережі.
- 4.4Якщо комп'ютери, що містять інформацію з певним рівнем конфіденційності, підключені до локальної мережі, кабелі локальної мережі не можуть проходити через територію, де не забезпечується відповідний фізичний захист від загрози комп'ютерній системі, а мережеві пристрої повинні бути розташовані у приміщеннях із належним фізичним захистом від загрози комп'ютерній системі.
- 4.5Захист даних клієнтів від несанкціонованого доступу забезпечується: цілодобовими системами сигналізації та системами високого рівня спостереження.
- 5Аудит безпеки
- 5.1Спроби входу/виходу користувача фіксуються в системі за такими параметрами:
- 5.1.1дата і час спроби входу/виходу;
- 5.1.2Ідентифікатор користувача;
- 5.1.3результат спроби входу/виходу – позитивний або негативний.
- 5.2Реєстрація спроб запуску/завершення сеансу роботи прикладних програм і процесів, призначених для обробки персональних даних, реєстрація змін прав доступу користувачів і статусу об'єктів доступу за наступними параметрами також проведено:
- 5.2.1дата і час спроби старту;
- 5.2.2назву/ідентифікатор прикладної програми або процесу;
- 5.2.3Ідентифікатор користувача;
- 5.2.4результат спроби запуску – позитивний або негативний.
- 5.3Спроби отримання доступу (виконання операцій) фіксуються для програм і процесів, призначених для обробки персональних даних, за такими параметрами:
- 5.3.1дата і час спроби отримання доступу (виконання операції);
- 5.3.2назва (ідентифікатор) програми або процесу;
- 5.3.3Ідентифікатор користувача;
- 5.3.4специфікації захищеного ресурсу (ідентифікатор, логічне ім'я, ім'я файлу, номер тощо);
- 5.3.5тип запитуваної операції (читання, запис, видалення тощо);
- 5.3.6результат спроби отримання доступу (виконання операції) - позитивний або негативний.
- 5.4Зміни прав доступу (повноважень) користувача та статусу об'єктів доступу фіксуються за такими параметрами:
- 5.4.1дата і час зміни повноважень;
- 5.4.2ID адміністратора, який вніс зміни;
- 5.4.3Ідентифікатор користувача та його повноваження або специфікація об'єктів доступу та їх новий статус.
- 5.5Проводиться реєстрація виходу із системи інформації, що містить персональні дані (електронні документи, дані тощо), фіксуються зміни прав доступу суб'єктів та статусу об'єктів доступу за такими параметрами:
- 5.5.1дата і час видачі;
- 5.5.2назву інформації та способи доступу до неї;
- 5.5.3зазначення обладнання (пристрою), що видало інформацію (логічна назва);
- 5.5.4ID користувача, який запросив інформацію;
- 5.5.5обсяг виданого документа (кількість сторінок, вкладок, копій) і результат видачі - позитивний чи негативний.
- 6Зберігання даних аудиту
- 6.1Здійснюється постійний моніторинг та аналіз записів аудиту безпеки в інформаційних системах персональних даних з метою виявлення незвичайних або підозрілих дій щодо використання цих інформаційних систем із підготовкою звіту про випадки виявлення таких дій. Тривалість зберігання результатів аудиту безпеки в інформаційних системах персональних даних становить 2 роки, щоб мати можливість використовувати їх як доказ у разі інцидентів безпеки, можливих розслідувань або судових процесів.
7. ВІРУС
- 1Оператор та співробітники забезпечать захист від проникнення шкідливих програм (вірусів) у програмне забезпечення, призначене для обробки персональних даних, захід, що забезпечує можливість автоматичного та своєчасного оновлення засобів забезпечення захисту від шкідливих програм. При цьому Оператор та співробітники використовуватимуть технології та засоби виявлення вторгнень, які дозволяють здійснювати моніторинг подій в інформаційних системах персональних даних та виявляти атаки, у тому числі такі, що забезпечують ідентифікацію спроб використання інформації системи без авторизації. Забезпечується виявлення, реєстрація та усунення недоліків програмного забезпечення, призначеного для обробки персональних даних, включаючи встановлення пакетів виправлень та оновлення цього програмного забезпечення. Здійснюється контроль та облік встановлення та видалення програмних засобів, технічних засобів та технічних програмних засобів, що використовуються в інформаційних системах персональних даних. Програмне забезпечення, призначене для обробки персональних даних, та інформація, що містить персональні дані, доступ до якої здійснюється через системи загального доступу, захищені методом цифрового/мобільного підпису.
8. РЕЗЕРВНІ КОПІЇ
- 1Один раз на рік Оператор забезпечуватиме створення резервних копій інформації, що містить персональні дані, та копій програмного забезпечення, що використовується для автоматизованої обробки персональних даних. Резервні копії зберігаються в захищених місцях, за межами території, де знаходиться ця інформація. Резервні копії тестуються з метою перевірки збереження носіїв інформації та цілісності інформації, що містить персональні дані. Процедури відновлення з резервних копій регулярно оновлюються та тестуються, щоб переконатися в їх ефективності.
9. ВНУТРІШНІ ПЕРЕВІРКИ
- 19.1. Не рідше одного разу на рік перевіряється виконання технічних та/або організаційних заходів, вжитих для виявлення несправностей щодо використання телекомунікаційних систем у процесі обробки персональних даних та/або внесення у разі необхідності покращень. Засоби безпеки оновлюються щоразу. Залежно від результатів контролю безпеки Оператор персональних даних вживає заходів для реорганізації процесів або зміни своєї інфраструктури.
10. ЦІЛІСНІСТЬ ОБЛАДНАННЯ
- 1Оператор та його співробітники забезпечуватимуть безпеку електрообладнання, що використовується для підтримки працездатності інформаційних систем персональних даних, електричних кабелів, маршрутизаторів, комутаторів, включаючи їх захист від пошкоджень та несанкціонованих підключень. Мережеві кабелі, за допомогою яких здійснюються операції обробки персональних даних, повинні бути захищені від несанкціонованого підключення або пошкодження.
- 2Відключення за вимогою відбувається у разі виняткових ситуацій, поломок або форс-мажорних обставин, має бути забезпечена можливість відключення електроенергії до інформаційних систем персональних даних, включаючи можливість відключення будь-якого компонента інформаційних технологій.
- 3Співробітники Оператора після закінчення робочих сеансів відключатимуть комп'ютери, термінали доступу та принтери.
- 4Використання ДБЖ : Оператор забезпечить короткочасні автономні джерела живлення, які використовуються для коректного завершення сеансу роботи системи (компонента) у разі відключення від основного джерела живлення.
- 1Паролі
Оператор та його співробітники будуть дотримуватись наступних правил забезпечення інформаційної безпеки при виборі та використанні паролів:
- 1збереження паролів в таємниці;
- 2забороняється записувати паролі на папері, якщо не забезпечується безпека його зберігання, паролі зберігаються в зашифрованому вигляді з використанням одностороннього криптографічного алгоритму (хеш-функції);
- 3змінювати паролі щонайбільше раз на 3 місяці та щоразу, коли є ознаки можливого зламу системи або пароля;
- 4підбір якісних паролів розміром не менше 8 символів, які не пов'язані з особистою інформацією користувача, не містять послідовних однакових символів і повністю не складаються з груп цифр або букв;
- 5відключення автоматичного процесу реєстрації пароля (з використанням збережених паролів);
- 6забезпечено можливість вибору та зміни користувачами індивідуальних паролів, у тому числі активовано процедуру фіксації їх неправильних введень;
- 7доступ блокується після трьох неправильних спроб аутентифікації;
- 8під час входу паролі нечітко відображаються на моніторі;
- 9після інсталяції системи змінюється стандартна використовувана аутентифікаційна інформація користувача;
- 10забезпечується збереження попередніх історій паролів користувачів у хеш-формі (протягом одного року) та запобігання їх повторного використання.
- 10.1Якщо договір, який регулює відносини між Оператором і користувачем, розірвано, призупинено або змінено, і нові завдання не вимагають доступу до персональних даних, або права доступу користувача були змінені, або користувач зловживав кодами, отриманими для мети вчинення упередженого діяння була відсутня протягом тривалого періоду, коди ідентифікації та автентифікації скасовано або призупинено. Неактивний обліковий запис користувача (бездіяльність протягом максимум 2 місяців) деактивується;
- 10.2Доступ до функцій безпеки інформаційних систем персональних даних та їх даних надається лише відповідальній особі.
- 10.3Користувачі інформаційних систем персональних даних наділяються лише тими правами/компетенціями, які необхідні їм для досягнення поставлених перед ними цілей. Права доступу користувачів до інформаційних систем персональних даних регулярно перевіряються, щоб переконатися, що не було надано неавторизованих прав доступу (максимум кожні шість місяців), а також після будь-якої зміни статусу користувача. Доступ до інформації та ресурсів надається на підставі «необхідності доступу до інформації». Системи розроблені з мінімальними вимогами до інформації для діяльності. Користувачам надається найнижчий рівень доступу, необхідний для виконання своїх службових обов'язків.
- 10.4Захист віддаленого доступу : Усі методи віддаленого доступу до інформаційних систем персональних даних Оператора захищені за допомогою VPN, шифрування, криптування, а також інших методів безпеки та будуть задокументовані, підлягають моніторингу та контролю з боку Оператора. Кожен спосіб віддаленого доступу до інформаційних систем персональних даних санкціонується керівником Оператора та/або відповідальною особою Оператора, визначеною керівником відповідно до цієї Політики, і дозволяється лише Користувачам, яким відповідний доступ необхідний для виконання встановлених професійних цілей.
- 10.5Доступ до електронних пристроїв (мобільних телефонів, планшетів, ноутбуків тощо): використання портативного та мобільного обладнання, що дозволяє отримати доступ до інформаційних систем персональних даних Оператора, повинно бути дозволено керівником Оператора або відповідальною особою, призначеною керівником.
11. ДОСТУП ДО ІНТЕРНЕТУ ТА ЕЛЕКТРОННОЇ ПОШТИ
- 1Системи електронної пошти та Інтернет є швидкими та ефективними засобами зв'язку та збору інформації. Обидва типи зв'язків належать Оператору та надаються його працівникам як ефективні засоби зв'язку та інформації, які використовуються під час та з метою здійснення професійної діяльності. Бездротові мережі Інтернет (wi-fi), якими керує Оператор, захищені паролем. Доступ до цього пароля може надати менеджер Оператора.
- 2Для забезпечення безпеки комп'ютерної мережі, а також для запобігання неналежному використанню доступу до Інтернету серія даних трафіку зберігається автоматично (без втручання людини), безперервно та для будь-якого комп'ютера, розташованого в локальній мережі Оператора. Як правило, ця інформація зберігається протягом декількох тижнів або місяців, після чого остаточно видаляється шляхом перезапису. Дані про трафік не зберігаються з метою моніторингу співробітників Оператора. Однак Оператор може проаналізувати існуючі записи в певний момент часу щодо певного співробітника, відвідувач повідомляє йому як про виконання відповідного аналізу, так і про причини цього.
- 3Увага до вкладень . Електронна пошта є основним засобом запровадження вірусів у локальну мережу, тому весь персонал, а також будь-яка особа, яка отримає доступ до інформаційних ресурсів Оператора, повинні бути обережними при відкритті вкладень, особливо якщо їхнє походження незрозуміле / небезпечне/підозріле або розширення файлу .exe.
- 4Про приватні повідомлення . Електронні повідомлення та додані до них документи, якими користуються працівники. Оператори, які використовують службові повідомлення, не є приватними, доки вони створюються та/або зберігаються на службовому комп'ютері. Резервна копія всіх листів, надісланих або отриманих з або на професійні адреси, як правило, зберігається на сервері Оператора.
- 5Про безкоштовні електронні листи . Інтернет пропонує багато варіантів безкоштовного електронного спілкування, таких як @gmail.com, @yahoo.com, @mail.ru тощо. Оператор попереджає, що дані системи електронного зв'язку не відповідають вимогам щодо захисту персональних даних. Співробітники Оператора будуть утримуватися від передачі персональних даних Суб'єктів через такі системи зв'язку. Оператор гарантує, що створив корпоративну електронну систему зв'язку, яка захищена в суворій відповідності до цих правил та Закону про захист персональних даних.
12. ПОРЯДОК ЗБЕРІГАННЯ ТА ЗНИЩЕННЯ ПЕРСОНАЛЬНИХ ДАНИХ, НОСІЇ ІНФОРМАЦІЇ
- 1Носії центру обробки даних, на яких зберігаються дані Суб'єктів, які пошкоджені або зношені, повинні зберігатися в безпечному місці в центрі обробки даних після від'єднання від програмного забезпечення центру обробки даних.
- 2Дані Суб'єктів знищуються, коли строк їх зберігання визначено згідно з чинним законодавством, внутрішнім положенням Оператора та встановлено в межах терміну дії Реєстру.
- 3Зберігання персональних даних відбувається в електронних та паперових файлах. Електронні та паперові файли, що містять Персональні дані, зберігаються протягом строку, визначеного Реєстром.
- 4Доступ до приміщень/периметра, де розташовані системи обліку інформації та персональних даних, обмежено та дозволено лише особам, які мають необхідні повноваження відповідно до інституційної політики безпеки/затверджених відомчих нормативних актів.
- 5Зберігання та збереження електронного формату персональних даних, структурованих у системах обліку, в комп'ютерах, які підключені до мережі Інтернет, не обладнані спеціальними технічними та програмними засобами захисту та не мають встановлених ліцензійних програм, антивірусних програм, систем контролю безпеки, програмного забезпечення, що забезпечує періодичне виконання безпечних копій та проведення аудиту - забороняється.
- 6Вхід до периметру охорони установи та використання персональних комп'ютерів чи носіїв інформації у службових цілях заборонено. Крім того, доступ до комп'ютерів в обладнанні захищено/обмежено шляхом створення профілів користувачів, а права адміністратора надаються лише особі, відповідальній за реалізацію визначеної політики безпеки в Компанії.
- 7Зберігання персональних даних на магнітному, оптичному, лазерному, паперовому або іншому носії інформації, на якому створено, закріплено, передається, отримано, зберігається або іншим чином використовується документ і який дозволяє його відтворення, забезпечується шляхом їх розміщення в сейфах або шафах, що замикаються. Самовільний виніс носіїв персональних даних з периметру безпеки оператора заборонено.
- 8Компанія переглядає умови зберігання Персональних даних, визначені Реєстром у міру необхідності, однак не рідше одного разу на 2 (два) роки.
- 9Під час оцінки умов зберігання Персональних даних Компанія враховуватиме принаймні такі аспекти:
- 9.1Персональні дані зберігаються принаймні до тих пір, поки це необхідно для досягнення мети обробки;
- 9.2Умови зберігання Персональних даних приведені у відповідність із строками зберігання, визначеними законодавством відповідно до мети зберігання Персональних даних;
- 9.3Персональні дані зберігаються стільки часу, скільки необхідно Компанії для збереження доказів у разі судового позову та/або судового розгляду;
- 9.4Персональні дані не можуть бути видалені з документів, якщо це впливає на юридичну силу документа.
13. ТЕРМІН ЗБЕРІГАННЯ ДАНИХ
- 1Персональні дані, які обробляються в рамках здійснення діяльності Оператора, зберігатимуться протягом усього договірного періоду (працевлаштування працівника, надання послуг/закупівля матеріалів тощо Оператором), а також протягом періоду необхідного для досягнення цілей, для яких вони були зібрані, або для захисту законних інтересів Оператора, його афілійованих підрозділів та/або його співробітників і партнерів.
- 2Після закінчення законодавчого/договірного терміну зберігання Персональні дані та/або документи на електронному чи паперовому носії знищуються, знеособлюються або в окремих випадках передаються до державних архівів. Кожна особа, відповідальна за обробку Персональних даних, несе відповідальність за впровадження процесу видалення або анонімізації.
- 3Після закінчення відносин, які є основою обробки даних Суб'єктів Оператором, носії персональних даних передаються до архіву Оператора та зберігаються протягом наступних періодів зберігання:
- 3.1персональні дані про або отримані від партнерів і контрагентів: 5 років з моменту закінчення встановлених відносин;
- 3.2персональні дані про працівників: 75 років з моменту розірвання індивідуальних трудових договорів.
- 4Термін зберігання може відрізнятися від зазначеного, якщо в показнику типових документів та термінів їх зберігання для організацій і підприємств Республіки Молдова зазначений інший термін зберігання. У такому випадку дані зберігатимуться протягом періоду, зазначеного в індикаторі стандартного документа. У разі судового розгляду дані будуть оброблятися протягом усього періоду, необхідного для захисту законних інтересів Оператора та пов'язаних з ним осіб.
14. ВИДАЛЕННЯ ТА ЗНИЩЕННЯ ПЕРСОНАЛЬНИХ ДАНИХ
- 1Інформація, яка містить персональні дані та більше не є необхідною для досягнення визначених Компанією цілей обробки та зберігання якої не передбачено чинним законодавством, має бути знищена. Електронна інформація знищується таким чином, що неможливо відновити інформаційні файли. Письмова інформація (на папері) знищується таким чином, що інформація, що міститься в ній, не підлягає відновленню.
- 2Передача (розподіл) ІТ-пристроїв третім особам заборонена, якщо вони містять Персональні дані. Зазначену вище заборону слід також дотримуватися у випадках, коли ІТ-пристрої передаються для використання. Якщо ІТ-пристрій потребує ремонту за гарантією, перед його доставкою на ремонт необхідно забезпечити безпеку персональних даних, що містяться в ньому.
- 3Персональні дані, які стали неповними, застарілими, фальсифікованими, обробленими незаконно або більше не потрібні для досягнення мети обробки Персональних даних, визначеної Компанією, негайно виправляються, оновлюються або видаляються.
- 4Наприкінці процесу обробки Персональних даних та/або після закінчення терміну їх зберігання, якщо Персональні дані не є анонімними, Компанія або Уповноважена особа видалить Персональні дані з Інформаційної системи, щоб вони все ще не могли бути відновленим.
- 5Паперові документи, що містять персональні дані, або їх проекти знищуються в установленому законодавством порядку після обробки даних та/або закінчення строку зберігання, якщо вони не передані до архіву.
- 6Після закінчення потреби в їх використанні технічні ресурси, що містять персональні дані (USB, CD, HDD тощо), передаються до Департаменту інформаційних технологій Компанії, який централізовано знищує технічні ресурси, щоб не було можливості відновити збережену інформацію та видалити їх.
- 7Видалення Персональних даних фіксується (документується) шляхом складання акта про знищення Персональних даних у разі необхідності шляхом недопущення включення до відповідного акта інформації про відповідні Персональні дані, які були знищені.
15. УПРАВЛІННЯ ТА РЕЄСТРАЦІЯ ІНЦИДЕНТІВ БЕЗПЕКИ
- 1Особа, яка бере участь в обробці Персональних даних, яка виявила загрозу, негайно повідомляє Відповідальну особу та спеціаліста Компанії із захисту даних про будь-яку загрозу, пов'язану з обробкою Персональних даних, включно з описаними нижче, використовуючи номер телефону, встановлений Компанією для цього та/або адресу електронної пошти:
- 1.1якщо виявлено загрозу технічним ресурсам, у тому числі ІТ-ресурсам (наприклад, переривання електропостачання, наявність рідини або часток, пошкодження, викликане фізичним впливом, пожежею або повінню, втрата або викрадення комп'ютерів та інших технічних засобів тощо );
- 1.2якщо була виявлена загроза інформаційним ресурсам (наприклад, сторонні особи дізналися пароль доступу, виявлено несанкціонований доступ до Персональних даних, у тому числі втрату USB-носіїв інформації, компакт-дисків, а також розсилку електронного листа, що містить Дані, виявлено особисті дані непередбаченим одержувачам, перебої в роботі Інформаційної системи, несанкціоноване видалення або виправлення Персональних даних;
- 1.3якщо виявлено будь-яку загрозу Персональним даним у паперовому форматі (наприклад, занадто висока вологість у приміщенні, непрацюючий замок шафи чи дверей у приміщенні, непрацююча сигналізація, доступ до документів треті особи, втрата документів тощо).
- 2У разі виникнення загрози Особа, яка бере участь в обробці Персональних даних, зобов'язана забезпечити безпеку Інформаційної системи в межах своїх повноважень і повноважень до прибуття Відповідальної особи.
- 3Після отримання інформації про виникнення Інциденту безпеки особа, відповідальна за розслідування Інциденту безпеки, виконує такі дії, як:
- 3.1оцінити, яких людей у Компанії слід повідомити про можливий Інцидент безпеки, щоб негайно обмежити вплив Інциденту безпеки, мінімізувати наслідки, припинити Інцидент безпеки, щоб запобігти повторенню Інциденту безпеки;
- 3.2оцінити заходи, які необхідно вжити для припинення Інциденту безпеки (якщо він не закінчився), щоб обмежити негативний вплив Інциденту безпеки на Суб'єкта даних, мінімізувати потенційні втрати та негайно розпочати їх впровадження;
- 3.3оцінити, чи необхідно повідомляти про подію безпеки в поліцію (якщо вона має ознаки злочину) або в органи, уповноважені законом;
- 3.4оцінює ризик, спричинений Інцидентом безпеки для приватного життя фізичних осіб, шляхом оцінки таких аспектів:
- 3.4.1Чи постраждали особисті дані внаслідок інциденту безпеки?
- 3.4.2Які особисті дані постраждали?
- 3.4.3Наскільки конфіденційними є дані, пов'язані з інцидентом безпеки, чи це дані спеціальної категорії?
- 3.4.4Хто є людьми, які можуть постраждати внаслідок Інциденту безпеки, включаючи кількість і категорії постраждалих людей?
- 3.4.5Як і чому стався інцидент безпеки?
- 3.4.6Якщо дані були втрачені або викрадені, чи може Третя сторона дізнатися щось про особу з відповідних даних?
- 3.4.7Яким буде вплив/наслідки Інциденту безпеки на залучених людей, у тому числі фізична безпека цих людей може бути під загрозою, завдані матеріальні збитки, завдана шкода репутації чи моральна шкода?
- 3.4.8Якщо дані були втрачені або викрадені, чи були дані анонімними, зашифрованими, захищеними паролем чи іншим чином?
- 3.4.9Якщо дані були вкрадені або втрачені, чи могли вони бути використані в злочинних цілях?
- 3.4.10Яким буде вплив/наслідки Інцидентів безпеки на Компанію, у тому числі якщо безпека Компанії та/або Суб'єкта даних може бути під загрозою, може завдати матеріальної шкоди (санкції адміністративних органів, запити від Суб'єкта даних, загроза репутації)?
- 3.4.11Які особи та контактні особи Суб'єкта даних, постраждалого від Інциденту безпеки, щоб мати можливість зв'язатися з ними, якщо це можливо?
- 4Оператор персональних даних письмово інформує Національний центр захисту персональних даних про виявлені порушення безпеки.
- 5Повідомлення про інцидент безпеки для наглядового органу має містити таку інформацію:
- 5.1інформацію про Інцидент безпеки та короткий опис Інциденту безпеки;
- 5.2категорії суб'єктів даних, залучених до Інциденту безпеки, приблизну кількість постраждалих суб'єктів даних (обсяг постраждалих персональних даних);
- 5.3ім'я, прізвище та контактні дані спеціаліста із захисту даних або посилання на іншу контактну особу, від якої Суб'єкт даних може отримати додаткову інформацію;
- 5.4Наслідки, викликані інцидентом безпеки, або можливі наслідки інциденту безпеки;
- 5.5Заходи, вжиті або заплановані Компанією для пом'якшення можливих негативних наслідків Інциденту безпеки та запобігання таким Інцидентам безпеки в майбутньому;
- 5.6Інша інформація, якщо це вимагається чинним законодавством у разі спеціального повідомлення, а також інша інформація, яку Компанія вважає необхідною.
- 5.7Особа, відповідальна за реєстрацію Інцидентів безпеки, оцінює кожне повідомлення, отримане щодо Інциденту безпеки, і, якщо цей інцидент слід розглядати як порушення захисту Персональних даних і може спричинити високий ризик для прав і свобод фізичних осіб, Відповідальна особа повідомляє Суб'єкт даних, залучений до Інциденту безпеки.
16. ВІДЕОСПОСТЕРЕЖЕННЯ
- 1Оператор використовує систему відеоспостереження в межах допустимих параметрів.
- 2Конфіденційність: розуміється та визнається, що існує законне очікування певного рівня конфіденційності співробітників на робочому місці, але це право має бути збалансоване з законними правами та інтересами Оператора, зокрема правом ефективно керувати своєю діяльністю і право захищати себе від відповідальності перед третіми особами, яку можуть нести колективні члени.
17. МАРКУВАННЯ ДОКУМЕНТІВ
- 1Усі відомості, що підлягають оприлюдненню та містять персональні дані, позначаються реєстраційним номером з Реєстру операторів персональних даних згідно з додатком 2.
18. ВІДПОВІДАЛЬНІСТЬ ЗА ЗАБЕЗПЕЧЕННЯ БЕЗПЕКИ ПЕРСОНАЛЬНИХ ДАНИХ, А ТАКОЖ ІНФОРМАЦІЇ З ОБМЕЖЕНИМ ДОСТУПОМ
- 1Оператор персональних даних, уповноважена оператором особа, треті особи, залежно від обставин, підписанти додатку №. 1, за невиконання положень Політики безпеки - тягне цивільну відповідальність (Цивільний кодекс), правопорушення (ст. 74 1 Кодексу адміністративних правопорушень) та кримінальну відповідальність (ст. 177, 178, 180 Кримінального кодексу).
19. ПРИКІНЦЕВІ ПОЛОЖЕННЯ
- 1Ця Політика безпеки доповнюється положеннями чинного законодавства.
- 2Зміни та доповнення цієї Політики безпеки здійснюються в порядку, встановленому для її затвердження.
- 3Зміст Політики безпеки переглядається та оновлюється щорічно, щоб відобразити будь-які зміни вимог до діяльності Оператора, ІТ-ризики або важливі загрози для Інформаційних систем.
Privacity GMBH
Neuer Wall 50, 20354 Hamburg, Excellent
Business Center
Hamburg, Germany
Email: dpo@novapost.com
Додаток 1
до Політики безпеки обробки персональних даних
в рамках діяльності "NEW POST INTERNATIONAL MLD" ТОВ
КАТЕГОРІЇ персональних даних
- 1Персональні дані, які прямо чи опосередковано ідентифікують фізичну особу, зокрема шляхом посилання на ідентифікаційний номер (персональний код), на один або декілька конкретних елементів її фізичного, фізіологічного, психологічного, економічного, культурного чи соціального характеру, поділяються на дві категорії: звичайні та спеціальні.
- 2Звичайна категорія - це інформація, яка розкриває:
- 2.1ім'я та прізвище;
- 2.2стать;
- 2.3Дата і місце народження;
- 2.4громадянство;
- 2.5IDNP;
- 2.6зображення;
- 2.7сімейне становище;
- 2.8воєнний стан;
- 2.9персональні дані членів сім'ї;
- 2.10дані водійського посвідчення;
- 2.11дані з реєстраційного посвідчення;
- 2.12економічне та фінансове становище;
- 2.13дані про належні товари;
- 2.14банківські реквізити;
- 2.15підпис;
- 2.16дані з документів цивільного стану;
- 2.17номер пенсійної справи;
- 2.18персональний код соціального страхування (CPAS);
- 2.19код медичного страхування (CPAM);
- 2.20номер телефону/факсу;
- 2.21Номер мобільного телефону;
- 2.22адреса (місце проживання/проживання);
- 2.23електронна пошта;
- 2.24професія та/або місце роботи;
- 2.25професійна підготовка - дипломи - навчання.
- 3Спеціальними категоріями персональних даних є дані, які розкривають расове чи етнічне походження особи, її політичні, релігійні чи філософські переконання, соціальну приналежність, дані про стан здоров'я чи статеве життя, а також ті, що стосуються судимостей, заходи процесуального примусу чи покарання. Оператор не обробляє спеціальні категорії персональних даних.
Додаток 2
до Політики безпеки обробки персональних даних
в рамках діяльності "NEW POST INTERNATIONAL MLD" ТОВ
- 1Попереджувальний знак моделі:
Обережно! Документ містить персональні дані, оброблені в Реєстрі операторів персональних даних www.registru.datepersonale.md. Подальша обробка цих даних може здійснюватися лише на умовах, передбачених Законом № 133 від 08.07.2011 щодо захисту персональних даних. - 2Модель маркування відеоспостереження:
Відповідно до дозволу Національного центру захисту персональних даних Республіки Молдова, New Post International ТОВ контролює відеозону:
Надіслати скаргу щодо обробки персональних даних через цю систему записів до Національного центру захисту персональних даних Республіки Молдова можна лише після подання запиту відповідному оператору персональних даних.
Модель: форма згоди на транскордонну передачу персональних даних:
Відповідно до положень Закону 133 від 08.07.2011 про захист персональних даних NEW POST INTERNATIONAL MLD ТОВ зі штаб-квартирою в муніципії Кишинів, вул. Барбу Леутару, 3, державний ідентифікаційний номер - податковий код 1014600029674 (« Компанія » « Оператор ») збирає та обробляє деякі персональні дані, які стосуються вас. Ці дані є будь-якою інформацією, пов'язаною з ідентифікованою фізичною особою або особою, яку можна ідентифікувати.
Зібрані дані підлягають транскордонній передачі, зберігаються на серверах Оператора, розташованих в Україні, обробляються ТОВ «НОВА ПОШТА», зареєстрованим відповідно до законодавства України, реєстраційний номер 31316718, юридична місцезнаходження якого розташоване за адресою на 03026, м. Київ, Столичне шосе, 103, корпус 1, поверх 9; електронною поштою: dpo@novapost.com, як дані Імпортера. Імпортер даних обробляє дані в обсязі та на умовах, встановлених Договором про передачу персональних даних, підписаним Оператором та Імпортером даних.
З метою дотримання чинного законодавства та з метою доброї співпраці між Компанією та суб'єктом персональних даних (« Суб'єкт »), він цим висловлює свою вільну, безумовну, чітку та свідому згоду та підтверджує наступне:
- 1Цим суб'єкт персональних даних погоджується на транскордонну передачу Компанією його персональних даних, даних, які включають усі або деякі з наступних категорій: прізвище, ім'я та по батькові; Стать Підпис, Електронний підпис, IDNP; Дата і місце народження; громадянство, дані з документів про цивільний стан особистий код медичного страхування (CPAM) мобільний телефон, домашня адреса/прописка телефон/факс, електронна пошта професія, посада професійна підготовка – дипломи – навчання дані про сімейне становище членів сім'ї економічне чи фінансове становище Сума валової зарплати, нагороди, підвищення, доплати, заохочення, дані з листка відпустки. банківські дані зображення дані з посвідчення водія дисциплінарні санкції особистий код соціального страхування (CPAS) персональний код медичного страхування дані з реєстраційних свідоцтв місце роботи, інше: довідка про медичну відпустку, сума валової зарплати, нагороди, надбавки, заохочення, доплати.
- 2Суб'єкт персональних даних цим погоджується та погоджується, що Компанією будуть передані його персональні дані за кордон для наступних цілей:
- 2.1Виконання договорів між Суб'єктом і Компанією;
- 2.2Інші ситуації, пов'язані з договірними відносинами, які суб'єкт даних має або матиме з Компанією.
- 3Суб'єкт персональних даних погоджується з тим, що його персональні дані можуть бути передані New Post International ТОВ відповідно до законодавства.
- 4Суб'єкт персональних даних погоджується з тим, що ця згода дійсна протягом п'яти років і може бути продовжена на наступні п'ятирічні періоди. Згода на обробку персональних даних може бути відкликана в будь-який час до закінчення терміну, шляхом подання письмової датованої та підписаної заявки до головного офісу Оператора.
- 5Суб'єкт персональних даних підтверджує знання положення Закону про захист персональних даних (№ 133 від 8 липня 2011 р.), визнаючи, що щодо обробки його даних Компанією він має такі права, як встановлено законом:
- 5.1Право на отримання інформації щодо особи оператора або уповноваженої ним особи, мети обробки зібраних даних, а також додаткової інформації щодо одержувачів персональних даних;
- 5.2Право доступу до своїх персональних даних;
- 5.3Право на втручання в персональні дані;
- 5.4Право опозиції;
- 5.5Право не підлягати індивідуальному рішенню;
- 5.6Доступ до правосуддя.
Для реалізації цих прав суб'єкт персональних даних має право подати письмовий, датований та підписаний запит до головного офісу Оператора.
- 6Суб'єкт персональних даних відповідно до ст. 17 Закону про електронну комерцію (№ 284 від 22.07.2004), дає згоду на обробку своїх персональних даних і висловлює згоду на отримання комерційної інформації в електронному форматі.
Згода
Я заявляю, що мене повністю проінформовано про обробку персональних даних Компанією, я повністю прочитав, погоджуюся та приймаю всі пункти Форми згоди щодо транскордонної передачі персональних даних. Мене ознайомили з документами Компанії щодо захисту персональних даних, у тому числі з наказом Компанії щодо захисту персональних даних. Я розумію, що Компанія може отримувати, збирати, об'єднувати, організовувати, використовувати, зберігати, обробляти, передавати та розкривати особисті дані про мене, як зазначено в цій Формі згоди. Я заявляю, що розумію та погоджуюся з тим, що персональні дані можуть збиратися, оброблятися, використовуватися, передаватись або розкриватися, і що Компанія залишає за собою право здійснювати ці дії, коли вона вважатиме за потрібне, а персональні дані можуть передаватися іншим особам як всередині, так і за межами Республіка Молдова, як зазначено вище в цій Формі згоди.
Ім'я: ________________________________
Дата _____________________ Підпис