Обробка персональних даних

1. Загальні положення

1.1. Положення про порядок обробки персональних даних в ТОВ «Екостайл» (надалі – Товариство) (надалі – Положення) розроблено відповідно до законодавства України в частині забезпечення захисту персональних даних.

1.2. Положення розповсюджується на невизначене коло осіб – суб'єктів персональних даних, які вступають або можуть вступати у будь-які відносини з Товариством.

1.3. Положення публікується на офіційному веб-сайті Товариства (https://ecostyle.ua/) в мережі Інтернет з метою ознайомлення суб'єктів персональних даних, дані яких обробляються Товариством під час здійснення ним своєї діяльності.

1.4. Положення визначає перелік заходів, спрямованих на безпеку персональних даних, з урахуванням вимог законодавства у сферах захисту персональних даних, інформаційної безпеки.

2. Визначення термінів та скорочення

2.1. База персональних даних – іменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних.

2.2. Володілець персональних даних – фізична або юридична особа, яка визначає мету обробки персональних даних, встановлює склад цих даних та процедури їх обробки, якщо інше не визначено законом.

2.3. Згода суб'єкта персональних даних – добровільне волевиявлення фізичної особи (за умови її поінформованості) щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки, висловлене у письмовій формі або у формі, що дає змогу зробити висновок про надання згоди.

2.4. Знеособлення персональних даних – вилучення відомостей, які дають змогу прямо чи опосередковано ідентифікувати особу.

2.5. Закон – Закон України «Про захист персональних даних».

2.6. Інформаційна система (ІС) – сукупність інформаційних ресурсів, середовища передачі даних, обслуговуючого персоналу і організаційних заходів, які використовуються Товариством для задоволення своїх інформаційних потреб.

2.7. Інформація – будь-які відомості та/або дані, які можуть бути збережені на матеріальних носіях або відображені в електронному вигляді.

2.8. Персональні дані (ПД) – відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.

2.9. Споживач – суб'єкт персональних даних (фізична особа або представник такої особи), який виступає споживачем послуг з поводження з побутовими відходами, що надаються Товариством та персональні дані якого обробляються Товариством.

2.10. Контрагент – суб'єкт персональних даних (фізична особа, фізична особа – підприємець, представник юридичної особи), який діє у цивільно-правових та господарсько-правових відносинах з Товариством.

2.11. Конфіденційна інформація (КІ) – інформація, щодо якої встановлено режим конфіденційності. До КІ відноситься інформація про фізичну особу, а також інформація, доступ до якої обмежено фізичною або юридичною особою, крім суб'єктів владних повноважень.

2.12. Користувач – особа, що залучається Товариством для виконання відповідних функцій або працівник Товариства, що використовує інформаційні ресурси ІС Товариства для виконання посадових обов'язків.

2.14. Обробка персональних даних – будь-яка дія або сукупність дій, таких як збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання і поширення (розповсюдження, реалізація, передача), знеособлення, знищення персональних даних, у тому числі з використанням інформаційних (автоматизованих) систем.

2.16. Працівник – фізична особа, яка безпосередньо власною працею виконує трудову функцію згідно з укладеним з Товариством трудовим договором (контрактом).

2.17. Розпорядник персональних даних – фізична чи юридична особа, якій володільцем персональних даних або законом надано право обробляти ці дані від імені володільця.

2.19. Суб'єкт персональних даних – фізична особа, персональні дані якої обробляються.

2.21. Третя особа – будь-яка особа, за винятком суб'єкта персональних даних, володільця чи розпорядника персональних даних та Уповноваженого Верховної Ради України з прав людини (далі – Уповноважений), якій Товариством чи розпорядником персональних даних здійснюється передача персональних даних.

3. Основні засади

3.1. Положення обов'язкове для застосування всіма працівниками, які безпосередньо здійснюють обробку та/або мають доступ до персональних даних у зв'язку з виконанням своїх службових обов'язків.

3.2. ПД, що обробляються Товариством, відносяться до КІ, крім випадків визначених чинним законодавством України.

3.3. Товариство є володільцем ПД, а у випадках, передбачених чинним законодавством України, та/або на підставі укладених договорів, Товариство є розпорядником ПД.

3.4. Порядок обробки ПД в Товаристві визначається Положенням на підставі чинного законодавства України.

3.5. Первинними джерелами відомостей про фізичну особу є: видані на її ім'я документи, підписані нею документи, відомості, які особа надає про себе.

3.6. Товариство обробляє ПД, які можуть бути об'єднані в бази ПД.

3.7. Товариство може доручити обробку ПД розпоряднику ПД відповідно до договору, укладеного в письмовій формі. Розпорядник ПД може обробляти ПД лише з метою і в обсязі, визначених у договорі.

3.8. Товариство не обробляє ПД про расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних профспілках, засудження до кримінального покарання, а також даних, що стосуються статевого життя, біометричних або генетичних даних.

3.9. В усіх випадках, не врегульованих Положенням, необхідно керуватися чинним законодавством України.

3.10. В основу визначення мети обробки ПД закладено принцип законності їх обробки.

3.11. Обробка ПД здійснюється Товариством відкрито і прозоро із застосуванням засобів та у спосіб, що відповідають визначеним цілям такої обробки.

3.12. Склад та зміст ПД, що обробляються Товариством, мають бути відповідними, адекватними та ненадмірними стосовно визначеної мети їх обробки.

3.13. Строк обробки ПД встановлюється Товариством залежно від категорії суб'єктів ПД, мети обробки ПД та визначається чинним законодавством України.

3.14. Підставами для обробки персональних даних є:

3.14.1. згода суб'єкта персональних даних на обробку його персональних даних;

3.14.2. дозвіл на обробку персональних даних, наданий володільцю персональних даних відповідно до закону виключно для здійснення його повноважень;

3.14.3. укладення та виконання правочину, стороною якого є суб'єкт персональних даних або який укладено на користь суб'єкта персональних даних чи для здійснення заходів, що передують укладенню правочину на вимогу суб'єкта персональних даних;

3.14.4. захист життєво важливих інтересів суб'єкта персональних даних;

3.14.5. необхідність виконання обов'язку володільця персональних даних, який передбачений законом;

3.14.6. необхідність захисту законних інтересів володільця персональних даних або третьої особи, якій передаються персональні дані, крім випадків, коли потреби захисту основоположних прав і свобод суб'єкта персональних даних у зв'язку з обробкою його даних переважають такі інтереси.

3.15. Товариство здійснює обробку ПД таких категорій суб'єктів персональних даних: Споживачі; Контрагенти; Працівники.

3.16. Використання ПД передбачає будь-які дії Товариства щодо обробки цих даних, дії щодо їх захисту, а також дії щодо надання часткового або повного права обробки ПД іншим суб'єктам відносин, пов'язаних із ПД, що здійснюються на підставі укладеного з суб'єктом ПД договору та/або за згодою суб'єкта ПД, або відповідно до вимог чинного законодавства України.

3.17. Для належного використання ПД в Товаристві створені умови для їх захисту.

3.18. Збирання ПД є складовою процесу їх обробки, що передбачає дії з підбору чи впорядкування відомостей про фізичну особу.

3.19. Суб'єкт персональних даних повідомляється про володільця ПД, склад та зміст зібраних ПД, свої права, визначені чинним законодавством України та мету збору ПД.

3.20. Отримання згоди суб'єкта ПД та повідомлення його про обробку ПД не виконуються, якщо ПД були зібрані із загальнодоступних джерел.

3.21–3.22. Порядок доступу до ПД третіх осіб визначається статтею 16 Закону та умовами укладеного з суб'єктом персональних даних договором та/або згоди суб'єкта персональних даних, наданої Товариству на обробку цих даних.

3.23. Доступ до ПД третій особі не надається, якщо зазначена особа відмовляється взяти на себе зобов'язання щодо забезпечення виконання вимог Закону або неспроможна їх забезпечити.

3.24. Суб'єкт відносин, пов'язаних з персональними даними, подає Товариству запит щодо доступу до персональних даних (далі – запит), в якому зазначається: прізвище, ім'я та по батькові, місце проживання і реквізити документа; найменування або ПІБ особи, яка подає запит; відомості про базу персональних даних; перелік персональних даних, що запитуються; мета запиту.

3.25. Строк вивчення запиту на предмет його задоволення не може перевищувати 30 (тридцяти) календарних днів з дня його надходження.

3.26. Відстрочення доступу до персональних даних третіх осіб допускається у разі, якщо необхідні дані не можуть бути надані протягом 30 (тридцяти) календарних днів з дня надходження запиту. При цьому загальний термін вирішення питань, порушених у запиті, не може перевищувати 45 (сорока п'яти) календарних днів.

3.27. Відмова у доступі до персональних даних допускається, якщо доступ до них заборонено згідно із законодавством України.

3.28. Товариство безоплатно надає суб'єкту ПД інформацію про обробку його ПД, крім випадків, установлених законодавством України.

3.29. ПД видаляються або знищуються в порядку, встановленому відповідно до вимог чинного законодавства України.

3.30–3.35. Поширення ПД передбачає дії щодо передачі відомостей про фізичну особу за згодою суб'єкта ПД. Поширення ПД без згоди суб'єкта ПД або уповноваженої ним особи дозволяється у випадках, визначених законодавством України, і лише (якщо це необхідно) в інтересах національної безпеки, економічного добробуту та прав людини. ПД не можуть поширюватися з іншою метою, ніж та, з якою вони були зібрані.

3.36. ПД можуть передаватися іноземним суб'єктам відносин, пов'язаних з ПД, у разі: закінчення строку зберігання даних; припинення правовідносин між суб'єктом ПД та Товариством; видання відповідного припису Уповноваженого; набрання законної сили рішенням суду; надання суб'єктом ПД однозначної згоди на таку передачу; необхідності укладення чи виконання правочину; необхідності захисту життєво важливих інтересів суб'єктів ПД або суспільного інтересу.

3.37. Товариство може передавати ПД суб'єктів ПД, що входять до категорій «Споживачі», «Контрагенти» та «Працівники» таким третім особам (в тому числі, але не виключно):

3.37.1. розпорядникам (підприємствам, установам і організаціям усіх форм власності, органам державної влади чи органам місцевого самоврядування, фізичним особам – підприємцям, яким Товариством або чинним законодавством надано або буде надано право обробляти персональні дані);

3.37.2. третім особам, що залучені Товариством та/або приймають участь під час надання Товариством послуг з поводження з побутовими відходами, надання та споживання житлово-комунальних послуг, стягнення заборгованості за послуги Товариства та/або вжиття інших досудових та судових способів захисту прав та інтересів Товариства;

3.37.3. архівним установам та іншим особам, що надають Товариству послуги зберігання інформації та документів;

3.37.4. учасникам, афілійованим особам Товариства, особам, що мають істотну участь в Товаристві та/або здійснюють контроль над Товариством;

3.37.5. іншим приватним особам та організаціям для забезпечення виконання останніми своїх функцій або надання послуг Товариству відповідно до укладених між такими особами (організаціями) та Товариством правочинів;

3.37.6. Товариство може передавати ПД суб'єктів ПД, що входять до категорії «Споживачі», на умовах, визначених в оферті на переказ коштів, що розміщується на офіційному веб-сайті Товариства.

3.38. Про передачу ПД третій особі Товариство протягом 10 (десяти) робочих днів повідомляє суб'єкта ПД, окрім випадків: передачі ПД за запитами при виконанні завдань оперативно-розшукової діяльності; виконання органами державної влади та органами місцевого самоврядування своїх повноважень; здійснення обробки ПД в історичних, статистичних чи наукових цілях; коли можливість передачі ПД третім особам передбачена умовами укладеного правочину.

3.39–3.42. Товариство вживає заходів щодо забезпечення захисту ПД на всіх етапах їх обробки за допомогою організаційних та технічних заходів. Захист ПД передбачає заходи, спрямовані на запобігання їх випадковим втратам або знищенню, незаконній обробці. Товариство обробляє персональні дані в складі інформаційної (автоматизованої) системи. Працівники, які мають доступ до персональних даних, дають письмове зобов'язання про нерозголошення персональних даних.

4. Обробка персональних даних суб'єктів категорії «Споживачі»

4.1. У категорії «Споживачі» Товариство здійснює обробку ПД суб'єктів ПД (фізичних осіб та їх уповноважених представників), які є споживачами послуг з поводження з побутовими відходами, що надаються Товариством.

4.2. ПД суб'єктів категорії «Споживачі» обробляються для цілей надання послуг з поводження з побутовими відходами Товариством та виконання вимог законодавства України у сфері поводження з відходами, надання та споживання житлово-комунальних послуг.

4.3. Метою обробки ПД суб'єктів категорії «Споживачі» є: надання послуг Товариством та здійснення пов'язаних із цим операцій; виконання вимог законодавства; дотримання вимог законодавства у сфері оподаткування; забезпечення комунікацій з клієнтами; проведення маркетингових заходів; забезпечення прав та законних інтересів Товариства; забезпечення реалізації відносин у сфері послуг, що надаються Товариством; виконання Товариством своїх функцій та/або укладених договорів; інших відносин, що вимагають обробки ПД.

4.4. Склад ПД, обробку яких здійснює Товариство в категорії «Споживачі» (включаючи, але не обмежуючись): прізвище, ім'я та по батькові; дані документа, що посвідчує особу; місце реєстрації та проживання; реєстраційний номер облікової картки платника податків; контактні особи (ПІБ, телефони, email); номери телефонів, адреса електронної поштової скриньки; інші відомості, мета обробки яких співпадає з метою обробки персональних даних.

4.5. Підписуючи заяву-приєднання та/або здійснюючи вхід до особистого кабінету на сайт Товариства (https://ecostyle.ua/) та/або сплату рахунку Товариства суб'єкт ПД підтверджує, що він ознайомлений з Положенням, йому повідомлено про володільця ПД, склад та зміст зібраних ПД, права суб'єкта ПД, визначені законодавством України, мету збору та осіб, яким можуть передаватися його персональні дані.

4.6. Підписуючи заяву-приєднання та/або здійснюючи вхід до особистого кабінету суб'єкт ПД підтверджує про свою обізнаність щодо обробки його ПД у зв'язку з виконанням володільцем ПД обов'язку, який передбачений законом.

4.7. Суб'єкт ПД категорії «Споживачі» вважається таким, що підтвердив ознайомлення з Положенням, за умови не ненадання Товариству обґрунтованих зауважень до Положення в десятиденний строк з дати опублікування на сайті Товариства (https://ecostyle.ua/). Дані зауваження направляються Товариству рекомендованим листом на адресу: 25030, м. Кропивницький, вул. Лавандова, буд. 27.

5. Обробка персональних даних суб'єктів категорії «Контрагенти»

5.1. У категорії «Контрагенти» Товариство здійснює обробку ПД суб'єктів ПД, які перебувають у цивільно-правових та господарсько-правових відносинах з Товариством – представники юридичної особи, фізичні особи-підприємці.

5.2. ПД суб'єктів, що входять до категорії «Контрагенти», обробляються для цілей ефективного виконання умов правочинів, що укладаються Товариством з суб'єктами вказаної Категорії та для дотримання умов чинного законодавства України.

5.3. Метою обробки ПД вказаної Категорії є: здійснення господарської діяльності; ведення бухгалтерського, фінансового та управлінського обліку; ділове листування; виконання вимог законодавства; дотримання вимог оподаткування; забезпечення комунікацій з контрагентами; забезпечення прав та законних інтересів Товариства; інша мета обробки ПД, визначена умовами укладеного правочину.

5.4. Склад ПД, обробку яких здійснює Товариство в Категорії «Контрагенти» (включаючи, але не обмежуючись): прізвище, ім'я та по батькові; дані документу, що посвідчує особу; зразок особистого підпису; дані про реєстрацію ФОП; місце реєстрації та проживання; РНОКПП; контактні особи (ПІБ, телефони, email); банківські реквізити; інші відомості.

5.5. Укладаючи правочин з Товариством суб'єкт ПД підтверджує, що він ознайомлений з Положенням, йому повідомлено про володільця ПД, склад та зміст зібраних ПД, права суб'єкта ПД, визначені законодавством, мету збору та осіб, яким можуть передаватися його персональні дані.

6. Обробка персональних даних суб'єктів категорії «Працівники»

6.1. У категорії «Працівники» Товариство здійснює обробку ПД фізичних осіб, які знаходяться у трудових відносинах з Товариством або мають намір вступити в трудові відносини.

6.2. ПД суб'єктів категорії «Працівники» обробляються, для врегулювання та оформлення трудових відносин між Працівником та Товариством, інших правовідносин з дотриманням вимог чинного законодавства України.

6.3. Метою обробки ПД вказаної категорії є: встановлення та підтримання правовідносин в галузі праці, працевлаштування та стажування; забезпечення реалізації трудових відносин, адміністративно-правових, податкових відносин та відносин у сфері бухгалтерського обліку.

6.4. Склад ПД, обробку яких здійснює Товариство в категорії «Працівники» (включаючи, але не обмежуючись): прізвище, ім'я та по батькові; дані документу, що посвідчує особу; громадянство; зразок особистого підпису; вік; стать; дата і місце народження; місце реєстрації та проживання; РНОКПП; сімейний стан та склад сім'ї; професія, спеціалізація, кваліфікація; робочий стаж та місця роботи; відношення до військового обов'язку; освіта; наявність прав керування ТЗ; займані посади; зображення та звукозаписи в робочий час; контактні дані; адреса робочого місця; розмір заробітної плати, бонуси, реквізити рахунків; дані фінансового моніторингу; інші відомості.

6.5. Під час укладення з Товариством трудового договору суб'єкт ПД підтверджує, що він ознайомлений з Положенням, йому повідомлено про володільця ПД, склад та зміст зібраних ПД, права суб'єкта ПД, визначені законодавством України, мету збору та осіб, яким можуть передаватися його персональні дані.

7. Повідомлення про права суб'єкта персональних даних

7.1. Товариство повідомляє суб'єктів ПД про їх права як суб'єктів ПД, що обумовлені статтею 8 Закону, в тому числі:

7.1.1. знати про джерела збирання, місцезнаходження своїх персональних даних, мету їх обробки, місцезнаходження або місце проживання (перебування) володільця чи розпорядника персональних даних;

7.1.2. отримувати інформацію про умови надання доступу до персональних даних, зокрема інформацію про третіх осіб, яким передаються їх персональні дані;

7.1.3. на доступ до своїх персональних даних;

7.1.4. отримувати не пізніш як за тридцять календарних днів з дня надходження запиту відповідь про те, чи обробляються їх персональні дані, а також зміст таких персональних даних;

7.1.5. пред'являти вмотивовану вимогу щодо зміни або знищення своїх персональних даних будь-яким володільцем та розпорядником персональних даних, якщо ці дані обробляються незаконно чи є недостовірними;

7.1.6. на захист своїх персональних даних від незаконної обробки та випадкової втрати, знищення, пошкодження;

7.1.7. звертатися із скаргами на обробку своїх персональних даних до Уповноваженого;

7.1.8. застосовувати засоби правового захисту в разі порушення законодавства про захист персональних даних;

7.1.9. вносити застереження стосовно обмеження права на обробку своїх персональних даних під час надання згоди;

7.1.10. відкликати згоду на обробку персональних даних;

7.1.11. знати механізм автоматичної обробки їх персональних даних;

7.1.12. на захист від автоматизованого рішення, яке має для них правові наслідки.

7.2. Суб'єкт персональних даних має право на одержання будь-яких відомостей про себе у будь-якого суб'єкта відносин, пов'язаних з персональними даними, без зазначення мети запиту, крім випадків, встановлених законодавством України.

7.3. Доступ суб'єкта персональних даних до даних про себе здійснюється безоплатно. Суб'єкт персональних даних подає до Товариства запит щодо доступу до своїх персональних даних.

7.4. Запит задовольняється протягом 30 (тридцяти) календарних днів з дня його надходження, якщо інше не передбачено законодавством України. Запитувана інформація надається суб'єкту персональних даних у письмовій формі шляхом надсилання листа.

8. Заключні положення

8.1. Товариство вживає заходів щодо забезпечення захисту персональних даних на всіх етапах їх обробки.

8.2. Товариство самостійно визначає перелік і склад заходів, спрямованих на безпеку обробки персональних даних, з урахуванням вимог законодавства у сферах захисту персональних даних, інформаційної безпеки.

8.3. Захист персональних даних передбачає заходи, спрямовані на запобігання їх випадкових втрат або знищення, незаконної обробки, у тому числі незаконного знищення чи доступу до персональних даних.

8.4. Персональні дані залежно від способу їх зберігання (паперові, електронні носії) мають оброблятися у такий спосіб, щоб унеможливити доступ до них сторонніх осіб.

8.5. Це Положення (його наступні редакції) публікується на офіційному сайті Товариства за адресою: https://ecostyle.ua/