Политика конфиденциальности

Утверждена приказом АО «РТ-ИБ» от 23.07.2025 № 45.

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных в АО «РТ-ИБ» (далее — Политика) разработана в соответствии с п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет основные принципы, цели, условия и способы обработки персональных данных (далее – ПДн), права субъектов ПДн, а также обязанности АО «РТ-ИБ» (далее – Общество, Оператор) при обработке ПДн.

1.2. Политика является основой для организации обработки и защиты ПДн в Обществе, в том числе для разработки локальных нормативных актов.

1.3. Действие Политики распространяется на все процессы Общества, в рамках которых осуществляется обработка ПДн, как с использованием средств вычислительной техники, в том числе с использованием информационно-телекоммуникационных сетей, так и без использования таких средств.

1.4. Требования Политики являются обязательными для исполнения всеми работниками Общества.

1.5. Политика вступает в силу с момента ее утверждения генеральным директором Общества и действует до ликвидации или реорганизации Общества. В соответствии с требованиями ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» настоящая Политика открыто опубликована и доступна для ознакомления в информационно-телекоммуникационной сети Интернет на веб-ресурсах, принадлежащий Обществу.

1.6. Общество оставляет за собой право обновлять и изменять Политику в случаях изменения требований законодательства РФ к порядку обработки и обеспечению безопасности ПДн, а также при изменении внутренних процессов обработки ПДн в Обществе.

2. Термины и определения

Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Законодательство Российской Федерации — совокупность издаваемых в Российской Федерации законов и подзаконных нормативных правовых актов.

Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Локальный нормативный акт — документ, содержащий правила, общие принципы, характеристики, касающиеся определенных видов деятельности Общества или их результатов, разработанные федеральными, региональными и/или местными органами власти, контролирующими органами, вышестоящими организациями. К нормативным актам относятся стандарты, регламенты, порядки, инструкции, положения, методики, регулирующие организационные, технологические, финансовые и иные стороны деятельности органов управления, исполнительного органа, структурных подразделений, консультативно-совещательных органов: комиссий, рабочих групп и Общества в целом.– организационно-распорядительные документы (приказы, распоряжения, протоколы и т.д.) или инструкции, устанавливающие порядок и объем действий при выполнении какого-либо процесса, разработанные и действующие внутри Общества.

Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение),’ извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Общество — Акционерное общество АО «РТ-Информационная безопасность», действующее в соответствии с уставом.

Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Работник — лицо, работающее в Обществе на основе трудового договора, с полной или частичной занятостью, независимо от должности в Обществе.

Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Субъект персональных данных — прямо или косвенно определенное или определяемое физическое лицо на основе персональных данных.

Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационных системах персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

3. Информация об Операторе

Полное наименование: Акционерное общество «РТ-Информационная безопасность».

Сокращенное наименование: АО «РТ-ИБ».

Юридический адрес: 117587, г. Москва, Варшавское шоссе, дом 125, эт. 6, пом. Х, комн. 23.

ОГРН: 1217700423654

ИНН/КПП: 7726482572/772601001.

Адрес электронной почты: info@rt-ib.ru.

4. Принципы обработки персональных данных

При организации обработки и защиты ПДн, а также фактической реализации внутренних процессов обработки ПДн, Общество руководствуется следующими принципами:

законности и справедливости обработки ПДн;
ограничения обработки ПДн достижением конкретных, заранее определенных и законных целей;
запрета обработки ПДн, несовместимой с целями их сбора;
недопустимости объединения баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
соответствия содержания и объема обрабатываемых ПДн целям, заранее определенным и заявленным при их сборе;
недопустимости обработки ПДн, избыточных по отношению к целям, заявленным при их сборе;
обеспечения точности ПДн, их достаточности, а в необходимых случаях и актуальности по отношению к целям обработки, путем принятия необходимых мер по удалению или уточнению неполных или неточных данных;
организации хранения ПДн в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПДн;
уничтожения ПДн (по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством РФ).

Указанные принципы обработки являются основой соблюдения Обществом требований законодательством РФ, обеспечения конфиденциальности и безопасности ПДн.

В Обществе проводится регулярный анализ соответствия внутренних процессов обработки ПДн указанным выше принципам. Данный анализ проводится в случаях:

создания новых или внесения изменений в существующие внутренние процессы обработки ПДн;
создания новых или внесения изменений в существующие ИСПДн;
изменения нормативной базы, затрагивающей принципы и(или) процессы обработки ПДн в Обществе.

5. Правовые основания обработки персональных данных

Правовые основания обработки ПДн субъектов ПДн устанавливаются с учетом условий обработки ПДн, определенных ч. 1 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Правовыми основаниями обработки ПДн в Обществе являются:

согласие субъекта персональных данных на обработку его ПДн;
Трудовой кодекс РФ;
Налоговый кодекс РФ;
Гражданский кодекс РФ;
Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования и обязательного социального страхования»;
Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
Закон РФ от 21.07.1993 № 5485-1 «О государственной тайне»;
Закон РФ от 19.04.1991 № 1032-1 «О занятости населения в Российской Федерации»;
Постановление Правительства РФ от 27.11.2006 № 719 «Об утверждении Положения о воинском учете»;
Постановление Правительства РФ от 07.02.2024 № 132 «Об утверждении Правил допуска должностных лиц и граждан Российской Федерации к государственной тайне»;
Постановление Государственного комитета РФ по статистике от 05.01.2004 № 1 «Об утверждении унифицированных форм первичной учетной документации по учету труда и его оплаты»;
Приказ Министерства науки и высшего образования РФ и Министерства просвещения РФ от 05.08.2020 № 885/390 «О практической подготовке обучающихся»;
договор, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПДн, а также договор, заключенный по инициативе субъекта ПДн, или договор, по которому субъект ПДн будет являться выгодоприобретателем или поручителем;
локальные нормативные акты, принятые Обществом в соответствии с законодательством о ПДн.

Кроме того, обработка ПДн допускается в следующих случаях:

обработка ПДн необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПДн, если получение согласия субъекта ПДн невозможно;
обработка ПДн необходима для осуществления научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы субъекта ПДн;
обработка ПДн осуществляется в статистических или иных исследовательских целях при условии обязательного обезличивания ПДн.

6. Особенности обработки персональных данных для каждой цели обработки

6.1. Цели обработки персональных данных

Общество обрабатывает ПДн субъектов для достижения конкретных, заранее определенных и законных целей.

Обработка ПДн осуществляется в следующих целях:

ведения кадрового и бухгалтерского учета;
подбор персонала (соискателей) на вакантные должности Оператора;
обеспечения соблюдения трудового законодательства РФ;
выполнение требований законодательства о ведении воинского учета;
обеспечения соблюдения страхового законодательства РФ;
обеспечения соблюдения налогового законодательства РФ;
подготовки, заключения и исполнения гражданско-правового договора;
проведения маркетинговых исследований, анализа качества предоставляемых услуг;
информирования о мероприятиях, предлагаемых продуктах, услугах, сервисах, в том числе сбора и обработки заявок на участие в мероприятиях Оператора;
обеспечения пропускного режима на территорию Оператора;
осуществления выплат в пользу работников Оператора причитающихся сумм доходов, а также сумм денежных средств для оплаты расходов работников при осуществлении своих должностных обязанностей;
организации участия работников в сторонних мероприятиях.

Обработка ПДн, не совместимая с заявленными целями обработки, в Обществе не допускается.

6.2. Объем и категории обрабатываемых персональных данных, категории субъектов персональных данных

Содержание и объем обрабатываемых ПДн должны соответствовать заявленным целям обработки предусмотренными в настоящей Политике.

Обрабатываемые ПДн не должны быть избыточными по отношению к заявленным целям их обработки.

Оператор может обрабатывать ПДн следующих категорий субъектов ПДн:

Работники и бывшие работники Оператора:
- фамилия, имя, отчество;
- год рождения;
- месяц рождения;
- дата рождения;
- место рождения;
- семейное положение;
- доходы;
- пол;
- адрес места жительства;
- адрес регистрации;
- номер телефона;
- СНИЛС;
- ИНН;
- гражданство;
- данные документа, удостоверяющего личность;
- данные водительского удостоверения;
- реквизиты банковской карты;
- номер лицевого счета;
- должность;
- профессия;
- сведения о трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с указанием наименования и расчетного счета организации);
- отношение к воинской обязанности;
- сведения о воинском учете;
- сведения об образовании;
- сведения о составе семьи;
- сведения о знании иностранных языков.

Клиенты, контрагенты, представители контрагентов и посетители сайтов Оператора (физические лица):
- фамилия, имя, отчество;
- адрес электронной почты;
- номер телефона;
- место работы;
- должность;
- идентификаторы социальных сетей.

6.3. Способы обработки персональных данных

Для каждой цели обработки ПДн, предусмотрен один из следующих способов обработки ПДн:

автоматизированная обработка ПДн (с использованием средств вычислительной техники) с передачей по информационно-телекоммуникационным сетям или без таковой;
неавтоматизированная обработка ПДн (без использования средств вычислительной техники);
смешанная обработка ПДн.

При обработке ПДн автоматизированном способом Общество принимает необходимые меры по обеспечению безопасности обрабатываемых ПДн, в том числе с учетом требований Постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

Обработка ПДн неавтоматизированном способом, осуществляется с учетом требований Постановления Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

6.4. Сроки обработки персональных данных

Сроки обработки и хранения ПДн для каждой цели обработки ПДн, определенной в настоящей Политике, устанавливаются с учетом соблюдения требований, определенных законодательством РФ, и (или) с учетом положений договора, стороной, выгодоприобретателем или поручителем по которому выступает субъект ПДн, и (или) согласия субъекта ПДн на обработку его ПДн.

Обработка и хранение ПДн осуществляются не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен законодательством РФ, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных.

6.5. Порядок уничтожения персональных данных

Уничтожение ПДн, обработка которых осуществляется в рамках целей, определенных в настоящей Политике, производится в следующих случаях:

достижения целей обработки ПДн или утраты необходимости в их достижении;
получение от субъекта отзыва согласия субъекта на обработку его ПДн или требования о прекращении обработки ПДн (если исполнение указанного требования влечет за собой уничтожение ПДн);
истечение срока согласия субъекта ПДн;
получения соответствующего предписания от уполномоченного органа по защите прав субъектов ПДн;
при выявлении факта неправомерной обработки ПДн.

В случае отсутствия возможности уничтожения ПДн в течение срока, определенного Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Общество осуществляет блокирование таких ПДн или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению оператора) и обеспечивает уничтожение ПДн в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

Общество может заключать договоры с третьими сторонами на оказание услуг по уничтожению материальных носителей. При этом Общество и третья сторона соблюдают все правила для обеспечения конфиденциальности уничтожаемых данных.

Факт уничтожения ПДн подтверждается в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов ПДн.

6.6. Особенности обработки файлов cookie

Cookie — это небольшой текстовый фрагмент данных, который загружается на устройство (компьютер или смартфон) пользователей сайта, используемое для доступа к сайту.

Общество может использовать файлы cookie, полученные с устройств посетителей сайта, с целью обеспечения функционирования сайта в т.ч.:

строго необходимые файлы cookie — для поддержания корректной работы и отображения сайта. Эти файлы cookie не хранят личные данные, которые могут идентифицировать пользователей сайта как личность;
статистические (аналитические) файлы cookie, при помощи которых осуществляется сбор статистических сведений о работе с сайтом, в т.ч. об общем количестве посетителей сайта и показателях отказов — для улучшения пользовательского опыта в части навигации и исправления ошибок.

Общество использует информацию, содержащуюся в файлах cookie только в указанных выше целях, после чего собранные данные продолжают храниться на устройстве посетителя сайта в течение периода, который может зависеть от соответствующего типа файлов cookie. По срокам обработки файлы cookie делятся на следующие типы:

сессионные cookie — действуют в течение времени, пока открыт веб-браузер, с которого посетитель сайта зашел на сайт, и удаляются при его закрытии;
постоянные cookie — хранятся на компьютере посетителя сайта и не удаляются при закрытии браузера. Срок использования таких файлов cookie не превышает двух лет.

Общество на сайте использует сервисы веб-аналитики с целью анализа пользовательской активности при помощи файлов cookie, оценки использования посетителями сайта, совершенствования сайта. Файлы cookie могут быть получены Обществом с использованием метрических программ сервисов веб-аналитики, базы данных которых находятся на территории РФ. При использовании указанных сервисов веб-аналитики Общество со своей стороны принимает условия использования сервисов, размещенные на сайтах поставщиков услуг, а также применяемые на стороне поставщиков способы защиты передаваемой информации. Общество убеждается в соблюдении принципов и правил обработки ПДн, соблюдении конфиденциальности ПДн и принятии необходимых мер по обеспечению безопасности ПДн в соответствии со ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Посетители сайта уведомляются об использовании метрических программ и сборе файлов cookie при переходе на сайт. Большинство веб-браузеров изначально настроены автоматически принимать файлы cookie. Посетитель сайта в любой момент может изменить настройки своего веб- браузера таким образом, чтобы блокировать использование файлов cookie на устройстве.

Информацию о способах управления и блокировке файлов cookie в различных веб-браузерах можно получить в документации на используемый браузер.

Посетитель сайта вправе отказаться от использования Обществом метрических программ.

7. Взаимодействие с третьими лицами по вопросам обработки персональных данных

7.1. Передача персональных данных

Общество в ходе своей деятельности вправе осуществлять передачу ПДн третьим лицам в целях исполнения договорных обязательств перед субъектами ПДн, обеспечения своей деятельности или исполнения требований законодательства РФ. При этом субъект ПДн вправе беспрепятственно получить доступ к перечню третьих лиц, которым предоставляется доступ к его ПДн.

Категории третьих лиц, которым может осуществляться передача ПДн:

государственные органы;
контрагенты Общества.

Общество осуществляет передачу ПДн третьим лицам только в объеме, необходимом для достижения заявленных целей обработки.

Существенным условием договоров с третьими сторонами, в рамках исполнения которых осуществляется передача ПДн, является обязанность соблюдения сторонами мер обеспечения конфиденциальности и безопасности ПДн.

Трансграничная передача ПДн в рамках деятельности Общества не осуществляется.

7.2. Поручение обработки персональных данных третьим лицам

Общество вправе поручать обработку ПДн другим лицам.

Общество поручает обработку ПДн другим лицам только с согласия субъекта ПДн или при наличии иного законного основания при обязательном условии соблюдения стороной, осуществляющей обработку ПДн по поручению Общества, принципов и правил обработки и обеспечения безопасности ПДн, конфиденциальности ПДн, а также принятия необходимых мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

8. Права субъектов персональных данных

Субъект ПДн имеет право:

свободно, своей волей и в своем интересе предоставлять согласие на обработку ПДн с учетом требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» к содержанию согласий на обработку ПДн;
направлять запросы и (или) обращения и получать информацию по вопросам обработки ПДн в порядке, объеме и в сроки, установленные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
требовать от Общества уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными или не являются необходимыми для заявленной цели обработки;
обратиться в Общество с требованием прекратить обработку своих ПДн, а также отозвать предоставленное согласие на обработку ПДн;
осуществлять иные права, предусмотренные законодательством РФ.

По всем вопросам, касающимся сбора и обработки ПДн, а также реализации своих прав, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», субъект вправе обратиться в Общество, путем направления писем по юридическому адресу Общества, либо по адресу электронной почты.

9. Обязанности Общества при обработке персональных данных

При обработке ПДн Общество обязано:

соблюдать требования законодательства РФ в отношении обработки и защиты ПДн; при сборе ПДн предоставлять субъекту ПДн по его просьбе информацию, предусмотренную частью 7 статьи 14 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
разъяснить субъекту ПДн юридические последствия отказа предоставить ПДн и (или) дать согласие на их обработку, если в соответствии с федеральным законом предоставление ПДн и (или) получение согласия на обработку ПДн являются обязательными;
в случае получения ПДн не от субъекта ПДн до начала обработки ПДн предоставлять субъекту ПДн информацию, предусмотренную Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» с учетом установленных исключений;
при сборе ПДн, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн субъектов ПДн (граждан РФ) с использованием баз данных, находящихся на территории РФ, за исключением случаев, предусмотренных законодательством РФ;
принимать меры, направленные на обеспечение выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятым в соответствии с ним нормативными правовыми актами;
принимать меры по обеспечению безопасности ПДн при их обработке; выполнять обязанности, предусмотренные для операторов ПДн, при получении запросов и (или) требований по вопросам ПДн от субъекта ПДн и (или) его представителя и (или) от уполномоченного органа по защите прав субъектов ПДн;
выполнять обязанности по уточнению, блокированию, уничтожению ПДн в случаях, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
взаимодействовать с уполномоченным органом по защите прав субъектов ПДн по вопросам, связанным с обработкой и защитой ПДн, в случаях, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
выполнять иные обязанности, предусмотренные законодательством РФ.

10. Меры, направленные на обеспечение выполнения обязанностей

10.1. Перечень принимаемых мер

В Обществе принимаются меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами.

К таким мерам, принимаемым в Обществе, в частности относятся:

назначение ответственного за организацию обработки ПДн;
издание локальных нормативных актов по вопросам обработки ПДн, локальных нормативных актов, устанавливающих процедуры направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений;
применение правовых, организационных и технических мер по обеспечению безопасности ПДн в соответствии со ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
осуществление внутреннего контроля и (или) аудита соответствия обработки ПДн Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных»;
оценка вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов ПДн, который может быть причинен субъектам ПДн в случае нарушения Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
ознакомление работников, непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ о ПДн, в том числе требованиями к защите ПДн, настоящей Политикой, локальными нормативными актами по вопросам обработки ПДн, и (или) обучение указанных работников.

10.2. Меры по обеспечению безопасности персональных данных при их обработке

Общество при обработке ПДн принимает необходимые организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн. К таким мерам, в соответствии со ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», в частности, относятся:

определение угроз безопасности ПДн при их обработке;
соблюдение условий, исключающих несанкционированный доступ к материальным носителям ПДн и обеспечивающих сохранность ПДн;
обнаружение фактов несанкционированного доступа к ПДн и принятие мер;
применение средств защиты информации, прошедших в установленном порядке процедуры оценки соответствия;
оценка эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;
резервирование ПДн специальными программно-аппаратными методами с последующей возможностью восстановления модифицированных или уничтоженных ПДн вследствие несанкционированного доступа к ним;
установление правил доступа к ПДн, а также обеспечение регистрации и учета действий, совершаемых с ПДн, обрабатываемыми в ИСПДн;
учет машинных носителей ПДн;
контроль за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности ПДн при их обработке в ИСПДн.