УТВЕРЖДЕНО

приказом Генерального директора Общества с

ограниченной ответственностью микрокредитная компания

«Рубль.ру»

№ 1 от 16.03.2026 г.

ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

ООО МКК «РУБЛЬ.РУ»

Оглавление

1. ОБЩИЕ ПОЛОЖЕНИЯ................................................................................................................... 2

2. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ......................................................................................................2

3. ПРАВОВЫЕ ОСНОВЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ...............................4

4.

КАТЕГОРИИ ПЕРСОНАЛЬНЫХ ДАННЫХ, А ТАКЖЕ КАТЕГОРИИ СУБЪЕКТОВ,

ПЕРСОНАЛЬНЫЕ ДАННЫЕ КОТОРЫХ ОБРАБАТЫВАЮТСЯ КОМПАНИЕЙ.......................5

5. ИНФОРМАЦИОННАЯ СИСТЕМА ПЕРСОНАЛЬНЫХ ДАННЫХ (ИСПДн).................... 7

6. СИСТЕМА ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ............................................................ 7

7. ПРИНЦИПЫ И ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ..................................8

8. ОРГАНИЗАЦИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ В КОМПАНИИ,

ПРАВИЛА

ОБРАБОТКИ И МЕРЫ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ.10

9. ПОЛУЧЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ОТ ТРЕТЬИХ ЛИЦ..................................... 12

10. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ......................................... 12

11.

ХРАНЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, В ТОМ ЧИСЛЕ НА МАТЕРИАЛЬНЫХ

НОСИТЕЛЯХ.15

12.

13.

ИСПОЛЬЗОВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ.........................................................16

ПРЕКРАЩЕНИЕ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ (ВКЛЮЧАЯ

ДЕЙСТВИЯ ПО

УНИЧТОЖЕНИЮ, БЛОКИРОВАНИЮ, ОБЕЗЛИЧИВАНИЮ И АРХИВАЦИИ)........................16

14. ПОРЯДОК ПОДАЧИ ОБРАЩЕНИЙ И ЗАПРОСОВ СУБЪЕКТАМИ ПДн....................... 19

15. ОТВЕТСТВЕННОСТЬ................................................................................................................. 22

ПРАВИЛА

ОБРАБОТКИ

ПЕРСОНАЛЬНЫХ

ДАННЫХ

РАБОТНИКОВ,

РОДСТВЕННИКОВ

РАБОТНИКОВ И КАНДИДАТОВ.........................................................................................................23

1. ОБРАБАТЫВАЕМЫЕ ПЕРСОНАЛЬНЫЕ ДАННЫЕ.........................................................23

2. ПРАВИЛА ОБРАБОТКИ ПДн...................................................................................................23

3. ХРАНЕНИЕ И УЧЁТ ПЕРСОНАЛЬНЫХ ДАННЫХ............................................................ 25

4. УПРАВЛЕНИЕ ДОСТУПОМ К ПЕРСОНАЛЬНЫМ ДАННЫМ......................................... 25

Информация о категориях и перечне обрабатываемых персональных данных,

категориях субъектов, персональные данные которых обрабатываются,

способах, сроках их обработки и хранения для каждой цели обработки

персональных данных в ООО МКК«Рубль.ру»......................................................................27

Разъяснения субъекту персональных данных юридических последствий отказа

предоставить его персональные данные и (или) дать согласие на их обработку.30

Перечень контрагентов Компании, которым Компания вправе передавать и/или

поручать обработку персональных данных........................................................................... 31

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. В целях выполнения в полном объеме норм действующего законодательства Российской Федерации,

регулирующего отношения, связанные с обработкой и обеспечением безопасности персональных

данных, ООО МКК «Рубль.ру» (далее по тексту – «Компания») считает важнейшими своими задачами

соблюдение

принципов

законности,

справедливости

и

конфиденциальности

при обработке

персональных данных, а также обеспечение безопасности процессов их обработки.

1.2. Настоящая Политика обработки персональных данных Компании (далее – «Политика»):

•

разработана в целях реализации требований законодательства Российской Федерации в области

обработки персональных данных;

•

раскрывает порядок организации обработки персональных данных в Компании, включая принципы

обработки данных, порядок осуществления конкретных действий по обработке персональных

данных, порядок осуществления обработки отдельных категорий персональных данных и

обработки данных отдельных категорий субъектов, а также содержит информацию о том, каким

третьим лицам могут передаваться (предоставляться доступ) к персональным данным,

обрабатываемым Компанией;

•

определяет цели обработки персональных данных, категории и перечень обрабатываемых

персональных данных, категории субъектов, персональные данные которых обрабатываются

Компанией, правовые основания обработки, способы и сроки обработки и хранения персональных

данных, порядок их уничтожения;

является общедоступным документом, декларирующим основы деятельности Компании при

обработке и защите персональных данных.

1.3. Пересмотр и обновление настоящей Политики осуществляется на плановой и внеплановой основе в

соответствии с установленным в Компании порядком:

•

плановый пересмотр Политики осуществляется не реже одного раза в год;

внеплановый пересмотр Политики может производиться в связи с изменением законодательства РФ

в сфере персональных данных, по результатам анализа актуальности, достаточности и

эффективности используемых мер обеспечения конфиденциальности и безопасности ПДн, по

результатам анализа актуальности Реестра процессов обработки ПДн, а также по результатам иных

контрольных мероприятий, включая внутренние проверки Компании и контрольные мероприятия

Роскомнадзора, иных органов государственной власти.

1.4. Актуальная редакция Политики размещается в общем доступе на сайте Компании в сети «Интернет»

https://rubl.ru/ с использованием которого осуществляется сбор персональных данных, и вступает в

силу с момента размещения, если иное не будет предусмотрено новой редакцией Политики.

1.5.Обеспечивается ознакомление всех работников Компании с актуальной версией Политики под подпись.

2. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

Автоматизированная обработка персональных данных – обработка персональных данных с

использованием средств вычислительной техники.

Биометрические персональные данные – данные, которые характеризуют физиологические и

биологические особенности человека, на основании которых можно установить его личность и которые

используются оператором для установления личности субъекта персональных данных.

Блокирование персональных данных – временное прекращение обработки персональных данных (за

исключением случаев, если обработка необходима для уточнения персональных данных).

Информационная

система персональных данных (ИСПДн) – совокупность содержащихся в базах

данных персональных данных и обеспечивающих их обработку информационных технологий и

технических средств.

Компания — ООО МКК «Рубль.ру» зарегистрированное в реестре микрофинансовых организаций за

номером 1803045008863 от 05.07.2018.

Контрагент — третье лицо (юридическое, физическое, индивидуальный предприниматель, физическое

лицо, занимающееся частной практикой), которому Компания поручает обработку персональных данных

и/или передает (предоставляет доступ к) персональным данным на основании заключенного с этим лицом

соответствующего договора.

Неавтоматизированная обработка персональных данных – обработка персональных данных без

использования средств автоматизации и вычислительной техники.

Несанкционированный доступ (несанкционированные действия) — доступ к информации или действия

с информацией, нарушающие правила разграничения доступа с использованием штатных средств,

предоставляемых ИСПДн.

Обезличивание персональных данных – действия, в результате которых становится невозможным без

использования

дополнительной информации определить принадлежность персональных данных

конкретному субъекту персональных данных.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций),

совершаемых с использованием средств автоматизации или без использования таких средств с

персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение

(обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ),

обезличивание, блокирование, удаление, уничтожение персональных данных.

Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо,

самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку

персональных данных, а также определяющие цели обработки персональных данных, состав персональных

данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. В рамках

настоящей политики Оператором является Компания.

Ответственный за организацию обработки ПДн – должностное лицо Компании, назначенное приказом

Генерального директора ответственным за организацию обработки персональных данных в Компании.

Полномочия и обязанности такого лица определяются приказом о его назначении, должностной

инструкцией, а также настоящей Политикой.

Ответственный за обеспечение безопасности ПДн – должностное лицо Компании, назначенное приказом

Генерального директора ответственным за обеспечение безопасности персональных данных в Компании.

Полномочия и обязанности такого лица определяются приказом о его назначении, должностной

инструкцией, а также настоящей Политикой.

Партнер – лицо (юридическое, физическое, индивидуальный предприниматель, физическое лицо,

занимающееся частной практикой), с которым Компания на договорной основе осуществляет

сотрудничество, связанное с предоставлением и/или продвижением продуктов, сервисов и услуг. К

Партнерам Компании относятся, в том числе, микрокредитные компании (МКК), микрофинансовые

компании (МФК), чьи предложения о продуктах, сервисах и услугах размещены на сайтах Компании, в

частности на сайте https://rubl.ru/.

Персональные данные (ПДн) – любая информация, относящаяся к прямо или косвенно определенному,

или определяемому физическому лицу (субъекту персональных данных).

Персональные данные, разрешенные субъектом для распространения – персональные данные, доступ

неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия

на обработку персональных данных, разрешенных субъектом персональных данных для распространения в

порядке, предусмотренном Федеральным законом от 27.07.2006 г. № 152-ФЗ «О персональных данных».

Предоставление персональных данных – действия, направленные на раскрытие персональных данных

определенному лицу или определенному кругу лиц.

Процесс обработки ПДн — бизнес-процесс Компании, в рамках которого осуществляется обработка

персональных данных.

Распространение персональных данных – действия, направленные на раскрытие персональных данных

неопределенному кругу лиц.

Реестр процессов обработки ПДн – локальный нормативный документ, фиксирующий все бизнес-

процессы, в которых осуществляется обработка персональных данных, а также ключевые характеристики

этой обработки (правовое основание обработки, цели и сроки обработки, и прочие характеристики).

Роскомнадзор — Федеральная служба России по надзору в сфере связи, информационных технологий и

массовых коммуникаций и ее территориальные управления (уполномоченный орган по защите прав

субъектов ПДн).

Сайт – совокупность программ для электронных вычислительных машин и иной информации,

содержащейся в информационной системе, доступ к которой обеспечивается посредством информационно-

телекоммуникационной сети «Интернет» (далее – сеть «Интернет») по доменным именам и (или) по

сетевым адресам (IP-адресам), позволяющим идентифицировать сайты в сети «Интернет». К сайтам

Компании относятся: https://rubl.ru/.

Субъект персональных данных (Субъект) – любое физическое лицо, обладающее персональными

данными, с помощью которых прямо или косвенно данное физическое лицо можно определить.

Трансграничная передача ПДн — передача ПДн на территорию иностранного государства органу власти

иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Третье лицо – лицо (юридическое, физическое, индивидуальный предприниматель, физическое лицо,

занимающееся частной практикой), взаимодействующее с Компанией.

Угрозы безопасности ПДн («УБПДн») — совокупность условий и факторов, создающих опасность

несанкционированного, в том числе случайного, доступа к ПДн, результатом которого может стать

уничтожение,

изменение,

блокирование,

копирование,

распространение

ПДн,

а

также

иных

несанкционированных действий при их обработке в ИСПДн.

Уничтожение персональных данных – действия, в результате которых становится невозможным

восстановить содержание персональных данных в информационной системе персональных данных и (или)

в результате которых уничтожаются материальные носители персональных данных.

ФСТЭК России — Федеральная служба технического и экспортного контроля России.

Целостность ПДн — способность средства вычислительной техники или информационной системы

обеспечивать неизменность ПДн в условиях случайного и/или преднамеренного искажения (разрушения).

Файлы сookies – фрагмент данных, отправленный веб-сервером и хранимый на устройстве посетителя

Сайта, который веб-клиент или веб-браузер пересылает веб-серверу в HTTP-запросе при попытке открыть

страницу соответствующего Сайта.

IP-адрес – уникальный сетевой адрес узла в компьютерной сети, построенной по протоколу IP.

MAC-адрес – уникальный идентификатор, присваиваемый каждой единице сетевого оборудования или

некоторым их интерфейсам в компьютерных сетях, записанный в шестнадцатеричном виде.

3. ПРАВОВЫЕ ОСНОВЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1.Настоящая Политика разработана в соответствии со следующими нормативными правовыми актами,

которыми также необходимо руководствоваться при работе с ПДн во всех случаях, не урегулированных

локальными нормативными документами Компании:

•

Гражданский кодекс Российской Федерации от 21.10.1994 № 51-ФЗ;

Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ (далее - «Трудовой кодекс»);

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – ФЗ «О

персональных данных»);

•

Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о

защите информации»;

•

Федеральный закон от 30.12.2004 N 218-ФЗ "О кредитных историях";

Постановление Правительства РФ от 01.11.2012 N 1119 "Об утверждении требований к защите

персональных данных при их обработке в информационных системах персональных данных";

Постановление Правительства РФ от 15 сентября 2008 г. N 687 "Об утверждении Положения об

особенностях обработки персональных данных, осуществляемой без использования средств

автоматизации";

•

Постановление Правительства РФ от 29 июня 2021 г. N 1046 "О федеральном государственном

контроле (надзоре) за обработкой персональных данных";

Приказ ФСТЭК России от 18.02.2013 N 21 "Об утверждении Состава и содержания

организационных и технических мер по обеспечению безопасности персональных данных при их

обработке в информационных системах персональных данных";

•

Приказ Роскомнадзора от 27.10.2022 № 178 «Об утверждении Требований к оценке вреда, который

может быть причинен субъектам персональных данных в случае нарушения Федерального закона

"О персональных данных»;

Приказ Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению

уничтожения персональных данных»;

•

Приказ Роскомнадзора от 14.11.2022 № 187 «Об утверждении Порядка и условий взаимодействия

Федеральной службы по надзору в сфере связи, информационных технологий и массовых

коммуникаций с операторами в рамках ведения реестра учета инцидентов в области персональных

данных»;

Приказ Роскомнадзора от 19.06.2025 N 140 "Об утверждении требований к обезличиванию

персональных данных и методов обезличивания персональных данных, за исключением случаев,

указанных в пункте 9.1 части 1 статьи 6 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О

персональных данных";

•

Приказ Росархива от 20.12.2019 N 236 "Об утверждении Перечня типовых управленческих

архивных документов, образующихся в процессе деятельности государственных органов, органов

местного самоуправления и организаций, с указанием сроков их хранения";

Иные федеральные законы, нормативные правовые акты, требования которых применимы к бизнес-

процессам Компании.

4.

КАТЕГОРИИ ПЕРСОНАЛЬНЫХ ДАННЫХ, А ТАКЖЕ КАТЕГОРИИ

СУБЪЕКТОВ, ПЕРСОНАЛЬНЫЕ ДАННЫЕ КОТОРЫХ ОБРАБАТЫВАЮТСЯ

КОМПАНИЕЙ

4.7. Полный перечень ПДн, обрабатываемых в Компании, формируется в соответствии с ФЗ «О

персональных данных», иными федеральными законами и подзаконными нормативными правовыми

актами, регулирующими деятельность Компании, и уставом Компании и содержится в Приложении № 2

к настоящей Политике, а также фиксируется и время от времени актуализируется (обновляется) в

Реестре процессов обработки ПДн.

4.8. Перечень ПДн, обрабатываемых Компанией, ограничивается данными, необходимыми и достаточными

для достижения конкретных целей обработки, предусмотренных настоящей Политикой, и формируется в

соответствии с принципом минимизации данных, подлежащих обработке. ПДн, не являющиеся

необходимыми для достижения заявленных целей обработки, Компанией не обрабатываются.

4.9. Компания обрабатывает ПДн следующих лиц (категорий субъектов ПДн):

•

работники Компании – физические лица, состоящие с Компанией в трудовых отношениях, на

основании заключенного трудового договора (далее – «Работники»);

•

родственники работников Компании – близкие родственники работников Компании (родственники

по прямой восходящей и нисходящей линии: родители и дети, братья и сестры), супруг/супруга, а

также усыновители и усыновленные;

•

бывшие работники Компании – физические лица, ранее состоявшие с Компанией в трудовых

отношениях на основании заключенного трудового договора;

кандидаты на вакантные должности в Компании – физические лица, претендующее на вакантные

должности Компании (далее – «Кандидаты»);

практиканты / стажеры – учащиеся и студенты образовательных организаций, а также иные

физические лица, проходящие стажировку в Компании, либо проходящие производственную или

преддипломную практику, предварительное обучение в Компании, с целью приобретения ими

практического опыта работы, на основании соответствующих договоров с Компанией;

посетители Компании – физические лица, посещающие территорию либо помещения Компании,

для которых оформляются временные пропуска, либо в соответствующих журналах регистрируется

факт посещения;

•

Контрагенты Компании (физические лица);

представители/работники Контрагентов Компании – физические лица, обладающие полномочиями

на представление интересов Контрагентов Компании на основании доверенности или договора;

аффилированные лица – лица, способные оказывать влияние на деятельность Компании, в том

числе на управленческие и иные решения, и имеющие личную заинтересованность в результатах

работы Компании. К таким лицам в рамках настоящей Политики относятся включая, но не

ограничиваясь: участники (акционеры) Компании, работники юридического лица (в том числе

руководители), аффилированного с компанией, лица, осуществившие инвестирование капитала в

финансовые активы Компании;

•

посетители Сайтов Компании

заинтересованные в информации, продуктах, сервисах или услугах, представленных на Сайтах

(далее – «Посетители Сайта(ов)»);

–

физические лица, посетившие Сайт (ы) Компании и

зарегистрированные Пользователи Сайтов Компании – физические лица, прошедшие процедуру

регистрации на одном из Сайтов Компании, в результате которой был создан личный кабинет

пользователя Сайта;

клиенты Компании – физические лица, заключившие с Компанией договор/соглашение, на

основании и во исполнение, которого Компания предоставляет Клиенту продукты и/или сервисы,

и/или услуги, включая право использования (лицензию) программного обеспечения, владельцем

которого является Компания (далее – «Клиенты»). Клиенты Компании одновременно могут

является клиентами одного или нескольких Партнеров Компании и состоять с ними в

гражданско-правовых отношениях;

•

потенциальные клиенты Компании – физические лица, взаимодействующие с Компанией

посредством Сайтов и/или по другим каналам связи, и которые заинтересованы или могут быть

заинтересованы в получении/приобретении продуктов, сервисов, услуг Компании и/или ее

Партнеров, но еще не подали заявку и/или не заключили договор/соглашение, на основании

которого могут получить указанные продукты, сервисы, и/или услуги;

сотрудники органов власти, осуществляющих контроль (надзор) за деятельностью Компании – лица,

направляемые в Компанию с целью проведения государственного надзора за деятельностью

Компании, действующие в рамках своих полномочий и на основании законодательства РФ.

4.10. Компания не осуществляет обработку специальных категорий ПДн, касающихся расовой, национальной

принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни.

4.11. Обработка специальных категорий ПДн (в частности, ПДн о состоянии здоровья) допускается

исключительно в следующих случаях, когда:

•

такая обработка прямо предусмотрена законодательством РФ;

без обработки таких ПДн невозможно достижение законной цели обработки;

и только при наличии отдельного письменного согласия субъекта ПДн (требования ст. 9, п. 1 ч. 2 ст.

10 ФЗ «О персональных данных»).

4.12. Обработка ПДн о состоянии здоровья Работников в рамках кадровой работы осуществляется в

соответствии с требованиями п. 4.5 Политики выше и Приложением № 1 к настоящей Политике

(«Правила обработки ПДн работников, родственников работников и кандидатов»).

4.13. В случае осуществления обработки биометрических ПДн Клиентов Компании для цели идентификации

их личности, Компания действует исключительно на основании согласия на обработку ПДн,

предоставленного Клиентом отдельно от всех иных согласий. Обработка биометрических ПДн других

категорий субъектов ПДн (не Клиентов) по общему правилу в Компании не осуществляется.

4.14. Обработка ПДн Посетителей Сайтов Компании, включая файлы cookies, с использованием средств веб-

аналитики, маркетинговых технологий, метрических программ осуществляется на основании отдельного

согласия Посетителя Сайта, выраженного путём совершения активного конклюдентного действия на

Сайте.

4.15. Сайты Компании могут получать доступ и использовать на основании указанного выше согласия

различные типы файлов cookies, хранящихся на устройстве Посетителя Сайта. Файлы cookies

необходимы для анализа действий Посетителя Сайта при использовании им Сайта, а также для

обеспечения функционирования Сайта и аналитики работы и посещаемости Сайта. В частности, Сайты

Компании могут использовать:

•

Функциональные файлы cookies, которые применяются для управления Сайтом. Они позволяют

быстрее загружать контент Сайта, отправлять заявки, заполнять формы и анкеты с помощью

функционала Сайта;

•

Аналитические файлы cookies, которые позволяют Компании видеть статистику по использованию

Сайта, наиболее часто просматриваемым страницам, действиям Посетителя Сайта, ошибкам в

работе Сайта.

4.16. Посетитель Сайта вправе в любой момент изменить условия использования файлов cookies, а также

отказаться от их сбора (отключить функцию сбора) в настройках браузера, либо в настройках на

устройстве Посетителя Сайта, если операционная система устройства позволяет отключать доступ к

файлам cookies.

5. ИНФОРМАЦИОННАЯ СИСТЕМА ПЕРСОНАЛЬНЫХ ДАННЫХ (ИСПДн)

5.1. Комплексы баз данных, средств вычислительной техники, технических средств обработки ПДн

объединяются в ИСПДн Компании. При этом в ИСПДн Компании могут входить другие икомпоненты.

5.2. К компонентам ИСПДн Компании относятся информационные системы, базы данных и файловые

ресурсы, в которых осуществляется обработка ПДн, оператором которых или лицом, обрабатывающим

которые по поручению, является Компания. Все компоненты ИСПДн Компании учитываются в Перечне

ПДн.

5.3. Запрещается объединение баз ПДн, обработка которых осуществляется в целях, несовместимых между

собой. Оценка возможности объединения баз ПДн осуществляется на этапе создания и/ или обновления

ИСПДн.

5.4. Для обеспечения безопасности ИСПДн Компании разрабатываются следующие документы:

• Модель угроз безопасности ПДн при их обработке в ИСПДн, включающая в себя модель

нарушителя в ИСПДн;

• Акт определения уровня защищенности ПДн при их обработке в ИСПДн.

5.5.При моделировании угроз безопасности ПДн при их обработке в ИСПДн проводится оценка вреда,

который может быть причинен субъектам ПДн в случае нарушения законодательства, и определение

перечня актуальных угроз безопасности ПДн в конкретных условиях функционирования.

5.6.Жизненный цикл ИСПДн Компании состоит из следующих стадий:

• инициация проекта по созданию (изменению) ИСПДн;

• разработка технического задания;

• проектирование;

• создание и тестирование;

• приемка и ввод в эксплуатацию;

• эксплуатация;

• сопровождение и обновление ИСПДн;

• прекращение эксплуатации ИСПДн и снятие с учета.

5.7. Порядок проведения необходимых в части соблюдения требований законодательства в области

обработки и защиты ПДн мероприятий в рамках жизненного цикла ИСПДн Компании определяется

Ответственным за обеспечение безопасности ПДн.

6. СИСТЕМА ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. С целью выполнения требований законодательства РФ в сфере защиты ПДн в Компании введена,

функционирует и проходит периодический пересмотр (контроль) система защиты ПДн («СЗПДн»),

которая состоит из следующих компонентов:

• участники обработки ПДн и лица, ответственные за обработку и обеспечение безопасности ПДн;

• организационно-распорядительные документы;

• средства обработки ПДн;

• меры и средства обеспечения безопасности ПДн.

6.2.СЗПДн Компании основана на следующих принципах:

• вовлеченность и контроль со стороны руководства Компании;

• соответствия мер и средств защиты актуальным УБПДн;

• соответствия мер и средств защиты требованиям законодательства РФ в области обработки и

обеспечения безопасности ПДн;

• комплексность организационных и технических мер для обеспечения безопасности ПДн;

• учет при построении и модернизации СЗПДн в Компании удобства работников и минимизация

возможных затруднений в работе со средствами защиты и при выполнении основных процедур

обеспечения безопасности ПДн;

• повышение уровня знаний работников Компании в сфере обеспечения безопасности ПДн.

6.3. Организации, оказывающие услуги Компании в области защиты ПДн, в случаях, установленных

законодательством РФ, должны иметь лицензию ФСТЭК России на деятельность по технической

защите конфиденциальной информации. Организации, оказывающие услуги Компании в области

средств криптографической защиты, должны иметь соответствующие лицензии ФСБ России.

6.4. В ИСПДн Компании обеспечивается целостность и/или доступность ПДн. В целях восстановления

ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним, в

ИСПДн проводится резервное копирование ПДн для защиты их целостности и доступности.

6.5. Мероприятия по защите ПДн от несанкционированного физического доступа включают:

• контроль доступа на всех объектах, где Компания осуществляет на постоянной основе

хозяйственную деятельность;

• контроль доступа в помещения с оборудованием ИСПДн;

• контроль доступа к техническим средствам ИСПДн;

• контроль перемещений физических компонентов ИСПДн (материальных носителей ПДн).

6.6. Для выполнения вышеуказанных мероприятий могут в том числе выполняться следующие меры:

• охрана и режим доступа в помещения для исключения неконтролируемого проникновения или

пребывания в помещениях лиц, не имеющих право доступа в помещения;

• вход в помещения Компании может контролироваться посредством систем контроля и управления

доступом;

• помещения могут быть оснащены техническими устройствами, сигнализирующими об их

несанкционированном вскрытии.

• для регистрации посетителей территории Компании могут вестись журналы учета посетителей, в

которые заносятся сведения документа, удостоверяющего личность посетителей, дата посещения,

а также фамилия, имя и отчество Работника Компании, который принимает посетителя.

Копирование содержащейся в таких журналах информации не допускается. ПДн каждого субъекта

ПДн могут заноситься в такой журнал не более одного раза в каждом случае пропуска субъекта

ПДн на территорию Компании. Срок хранения журналов учета посетителей составляет 1 (один)

год с момента их полного заполнения.

6.7.

Помимо

указанных

мероприятий,

на

территории

Компании

допускается

осуществление

видеонаблюдения в следующих целях:

• соблюдение пропускного режима и правил нахождения и поведения на территории Компании;

• обеспечение безопасности товарно-материальных ценностей Компании;

• обеспечение безопасности Работников Компании, а также любых иных физических лиц,

находящихся на территории Компании;

• повышение эффективности мер по предотвращению и пресечению противоправных действий на

территории Компании;

• предупреждение возникновения чрезвычайных ситуаций и/или происшествий,

а

также

своевременноое реагирование, принятие необходимых мер защиты и обеспечения объективности

расследования таких происшествий в случаях их возникновения.

6.8.

6.9.

Запрещается установка камер видеонаблюдения в помещениях, не предназначенных для выполнения

Работниками Компании трудовых функций (комнаты отдыха, санитарные помещения и др.).

Если в процессе видеонаблюдения осуществляется запись, срок хранения видеозаписей составляет не

более 1 (одного) года, после чего записи подлежат уничтожению. В том случае, если камеры

видеонаблюдения зафиксировали чрезвычайную ситуацию и/или происшествие, срок хранения

соответствующих записей будет определяться на основании применимых норм законодательства

Российской Федерации, включая нормы об исковой давности.

6.10. Работники Компании, посетители территории Компании и иные лица, которые потенциально могут

попасть в зону видеонаблюдения, должны быть проинформированы о ведении видеонаблюдения

посредством размещения специальных информационных табличек о ведении видеонаблюдения.

6.11. Передача видеозаписей третьим лицам допускается

в

случаях мотивированного запроса

следственных и/или судебных органов, по запросу физических лиц, изображенных на записи, а также

в иных случаях, если это допускается локальными нормативными документами Компании и не

противоречит действующему законодательству РФ.

6.12. Более детальные меры по обеспечению безопасности ПДн при их обработке в ИСПДн, а также

порядок реализации этих мер устанавливаются в соответствии с локальными нормативными

документами Компании, регламентирующими вопросы обеспечения информационной безопасности

Компании.

7. ПРИНЦИПЫ И ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Обработка ПДн в Компании осуществляется в соответствии со следующими принципами:

• обработка ПДн осуществляется на законной и справедливой основе;

• обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей;

• не допускается обработка ПДн, несовместимая с целями сбора ПДн;

• не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в

целях, несовместимых между собой;

• обработке подлежат только ПДн, которые отвечают целям их обработки;

• содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки; не

допускается избыточность обрабатываемых ПДн по отношению к заявленным целям их

обработки;

• при обработке ПДн обеспечивается точность ПДн, их достаточность, а в необходимых случаях и

актуальность по отношению к целям обработки ПДн, принимаются необходимые меры по

удалению или уточнению неполных или неточных ПДн;

• хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн, не дольше, чем

того требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом,

согласием на обработку ПДн, договором, стороной которого, выгодоприобретателем или

поручителем по которому является субъект ПДн;

• обрабатываемые ПДн уничтожаются по достижении целей обработки или в случае утраты

необходимости в достижении этих целей, если иное не предусмотрено федеральным законом;

• обработка ПДн не используется в целях причинения имущественного и/или морального вреда

субъектам ПДн, затруднения реализации их прав и свобод.

7.2. Обработка ПДн Компанией осуществляется в следующих случаях:

• обработка персональных данных осуществляется с согласия субъекта персональных данных на

обработку его персональных данных;

• обработка персональных данных необходима для достижения целей, предусмотренных

международным договором Российской Федерации или законом, для осуществления и выполнения

возложенных законодательством Российской Федерации на Компанию функций, полномочий и

обязанностей;

• обработка персональных данных осуществляется в связи с участием лица в конституционном,

гражданском, административном, уголовном судопроизводстве, а также судопроизводстве в

арбитражных судах;

• обработка персональных данных необходима для исполнения судебного акта, акта другого органа

или должностного лица, подлежащих исполнению в соответствии с законодательством Российской

Федерации об исполнительном производстве;

• обработка персональных данных необходима для исполнения договора, стороной которого либо

выгодоприобретателем или поручителем, по которому является субъект персональных данных, а

также для заключения договора по инициативе субъекта персональных данных или договора, по

которому субъект персональных данных будет являться выгодоприобретателем или поручителем.

Заключаемый с субъектом персональных данных договор не может содержать положения,

ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи

обработки

персональных

данных

несовершеннолетних,

если

иное

не

предусмотрено

законодательством Российской Федерации, а также положения, допускающие в качестве условия

заключения договора бездействие субъекта персональных данных;

• обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно

важных интересов субъекта персональных данных, если получение согласия субъекта

персональных данных невозможно;

• обработка персональных данных необходима для осуществления прав и законных интересов

Компании или Третьих лиц, либо для достижения общественно значимых целей при условии, что

при этом не нарушаются права и свободы субъекта ПДн;

• обработка персональных данных осуществляется в статистических или иных исследовательских

целях, за исключением целей, указанных в статье 15 ФЗ «О персональных данных», при условии

обязательного обезличивания персональных данных;

• осуществляется обработка персональных данных, подлежащих опубликованию или обязательному

раскрытию в соответствии с федеральным законом.

7.3. В Компании проводится анализ соответствия Процессов обработки ПДн заявленным принципам

обработки в случае:

• создания новых или внесения изменений в существующие или прекращения Процессов обработки

ПДн;

• создания новых или внесения изменений в существующие или снятие с эксплуатации ИСПДн;

• изменения нормативной базы, затрагивающей принципы и/или Процессы обработки ПДн в

Компании;

• проведения внутренних и/или внешних контрольных мероприятий на предмет оценки

соответствия Процессов обработки ПДн заявленным принципам.

7.4. Компания осуществляет обработку персональных данных для достижения определенных целей.

Полный перечень целей обработки ПДн, а также информация о категориях и перечне

обрабатываемых ПДн, категориях субъектов, ПДн которых обрабатываются, способах, сроках их

обработки, хранения и порядке уничтожения для каждой из целей обработки ПДн, содержится в

Приложении № 2 к настоящей Политике.

7.5. Компания вправе обрабатывать ПДн в иных целях, не указанных в Приложении №2 к Политике, в

рамках осуществления и выполнения функций, полномочий и обязанностей, возложенных на нее

законодательством Российской Федерации.

7.6. В целях улучшения пользовательского опыта и предоставления персонализированных сервисов в

мобильном приложении Компании («Рубль.ру») осуществляется обработка персональных данных

пользователей с использованием технологий искусственного интеллекта (AI-помощник). Умный

помощник на базе AI анализирует данные о расходах пользователя для формирования аналитики,

визуальной статистики, а также предоставления рекомендаций по планированию бюджета и

оптимизации расходов.

8.

ОРГАНИЗАЦИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

В КОМПАНИИ, ПРАВИЛА ОБРАБОТКИ И МЕРЫ

ОБЕСПЕЧЕНИЯ

БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1. Компания, в установленном законом порядке уведомила Роскомнадзор о своем намерении

осуществлять обработку ПДн. Компания в установленные законом сроки осуществляет актуализацию

сведений, указанных в уведомлении в порядке, предусмотренном Разделом 15 настоящей Политики.

8.2. В Компании назначены Ответственный за организацию обработки ПДн и Ответственный за

обеспечение безопасности ПДн, на которых возложены обязанности (в пределах полномочий каждого

из них) по принятию организационных, правовых и технических меры по защите ПДн,

предусмотренных п. 8.16 настоящего Раздела Политики, а также по контролю за соблюдением этих

мер в Компании.

8.3. При обработке персональных данных Компанией осуществляются следующие действия с ними: сбор,

запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение,

использование, передача (распространение, предоставление, доступ), обезличивание, блокирование,

удаление, уничтожение.

8.4. Обработка персональных данных в Компании осуществляется следующими способами:

• с использованием средств автоматизации;

• без использования средств автоматизации.

8.5. В Компании ведётся Реестр процессов обработки ПДн, фиксирующий все бизнес-процессы, в

которых осуществляется обработка ПДн, а также ключевые характеристики этой обработки (правовое

основание обработки, цели и сроки обработки и т.д.).

8.6. Для случаев, когда в процессе деятельности Компании получение Компанией согласия на обработку

ПДн субъекта является обязательным, Компанией разработаны разъяснения субъекту ПДн

юридических последствий отказа предоставить его ПДн и/или дать согласие на их обработку. Данные

разъяснения содержаться в Приложении № 3 к настоящей Политике.

8.7. Обработка персональных данных в целях продвижения товаров, работ, услуг Компании на рынке

осуществляется только при условии предварительного согласия на это субъекта ПДн, полученного

отдельно от всех остальных согласий на обработку ПДн.

8.8.

В случае распространения ПДн субъекта по смыслу ст. 10.1 ФЗ «О персональных данных» Компания

предварительно получает согласие субъекта ПДн на обработку его ПДн, разрешенных для

распространения, по утвержденной в Компании форме. Данное согласие предоставляется субъектом

ПДн отдельно от всех иных согласий на обработку ПДн.

8.9.

Компания также обязуется размещать информацию об условиях и запретах в отношении обработки

ПДн, разрешенных субъектом ПДн для распространения, на соответствующем Сайте (если ПДн

подлежат распространению на этом Сайте).

8.10.

При принятии решения о предоставлении субъектам ПДн продуктов и/или сервисов, услуг

Компании и/или ее Партнеров, Компания вправе принимать данные решения на основании

исключительно автоматизированной обработки ПДн при условии наличии согласия субъекта ПДн в

письменной

форме

(либо

подписанного

аналогом

собственноручной

подписи)

или

в

предусмотренных законодательством РФ случаях.

8.11.Компания разъясняет субъекту ПДн порядок принятия решения на основании исключительно

автоматизированной обработки его ПДн и возможные юридические последствия такого решения. В

настоящей Политике также разъясняется порядок защиты субъектом ПДн своих прав и законных

интересов в отношении обработки его ПДн.

8.12.

Субъект ПДн вправе заявить возражение против решения Компании, принятого на основании

исключительно автоматизированной обработки ПДн. Компания рассматривает такое возражение в

течение 30 (тридцати) дней со дня его получения и уведомляет субъекта ПДн о результатах

рассмотрения такого возражения.

8.13. Все Работники Компании ознакамливаются под подпись с нормативными документами Компании в

области обработки и безопасности ПДн, включая настоящую Политику. В случае внесения изменений

в локальные нормативные документы Компании в области обработки и безопасности ПДн, Работники

ознакамливаются под подпись с указанными изменениями (новыми версиями локальных

нормативных документов, актуальными на дату ознакомления).

8.14. Централизованное обучение по вопросам обработки и защиты ПДн осуществляется в Компании

посредством тренингов по вопросам обработки и защиты ПДн и организовывается Ответственным за

организацию обработки ПДн и Ответственным за безопасность ПДн в пределах их компетенций.

8.15. Ответственный за организацию обработки ПДн также может ознакамливать Работников с

изменениями законодательства РФ в сфере обработки ПДн в рамках информационной рассылки в

корпоративной почте и в мессенджерах Компании, а также в порядке личного консультирования.

8.16. Компания предпринимает необходимые организационные, правовые и технические меры по защите

ПДн. Которые основаны на требованиях ст. 18.1 и ст. 19 ФЗ «О персональных данных».

Организационные, правовые и технические меры, необходимые и достаточные для обеспечения

выполнения Компанией обязанностей Оператора ПДн, предусмотренных законодательством РФ,

включают:

•

принятие локальных нормативных документов Компании и иных документов по вопросам

обработки и защиты ПДн, включая настоящую Политику;

•

ознакомление работников Компании, непосредственно осуществляющих обработку ПДн, с

положениями законодательства РФ о персональных данных, в том числе требованиями к защите

ПДн, локальными нормативными документами Компании по вопросам обработки ПДн в порядке,

предусмотренном настоящей Политикой;

•

получение согласий субъектов ПДн на обработку их персональных данных, за исключением

случаев, предусмотренных законодательством РФ;

обособление ПДн, обрабатываемых без использования средств автоматизации, от иной

информации;

обеспечение раздельного хранения ПДн и их материальных носителей, обработка которых

осуществляется в разных целях и которые содержат разные категории ПДн;

хранение материальных носителей ПДн с соблюдением условий, обеспечивающих сохранность

ПДн и исключающих несанкционированный доступ к ним;

осуществление внутреннего контроля соответствия обработки ПДн ФЗ «О персональных данных» и

настоящей Политике, иным локальным нормативным документам Компании не реже чем раз в 3

(три) года с фиксацией результатов контроля в форме актов внутренней проверки и устранением

выявленных нарушений в процессах обработки ПДн;

•

установление запрета на передачу ПДн по открытым каналам связи, вычислительным сетям вне

пределов контролируемой зоны Компании и сети «Интернет» без применения установленных в

Компании мер по обеспечению безопасности ПДн (за исключением общедоступных и (или)

обезличенных ПДн);

•

определение угроз безопасности ПДн при их обработке в информационных системах ПДн;

обнаружение фактов несанкционированного доступа к ПДн и принятие мер, в том числе мер по

обнаружению,

предупреждению

и

ликвидации

последствий

компьютерных

атак

на

информационные системы ПДн и по реагированию на компьютерные инциденты в них;

применение прошедших в установленном порядке процедуру оценки соответствия средств защиты

информации;

•

установление правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечением

регистрации и учета всех действий, совершаемых с ПДн в ИСПДн;

•

контроль за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности

информационных систем ПДн;

•

применение антивирусной защиты информационной системы обработки ПДн;

применение правовых, организационных, технических, и иных мер по обеспечению безопасности

ПДн, предусмотренных законодательством РФ в области персональных данных и настоящей

Политикой;

•

иные меры, предусмотренные законодательством РФ в области персональных данных.

8.17. Рекомендации, предоставляемые AI-помощником в мобильном приложении Компании, формируются

на основании исключительно автоматизированной обработки обезличенных данных о расходах

пользователя. Пользователь вправе заявить возражение против таких рекомендаций в порядке,

предусмотренном п. 8.12 настоящей Политики.

9. ПОЛУЧЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ОТ ТРЕТЬИХ ЛИЦ

9.1. Персональные данные субъекта ПДн могут быть получены Компанией:

• от самого субъекта ПДн;

• от уполномоченного представителя субъекта ПДн, действующего на основании законодательства

РФ, либо на основании доверенности;

• от Третьих лиц, при наличии законных оснований.

9.2. При получении персональных данных у Третьих лиц, за исключением случаев, когда ПДн получены в

рамках поручения на обработку ПДн или, когда согласие получено Третьей стороной, Компания

уведомляет об этом субъекта ПДн, предоставляя ему информацию, предусмотренную ч.3 ст. 18 ФЗ «О

персональных данных».

9.3. В целях подтверждения достоверности сведений, указанных субъектом персональных данных в

процессе оформления заявок на получение продуктов и/или сервисов, и/или услуг Компании и/или ее

Партнеров, а также получения информации, необходимой для принятия решения о предоставлении

продуктов и/или сервисов, услуг Компании и/или ее Партнеров, Компания вправе направлять запросы

в бюро кредитных историй. Компания вправе самостоятельно выбрать конкретное бюро кредитных

историй для направления соответствующих запросов.

9.4. В рамках реализации своего права на проверку достоверности указанной в процессе оформления

заявки на получение продуктов и/или сервисов, и услуг Компании и/или ее Партнеров информации

Компания вправе проводить проверку и уточнение предоставленных субъектом ПДн посредством

обращения в соответствующие государственные органы, к работодателю субъекта ПДн, а также иным

лицам, контактные данные которых были предоставлены субъектом ПДн Компании

соответствующей заявке.

в

10. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ

10.1. Компания вправе поручить обработку и/или передать (предоставить доступ к) ПДн Контрагенту при

наличии надлежащего правового основания при условии заключения этим лицом

и

с

соответствующего договора. Такой Контрагент обязан соблюдать принципы и правила обработки

ПДн, предусмотренные действующим законодательством РФ. Компания передает ПДн Контрагенту в

соответствии с заключенным договором в составе и объеме, необходимом для достижения

заявленных целей обработки, а также в соответствии с требованиями действующего законодательства

РФ.

10.2. При поручении Контрагенту обработки ПДн, Компания заключает с таким Контрагентом договор

поручения обработки ПДн. При передаче (предоставлении доступа к) ПДн Контрагенту, который

является самостоятельным оператором ПДн, Компания заключает с ним договор, регламентирующий

передачу (предоставление доступа к) ПДн и взаимные обязанности обеих сторон. Допускается

оформление договоров в форме отдельного соглашения, соглашения о конфиденциальности и/или

путем включения соответствующих положений в основной договор с Контрагентом.

10.3. Перечень Контрагентов, которым Компания вправе передавать ПДн / поручать обработку ПДн, указан

в Приложении № 4 к настоящей Политике и является неотъемлемой частью Политики. Компания

вправе обновлять и изменять данный перечень в том же порядке, который предусмотрен для

изменения и обновления настоящей Политики.

10.4. В договоре поручения обработки ПДн в обязательном порядке должны быть определены:

• перечень действий (операций) с ПДн, которые будут совершаться Контрагентом, в соответствии с

действиями, заявленными субъекту в договоре, согласии и т. д. (правовом основании обработки

ПДн субъекта);

• цели обработки в соответствии с целями, заявленными субъекту в договоре, в согласии и т. д.

(правовом основании обработки ПДн субъекта);

• обязанность Контрагента соблюдать требование о записи, систематизации, накоплении, хранении,

уточнении (обновлении, изменении), извлечении персональных данных граждан РФ с

использованием баз данных, находящихся на территории Российской Федерации;

• обязанность Контрагента по запросу Компании в течение срока действия поручения обработки

ПДн, в том числе до начала обработки ПДн, предоставлять документы и иную информацию,

подтверждающие принятие мер и соблюдение требований, предусмотренных поручением

обработки ПДн;

• требование об уведомлении Контрагентом Компании о случае установления факта неправомерной

или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение

прав субъектов ПДн, в сроки, установленные законодательством РФ для подобного уведомления

или в более короткие сроки;

• обязанность Контрагента принимать правовые и организационные меры, необходимые и

достаточные для обеспечения выполнения обязанностей, предусмотренных законодательством РФ

для операторов ПДн;

• обязанность Контрагента соблюдать конфиденциальность ПДн и обеспечивать безопасность ПДн

при их обработке, соблюдать принципы и правила обработки ПДн, предусмотренные

законодательством РФ а также, если применимо, соблюдать требования, установленные

законодательством РФ в отношении обработки ПДн без использования средств автоматизации,

включая информирование работников о факте и особенностях обработки ими ПДн без

использования средств автоматизации;

• требования к защите ПДн;

• порядок передачи ПДн (или предоставления доступа к ним).

10.5. Ответственным за подписание необходимого договора с Контрагентом является подразделение,

инициирующее заключение договора с Контрагентом. В случае поручения Контрагенту обработки

ПДн Ответственный за организацию обработки ПДн и Ответственный за обеспечение безопасности

ПДн вправе совместно проводить оценку Контрагента на предмет соблюдения им требований

законодательства РФ в сфере обработки ПДн, а также обеспечения конфиденциальности и

безопасности ПДн по утвержденной в Компании форме оценки Контрагента, предназначенной для

подобной оценки. В случае неудовлетворительных результатов такой оценки, Ответственный за

организацию обработки ПДн и Ответственный за обеспечение безопасности ПДн сообщают о

результатах оценки и о выявленных в ходе оценки рисках руководителю подразделения,

инициировавшему заключение договора с Контрагентом, для целей пересмотра решения о поручении

Контрагенту обработки ПДн.

10.6. При поручении обработки ПДн должны соблюдаться нижеперечисленные критерии, за обеспечение

которых отвечает подразделение Компании (ответственное лицо), инициирующее привлечение

Контрагента:

• Контрагент выбирается на основании его пригодности для обеспечения требуемых технических и

организационных защитных мер;

• перед началом обработки данных Контрагентом Компания предпринимает разумные и

обоснованные действия, чтобы убедиться в соблюдении Контрагентом его обязанностей.

10.7. По общему правилу в Компании не осуществляется трансграничная передача ПДн. Однако, в случае

возникновения необходимости трансграничной передачи каких-либо данных, в Компании разрешена

трансграничная передача ПДн на территорию иностранных государств:

• являющихся сторонами Конвенции Совета Европы № 108 о защите физических лиц при

автоматизированной обработке персональных данных;

• содержащихся в Приказе Роскомнадзора от 05.08.2022 № 128 "Об утверждении перечня

иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных

данных".

В этом случае Компания подает в Роскомнадзор уведомление о намерении осуществлять

трансграничную передачу ПДн, которое должно содержать обязательные сведения, установленные

законодательством РФ. После подачи такого уведомления Компания вправе осуществлять

трансграничную передачу ПДн на территорию иностранных государств, указанных в настоящем

пункте Политики, до принятия Роскомнадзором решения о запрещении или об ограничении

трансграничной передачи ПДн на территорию этого иностранного государства (если такое решение

будет принято).

10.8. В случае, если иностранное государство не входит в указанные выше перечни, то после подачи

уведомления о трансграничной передаче ПДн в Роскомнадзор Компания не вправе осуществлять

трансграничную передачу ПДн на территорию этого иностранного государства, до истечения

установленных законом сроков принятия Роскомнадзором решения в отношении указанной в

уведомлении Компании трансграничной передачи ПДн. Трансграничная передача ПДн на

территорию такого иностранного государства допускается только после получения от Роскомнадзора

положительного решения о трансграничной передаче ПДн Компанией в это иностранное государство.

10.9. В случае трансграничной передачи ПДн в иностранные государства, Компания получает от органов

власти иностранного государства, иностранных физических лиц, иностранных юридических лиц,

которым планируется трансграничная передача ПДн, следующие сведения и проводит оценку этих

сведений на предмет соблюдения этими лицами конфиденциальности ПДн и обеспечения

безопасности ПДн при их обработке:

• сведения о принимаемых органами власти иностранного государства, иностранными физическими

лицами, иностранными юридическими лицами, которым планируется трансграничная передача

ПДн, мерах по защите передаваемых ПДн и об условиях прекращения их обработки;

• информация о правовом регулировании в области ПДн иностранного государства, под

юрисдикцией которого находятся органы власти иностранного государства, иностранные

физические лица, иностранные юридические лица, которым планируется трансграничная передача

ПДн (в случае, если предполагается осуществление трансграничной передачи ПДн органам власти

иностранного государства, иностранным физическим лицам, иностранным юридическим лицам,

находящимся под юрисдикцией иностранного государства, не являющегося стороной Конвенции

Совета Европы о защите физических лиц при автоматизированной обработке персональных

данных и не включенного в перечень иностранных государств, обеспечивающих адекватную

защиту прав субъектов персональных данных);

• сведения об органах власти иностранного государства, иностранных физических лицах,

иностранных юридических лицах, которым планируется трансграничная передача ПДн

(наименование либо фамилия, имя и отчество, а также номера контактных телефонов, почтовые

адреса и адреса электронной почты).

10.10.Компанией допускается передача ПДн Третьим лицам без согласия субъекта ПДн, когда это

необходимо для защиты жизни, здоровья или иных жизненно важных интересов субъекта ПДн, если

получение согласия субъекта ПДн невозможно.

10.11.Передача ПДн без соответствующего согласия субъекта ПДн органам государственной власти,

органам местного самоуправления, органам безопасности и правопорядка, государственным

учреждениям, а также иным уполномоченным органам, допускается только по основаниям,

предусмотренным федеральным законодательством РФ.

10.12.Компания вправе передавать ПДн следующим категориям Третьих лиц, включая, но не ограничиваясь:

• Бюро кредитных историй – в целях, предусмотренных Федеральным законом № 218-ФЗ от

30.12.2004 "О кредитных историях";

• Контрагенты, являющиеся операторами информационных систем и оказывающие Компании

технические, информационные, информационно-аналитические услуги – в целях обеспечения

функционирования информационных систем, инфраструктурной поддержки Компании, а также

обеспечения информационной безопасности;

• Партнёры Компании – исключительно в целях оказания услуг Клиентам Компании.

10.13.Полный перечень Контрагентов Компании, которым могут передаваться ПДн, указан в Приложении

№ 4 к настоящей Политике. Передача ПДн осуществляется в объёме, не превышающем необходимый

для достижения соответствующей цели обработки.

10.14.Указанные выше органы и организации получают доступ к персональным данным, обрабатываемым

в Компании, в объеме и порядке, установленном законодательством РФ.

10.15.Компания в ходе своей деятельности кроме передачи ПДн Третьим лицам может также предоставлять

доступ Третьим лицам к ПДн, которые хранятся и обрабатываются в ИСПДн Компании, либо в

помещениях Компании (при неавтоматизированной обработке ПДн), например, предоставлять доступ

к ПДн работникам Контрагента. В случае предоставления такого доступа Компания также заключает

договор с Контрагентом, которому предоставляется доступ к ПДн в порядке, предусмотренном

положениями этого Раздела выше.

10.16.Прекращение доступа Третьих лиц к ПДн осуществляется в случаях:

• отзыва субъектом ПДн согласия на обработку (как согласия в адрес Компании, так согласия на

передачу ПДн данному Третьему лицу), если иное не предусмотрено законодательством РФ;

• достижения целей обработки ПДн, если иное не предусмотрено согласием на обработку ПДн или

иным правовом основанием обработки ПДн;

• прекращения договорных отношений с Третьим лицом, которому был предоставлен доступ (с

учётом сроков обработки, предусмотренных в законе, договорах, согласиях на обработку ПДн,

сроков исковой давности);

• иных случаях прекращения обработки ПДн самой Компанией.

10.17.В случае, если субъект ПДн осуществил частичный отзыв согласия на обработку ПДн, то

прекращение доступа осуществляется в отношении тех Процессов обработки ПДн, которые указаны

в заявлении такого субъекта на отзыв согласия (если отсутствует иное правовое основание обработки

для этих Процессов).

11.

ХРАНЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, В ТОМ

ЧИСЛЕ НА МАТЕРИАЛЬНЫХ НОСИТЕЛЯХ

11.1. Хранение ПДн в Компании осуществляется в форме, позволяющей определить субъекта

персональных данных, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн

не установлен законодательством РФ.

11.2. Хранение ПДн в Компании осуществляется с учетом необходимости обеспечения режима их

конфиденциальности.

11.3. ПДн субъектов обрабатываются и хранятся в ИСПДн, а также на материальных носителях ПДн.

Согласия на обработку ПДн, данные субъектами ПДн в электронной форме, отображаются в ИСПДн

Компании в виде специальной отметки в карточке субъекта ПДн, давшего согласие в

соответствующей ИСПДн, с указанием даты, когда согласие было получено. Организацию

соблюдения порядка обращения с носителями ПДн, а также учета и хранения согласий на обработку

ПДн в электронной форме, в структурных подразделениях Компании, работники которых имеют

доступ к ПДн, осуществляют соответствующие руководители структурных подразделений.

11.4. В Компании обеспечивается раздельное хранение ПДн при различных целях обработки и

запрещается на одном носителе фиксация ПДн, цели обработки которых не совместимы.

11.5. Хранение материальных носителей ПДн осуществляется в условиях, исключающих возможность

хищения, нарушения целостности или уничтожения содержащейся на них информации. Не

допускается оставлять без присмотра отчуждаемые машинные носители ПДн с резервными копиями.

11.6. Для

хранения

носителей

ПДн

допускается

привлечение Третьего лица, оказывающего

соответствующие услуги Компании. В этом случае с таким Третьим лицом заключается договор

поручения обработки ПДн в виде хранения, соответствующий требованиям законодательства РФ.

11.7. В Компании возможны следующие процедуры с ПДн по истечении сроков хранения, порядок

проведения которых установлен Разделом 13 настоящей Политики:

• передача персональных данных на архивное хранение в соответствии с законодательством РФ об

архивном деле;

• уничтожение ПДн либо их обезличивание по достижении целей обработки или в случае утраты

необходимости в достижении этих целей, если иное не предусмотрено законодательством РФ

либо, договором стороной которого является субъект ПДн.

11.8. В связи с тем, что в Компании происходит обработка ПДн на материальных носителях (бумажные

документы), в Компании том числе осуществляется обработка ПДн без использования средств

автоматизации. Обработка ПДн, осуществляемая без использования средств автоматизации, строится

на принципах, изложенных в Положении об особенностях обработки персональных данных,

осуществляемой без использования средств автоматизации, утвержденном Постановлением

Правительства РФ от 15.09.2008 г. № 687.

11.9. Типовая форма документа, используемого при обработке ПДн, должна содержать следующие

сведения:

• цели обработки ПДн;

• наименование и адрес Компании;

• фамилию, имя, отчество и адрес субъекта ПДн (либо указание на необходимость заполнения их);

• источник получения ПДн (третьи стороны, субъект ПДн и т.д.);

• сроки обработки ПДн;

• перечень действий, которые будут совершаться с ПДн в Процессе их обработки;

• общее описание используемых Компанией способов обработки ПДн (с использование средств

автоматизации, без использования таких средств либо смешанная).

Данные сведения не включаются в типовые формы документов, если они указаны в соответствующих

локальных нормативных документах Компании (положения, регламенты, порядки, инструкции и т.д.)

по использованию типовых форм документов.

11.10.Типовой формой документа является шаблон используемого в Компании документа, утвержденный в

установленном в Компании порядке, оформленный на бумажном носителе (журнал, реестр, перечень,

анкета, книга учета, отчет и т.п.), в том числе полученный из ИСПДн, характер информации в

котором предполагает или допускает включение в него ПДн. Примерные формы не являются типовой

формой, так как могут быть изменены при их использовании.

11.11. В случае необходимости получения согласия на обработку ПДн в типовую форму документа

включается поле, в котором субъект ПДн должен поставить отметку о своем согласии на обработку

ПДн, а также иные положения, необходимые в соответствии с законодательством РФ. Согласие на

обработку ПДн может не включаться в типовую форму документа, если оно получено ранее в составе

иной формы или иным образом, либо может быть получено вновь при последующем заполнении

типовой формы.

11.12.Типовая форма документа должна составляться таким образом, чтобы каждый из субъектов ПДн, чьи

ПДн содержатся в типовой форме документа, имел возможность ознакомиться со своими ПДн, не

нарушая прав и законных интересов иных субъектов ПДн (из предоставляемой к ознакомлению

субъекту формы или копии формы должны быть предварительно удалены или замаскированы ПДн

других субъектов). При этом Компания исходит из того, что типовой формой признается

непосредственно шаблон, по которому составлен соответствующий документ, в связи с чем,

возможность доступа одного субъекта ПДн к данным другого субъекта ПД исключается.

11.13.В типовую форму документов запрещается внесение ПДн, цели обработки которых несовместимы

между собой.

11.14.Хранение и уничтожение типовых форм документов осуществляется в соответствии с требованиями

настоящей Политики.

11.15.Работники Компании, осуществляющие обработку ПДн без использования средств автоматизации,

должны быть проинформированы о факте такой обработки ими ПДн, а также о вышеуказанных

особенностях такой обработки. Факт информирования работников подтверждается подписанием

Работником уведомления об обработке Пдн без использования средств автоматизации.

12. ИСПОЛЬЗОВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

12.1. В Компании определяется перечень работников Компании и лиц, допущенных к обработке ПДн.

Работники и лица, допущенные к обработке ПДн, используют ПДн исключительно в рамках своей

трудовой функции или обязанностей, возложенных на них гражданско-правовым договором с

Компанией.

12.2. В Компании запрещается использование ПДн посторонними лицами, за исключением случаев

передачи ПДн или предоставления доступа к ПДн третьим лицам в порядке, установленном

настоящей Политикой.

13.

ПРЕКРАЩЕНИЕ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ

ДАННЫХ (ВКЛЮЧАЯ ДЕЙСТВИЯ ПО

УНИЧТОЖЕНИЮ,

БЛОКИРОВАНИЮ, ОБЕЗЛИЧИВАНИЮ И АРХИВАЦИИ)

13.1. Под прекращением обработки ПДн понимается остановка Процессов обработки ПДн в Компании с

обязательным осуществлением их блокирования, уничтожения (либо обезличивания) или архивации.

Указанные действия с ПДн также являются обработкой ПДн, и их выполнение свидетельствует о

прекращении Процессов обработки ПДн.

13.2. Допускаются следующие способы осуществления прекращения обработки:

• автоматический – при достижении сроков и целей обработки ПДн в ИСПДн;

• ручной – при проверке достижения сроков и целей обработки ПДн на бумажных носителях и в

ИСПДн на периодической основе;

• ручной – по результатам проведения контрольных мероприятий, выявления неправомерной

обработки и/ или при получении запросов субъектов ПДн.

13.3. При подтверждении в результате проведенной проверки факта неправомерной обработки ПДн, в

срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, Компания обязана прекратить

неправомерную обработку ПДн или обеспечить прекращение неправомерной обработки ПДн лицом,

действующим по поручению Компании.

13.4. В случае если обеспечить правомерность обработки ПДн невозможно по различным причинам, то

Компания в срок, не превышающий 10 (Десяти) рабочих дней с даты выявления неправомерной

обработки ПДн, обязана уничтожить такие ПДн или проконтролировать их уничтожение лицом,

действующим по поручению Компании. Об устранении допущенных нарушений или об уничтожении

персональных данных Компания уведомляет субъекта ПДн, а также, при необходимости, его

представителя и/или Роскомнадзор в установленных законом случаях.

13.5. В случае отсутствия возможности уничтожения ПДн в течение указанного срока Компания блокирует

ПДн в порядке, предусмотренном настоящим Разделом Политики.

13.6. В случае если обработка ПДн осуществлялась Компанией с использованием средств автоматизации,

при прекращении такой обработки, документами, подтверждающими прекращение обработки и

уничтожение ПДн, являются – акт об уничтожении ПДн и выгрузка из журнала событий в ИСПДн.

13.7. Выгрузка из журнала событий в ИСПДн должна содержать следующие сведения:

• фамилию, имя, отчество (при наличии) субъекта ПДн или иную информацию, относящуюся к

определенному физическому лицу, чьи персональные данные были уничтожены;

• перечень категорий уничтоженных ПДн субъекта;

• наименование ИСПДн, из которой были уничтожены ПДн субъекта;

• причину уничтожения ПДн;

• дату уничтожения ПДн субъекта.

13.8. В случае, если выгрузка из журнала событий ИСПДн не позволяет указать отдельные сведения,

предусмотренные настоящим пунктом Политики, недостающие сведения вносятся в акт об

уничтожении ПДн.

13.9. Блокирование ПДн подразумевает:

• запрет редактирования и использования ПДн в ИСПДн;

• информирование Контрагентов, осуществляющих обработку ПДн по поручению Компании, о

необходимости блокирования ПДн;

• запрет передачи ПДн (если передача не требуется согласно законодательству РФ) и иных

способов обработки ПДн;

• изъятие бумажных документов, относящихся к субъекту ПДн и содержащих его ПДн, из

внутреннего документооборота Компании и запрет их использования, если иное не

предусмотрено законодательством.

13.10.Компания блокирует обрабатываемые ПДн с последующим уничтожением ПДн при отсутствии

возможности уничтожения ПДн в течение срока, установленного ФЗ «О персональных данных». При

этом уничтожение ПДн производится не позднее 6 (шести) месяцев со дня блокирования ПДн.

13.11.Компания

блокирует

обрабатываемые

в

ИСПДн ПДн при выявлении недостоверности

обрабатываемых ПДн (например, если выявлены неполные, устаревшие, неточные ПДн) или

неправомерных действий в отношении субъекта ПДн (например, если ПДн являются незаконно

полученными или не являются необходимыми для установленной цели обработки) в следующих

случаях:

• по требованию субъекта ПДн или его представителя;

• по требованию Роскомнадзора;

• по результатам внутренних контрольных мероприятий.

13.12.В случае выявления неточных ПДн блокирование ПДн может быть осуществлено, если оно не

нарушает права и законные интересы субъекта ПДн или Третьих лиц.

13.13.Разблокирование ПДн может быть осуществлено после уточнения ПДн, для исполнения требований

законодательства РФ, а также если причины, в результате которых было осуществлено блокирование,

были устранены.

13.14.Если субъект, ПДн которого заблокированы, повторно обращается в Компанию, то его повторное

согласие на обработку ПДн влечет разблокирование его ПДн.

13.15.Компания, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или

поручителем по которому является субъект ПДн, иным соглашением между Компанией и субъектом

ПДн, или согласием на обработку ПДн, уничтожает ПДн в следующих случаях:

• по достижении цели обработки ПДн или в случае утраты необходимости в достижении этих

целей, либо если Компания не вправе осуществлять обработку ПДн без согласия субъекта ПДн

на основаниях, предусмотренных законодательством РФ;

• если субъектом ПДн отозвано согласие на обработку его ПДн и в случае, если сохранение ПДн

более не требуется для целей обработки ПДн, и запрос субъекта на отзыв согласия не

противоречит требованиям законодательства РФ;

• если ПДн являются незаконно полученными или не являются необходимыми для заявленной

цели обработки;

• если выявлена неправомерная обработка ПДн, осуществляемая Компанией или Контрагентом, и

обеспечить правомерность обработки ПДн невозможно;

• если получено соответствующее предписание Роскомнадзора;

• если печатный документ, содержащий ПДн, был составлен неправильно или содержит

неточные персональные данные;

• если были подготовлены лишние копии документа с ПДн (распечатаны, скопированы или иным

образом размножены), и они больше не требуются в целях обработки;

• если для выполнения бизнес-процесса были созданы временные документы с ПДн, которые

после завершения данного бизнес-процесса не имеют целей обработки;

• если срок хранения ПДн истек и отсутствуют основания для дальнейшей обработки;

• если электронный носитель информации с ПДн должен быть повторно использован или отдан

на восстановление или уничтожен.

13.16.Анализ документов, содержащих ПДн, которые подлежат периодическому уничтожению, должен

осуществляться не реже чем по окончанию каждого календарного года. Организацию определения

бумажных носителей ПДн, подлежащих уничтожению, и само уничтожение бумажных носителей

ПДн в структурных подразделениях Компании, работники которых имеют доступ к ПДн,

обеспечивают их непосредственные руководители (в случае отсутствия непосредственного

руководителя – самостоятельно).

13.17.Уничтожение носителей ПДн (бумажных и машинных) должно подтверждаться актом об

уничтожении ПДн.

13.18.Бумажные носители ПДн, находящиеся на хранении в Компании, должны уничтожаться либо

самостоятельно Работниками Компании, либо передаваться Третьему лицу для их дальнейшего

централизованного уничтожения (утилизации) силами Третьего лица. По окончании уничтожения

Третье лицо предоставляет Компании акт о проведенных работах по уничтожению носителей ПДн

или иной документ по форме Третьего лица.

13.19.По факту физического уничтожения машинного носителя формируется акт об уничтожении ПДн или

вносится соответствующая запись в журнал уничтожения. Акт об уничтожении ПДн должен

содержать следующую информацию:

• наименование и адрес Компании;

• наименование юридического лица и (или) фамилию, имя, отчество (при наличии) физического

лица, адрес лица, осуществляющего обработку ПДн субъектов ПДн по поручению Компании

(если обработка была поручена такому лицу);

• фамилию, имя, отчество субъекта ПДн (при наличии) или иную информацию, относящуюся к

субъекту ПДн, чьи ПДн были уничтожены;

• фамилию, имя, отчество (при наличии), должность лица, уничтожившего ПДн субъекта ПДн, и

подпись такого лица;

• перечень категорий уничтоженных ПДн субъекта;

• наименование уничтоженного материального носителя, содержащего ПДн субъекта, с

указанием количества листов в отношении каждого материального носителя (в случае

обработки ПДн без использования средств автоматизации);

• наименование информационной системы ПДн, из которой были уничтожены ПДн субъекта

ПДн (в случае обработки ПДн с использованием средств автоматизации);

• способ уничтожения ПДн;

• причину уничтожения ПДн;

• дату уничтожения ПДн субъекта ПДн.

13.20.Уничтожение данных с машинного носителя ПДн в случае вывода машинного носителя из

эксплуатации, полном прекращении процессов обработки на нем ПДн должно осуществляться с

использованием средств гарантированного уничтожения (специализированного программного

обеспечения), согласованного с Ответственным за обеспечение безопасности ПДн.

13.21.При невозможности осуществить гарантированное уничтожение информации с машинного носителя

должно быть осуществлено уничтожение самого машинного носителя ПДн.

13.22.Компания вправе заключать договоры с Третьими лицами на оказание услуг по уничтожению

носителей ПДн (бумажных и машинных) с соблюдением требований ФЗ «О персональных данных»

по обеспечению конфиденциальности уничтожаемых ПДн. При этом в договоре должны быть

определены порядок уничтожения ПДн, порядок взаимодействия Третьего лица с Компанией в части

обработки запросов на уничтожение и предоставление отчетной документации по уничтожению

носителей ПДн (актов об уничтожении).

13.23.Компания вправе проводить обезличивание ПДн, то есть совершать действия с ПДн, в результате

которых становится невозможным без использования дополнительной информации определить

принадлежность ПДн конкретному субъекту. Обезличивание ПДн проводится в Компании в

предусмотренных законом случаях, либо при принятии внутреннего корпоративного решения на

основании локальных нормативных документов Компании.

13.24.Конкретный перечень методов обезличивания, используемых Компанией, а также механизм

обезличивания, фиксации результатов обезличивания ПДн и порядка их передачи (предоставления

доступа) регулируется Положением об обезличивании персональных данных ООО «Финтех-Маркет».

13.25.В случаях, установленных законодательством РФ (в частности, Федеральном законом от 22.10.2004

№ 125-ФЗ «Об архивном деле в Российской Федерации», а также принятым в соответствии с ним

Перечнем типовых управленческих архивных документов, образующихся в процессе деятельности

государственных органов, органов местного самоуправления и организаций, с указанием сроков их

хранения, утвержденным Приказом Росархива от 20.12.2019 № 236), прекращение обработки ПДн

может быть осуществлено путем передачи документа или иного материального носителя ПДн на

архивное хранение.

13.26.Архивация может быть организована следующими способами:

• путем создания в Компании архива в виде специализированного помещения для хранения

носителей ПДн или защищенного электронного пространства для хранения файлов, содержащих

ПДн, либо

• путем передачи носителей ПДн на архивное хранение Третьим лицам, оказывающим Компании

соответствующие услуги с соблюдением требований законодательства РФ об архивном деле.

13.27.При передаче носителя ПДн на архивное хранение составляется соответствующий акт, в котором

указываются:

• наименование носителей или категорий носителей, передаваемых на архивное хранение;

• срок архивного хранения носителей;

• при необходимости, наименование третьего лица, которому передаются носители на архивное

хранение.

13.28.Согласно п. 2 ч. 2 ст. 1 ФЗ «О персональных данных», действие указанного закона не

распространяется на случаи, если обработка ПДн осуществляется для организации хранения,

комплектования, учета и использования содержащих ПДн архивных документов в соответствии с

законодательством РФ об архивном деле. Ввиду этого, требования ФЗ «О персональных данных» и

настоящей Политики не распространяются на фактическую организацию архивного хранения

носителей ПДн.

14. ПОРЯДОК ПОДАЧИ ОБРАЩЕНИЙ И ЗАПРОСОВ СУБЪЕКТАМИ ПДн

14.1. Субъекты ПДн или их представители могут направлять Компании следующие обращения и запросы,

в том числе:

заявление на получение информации об обработке ПДн, включая:

• подтверждение факта обработки ПДн Компанией;

• правовые основания и цели обработки ПДн;

• цели и применяемые Компанией способы обработки ПДн;

• наименование и место нахождения Компании, сведения о лицах (за исключением работников

Компании), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании

договора с Компанией или на основании федерального закона;

• обрабатываемые ПДн, относящиеся к соответствующему субъекту ПДн, источник их получения,

если иной порядок представления таких данных не предусмотрен федеральным законом;

• сроки обработки ПДн, в том числе сроки их хранения;

• порядок осуществления субъектом ПДн прав;

• информация об осуществленной или о предполагаемой трансграничной передаче данных;

• наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку ПДн по

поручению Компании, если обработка поручена или будет поручена такому лицу;

• информацию о способах исполнения Компанией обязанностей, установленных законодательством

РФ для операторов ПДн.

заявление на уточнение неполных, неточных или неактуальных ПДн;

заявление о прекращении обработки ПДн;

заявление о прекращении обработки ПДн в целях продвижения товаров и услуг;

заявление на отзыв согласия на обработку ПДн;

претензия в связи с незаконно полученными или избыточными по отношению к заявленной цели

обработки ПДн или неправомерной обработкой ПДн.

14.2. Обращения и запросы от субъектов ПДн могут поступать в Компанию по общему правилу:

• путем обращения субъекта ПДн (его представителя) в Компанию посредством почтовой связи по

адресу

квалифицированной электронной подписи;

• путем направления по электронной

местонахождения

Компании,

электронной

связи

с

использованием усиленной

почте скан-копий подписанных субъектом ПДн

заявлений/обращений без использования электронной подписи;

• при личном посещении офиса Компании субъектом ПДн или его представителем.

Конкретный способ отзыва согласия на обработку персональных данных указывается в самом тексте

согласия.

14.3. В случае получения скан-копий подписанных субъектом ПДн заявлений/обращений по электронной

почте без использования усиленной электронной подписи Компания вправе потребовать

предоставления субъектом ПДн оригинала заявления/обращения или использования усиленной

электронной подписи, и не рассматривать заявление/обращение до момента его получения в

указанной форме.

14.4. Согласие на обработку ПДн в целях продвижения товаров, работ и услуг (Согласие на рекламные

коммуникации), помимо способов отзыва, указанных в самом согласии, может быть отозвано

посредством функционала Сайта / иного сервиса Компании, на котором оно было предоставлено

субъектом ПДн (в случае, если Сайт/ сервис имеют соответствующие автоматизированные функции

по отзыву согласия).

14.5. При обращении или запросе субъект ПДн или его представитель обязаны предоставить следующую

информацию:

• фамилию, имя, отчество субъекта ПДн или его представителя;

• доверенность или её надлежащим образом заверенную копию либо иной документ,

подтверждающий полномочия представителя согласно требованиям законодательства РФ;

• сведения, подтверждающие участие субъекта ПДн в отношениях с Компанией либо иным образом

подтверждающие факт обработки ПДн (например, номер телефона, адрес электронной почты и

(или) иные сведения);

• реквизиты документа, удостоверяющего личность субъекта ПДн или его представителя;

• суть обращения/запроса.

14.6. В случае необходимости, Компания может запросить дополнительную информацию у субъекта ПДн

(или его представителя).

14.7. Все поступившие на адрес регистрации Компании запросы и обращения субъектов ПДн на бумажных

носителях регистрируются работником Компании, который его получил, с присвоением входящего

номера в день их поступления.

14.8. Сведения предоставляются субъекту ПДн или его представителю в доступной форме и достаточном

содержании. Ответы на обращения и запросы не должны содержать ПДн иных субъектов, а также

иной избыточной информации. По общему правилу, ответ субъекту ПДн направляется тем же

способом и средством связи, которым было получено соответствующее обращение или запрос.

14.9. В случае отзыва субъектом ПДн согласия на обработку его ПДн, Компания уничтожает ПДн или

обеспечивает их уничтожение в течение не более чем 30 (тридцати) дней с момента поступления

отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или

поручителем по которому является субъект ПДн, иным соглашением между Компанией и субъектом

ПДн, либо если Компания не вправе осуществлять обработку ПДн без согласия субъекта ПДн на

иных правовых основаниях.

14.10.В случае обращения субъекта ПДн к Компании с заявлением о прекращении обработки ПДн

Компания обязана уничтожить или обеспечить уничтожение ПДн в течение 10 (десяти) рабочих дней

с момента поступления такого заявления (если Компания не имеет иных правовых оснований

обработки ПДн). Этот срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае

направления Компанией в адрес субъекта ПДн мотивированного уведомления с указанием причин

продления срока уничтожения ПДн.

14.11.В случае обращения субъекта ПДн к Компании с заявлением на получение информации об обработке

ПДн Компания обязана предоставить эту информацию в течение 10 (десяти) рабочих дней с момента

поступления такого заявления (если Компания не имеет иных правовых оснований обработки ПДн).

Этот срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления

Компанией в адрес субъекта ПДн мотивированного уведомления с указанием причин продления

срока предоставления запрашиваемых сведений.

14.12.Ответственность за обработку обращений и запросов субъектов ПДн, а также за соблюдение

установленных сроков предоставления ответов возложена на Ответственного за организацию

обработки ПДн.

14.13.В случае если обработка ПДн, в отношении которых поступил запрос или обращение,

осуществляется Контрагентом по поручению Компании, Компания уведомляет Контрагента о

необходимости выполнения действий с ПДн таким Контрагентом.

15.

ВЗАИМОДЕЙСТВИЕ С ОРГАНАМИ

ГОСУДАРСТВЕННОЙ ВЛАСТИ И ИНЫМИ

ТРЕТЬИМИ ЛИЦАМИ

15.1. Взаимодействие с Роскомнадзором, органами государственной власти и иными третьими лицами

осуществляется в соответствии с законодательством РФ.

15.2. В целях исполнения требований законодательства РФ Компания уведомила Роскомнадзор о своем

намерении осуществлять обработку ПДн, направив соответствующие уведомление (далее -

«Уведомление»), по форме, предусмотренной действующим законодательством РФ.

15.3. В случае изменения сведений, указанных в Уведомлении, Компания уведомляет об этом

Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие

изменения.

15.4. В случае прекращения всех Процессов обработки ПДн в Компании (например, в связи с ее

ликвидацией или реорганизацией) Компания уведомляет Роскомнадзор не позднее 10 (десяти)

рабочих дней с даты прекращения обработки персональных данных, если иной срок не установлен

законодательством РФ.

15.5. Роскомнадзор, а также в установленных законодательством случаях ФСТЭК России, могут

направлять Компании мотивированные запросы о предоставлении информации, касающейся

обработки и обеспечения безопасности ПДн, а также проводить проверочные мероприятия.

15.6. Ответственность за организацию взаимодействия с регулирующими органами по вопросам обработки

и обеспечения защиты ПДн, в том числе при получении запросов Роскомнадзора и при подаче

Уведомлений в Роскомнадзор об обработке ПДн, проведении профилактических мероприятий по

предотвращению нарушений обработки ПДн, плановых и внеплановых проверок и иных

контрольных (надзорных) мероприятий, а также за координацию сотрудников при проведении таких

мероприятий возлагается на Ответственного за организацию обработки ПДн.

15.7. Ответственность за подготовку ответов, координацию получения необходимой информации для

подготовки, а также соблюдение сроков возлагается на Ответственного за организацию обработки

ПДн.

15.8. Регистрация поступивших запросов, а также ответов на них осуществляется в соответствии с

правилами документооборота Компании.

15.9. В случае установления в Компании факта неправомерной или случайной передачи (предоставления,

распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, Компания направляет в

Роскомнадзор указанные ниже сведения об инциденте в следующие сроки в соответствии с Порядком

реагирования на инциденты, связанные с нарушениями безопасности персональных данных в ООО

МКК«Форинт».

• в течение 24 часов – сведения о произошедшем инциденте, о предполагаемых причинах,

повлекших нарушение прав субъектов ПДн, и предполагаемом вреде, нанесенном правам

субъектов ПДн, о принятых мерах по устранению последствий соответствующего инцидента, а

также предоставить сведения о лице, уполномоченном Компанией на взаимодействие с

Роскомнадзором, по вопросам, связанным с выявленным инцидентом;

• в течение 72 часов – сведения о результатах внутреннего расследования выявленного инцидента,

которое проводит Компания, а также сведения о лицах, действия которых стали причиной

выявленного инцидента (при наличии).

16. ОТВЕТСТВЕННОСТЬ

16.1. Контроль исполнения требований настоящей Политики осуществляется Ответственным за

организацию обработки ПДн и Ответственным за обеспечение безопасности ПДн, назначенными

приказом Генерального директора Компании.

16.2. Лица, виновные в нарушении норм, регулирующих получение, обработку, хранение и защиту

обрабатываемых в Компании ПДн, несут ответственность, предусмотренную законодательством РФ.

16.3. В случае противоречия между положениями настоящей Политики и фактическими процессами

обработки ПДн Компания руководствуется требованиями законодательства РФ и принципом

минимизации обработки ПДн.

Приложение №1

к Политике обработки персональных данных

ООО МКК «Рубль.ру»

ПРАВИЛА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ, РОДСТВЕННИКОВ

РАБОТНИКОВ И КАНДИДАТОВ

1. ОБРАБАТЫВАЕМЫЕ ПЕРСОНАЛЬНЫЕ ДАННЫЕ

1.1. В Приложении №2 к настоящей Политике и в Перечне ПДн закрепляются группы и состав ПДн, цели

и правовые основания обработки ПДн Работников, их родственников и Кандидатов.

1.2. К документам, содержащим ПДн Работников, создаваемым в процессе трудовых отношений,

относятся:

• трудовой договор, включая дополнительные соглашения к нему;

• должностная инструкция;

• личная карточка Работника;

• приказы в отношении Работника, включая документы, являющиеся основаниями к приказам;

• согласие на обработку персональных данных;

• трудовая книжка;

• листы ознакомлений с локальными нормативными актами и требованиями законодательства;

• заявления и иные внутренние документы (включая служебные и докладные записки) и иные

обращения Работника, совершаемые в процессе трудовой деятельности;

• акты приема-передачи оборудования;

• документы и иные материалы, касающиеся дисциплинарных взысканий и служебных

расследований;

• документы и иные материалы, необходимые для подтверждения выполнения корпоративных

политик и процедур и требований законодательства РФ;

• документы и иные материалы по образованию, обучению Работника, повышению квалификации

и переподготовке, аттестации;

• документы и иные материалы, необходимые для осуществления расчета и выплаты заработанной

платы, предоставления государственных и корпоративных льгот и поощрений (включая

документы и иные материалы, подтверждающие основания их предоставления), формирования

отчислений в различные государственные фонды;

• иные документы, которые могут быть предусмотрены требованиями законодательства РФ и

относятся к трудовой деятельности Работника.

1.3. В Компании допускается обработка ПДн родственников Работников только

в

объемах,

предусмотренных анкетой Работника, а также требованиями страховых компаний (заявление на

выгодоприобретателя). В случае, если в каких-либо процессах Компании потребуется расширенная

информация о родственниках Работника, то необходимо получить согласие на обработку его ПДн,

если отсутствуют иные законные основания для обработки таких ПДн.

1.4. К документам, содержащим ПДн Кандидатов, относятся:

• резюме Кандидата;

• заполняемые в ходе рассмотрения Кандидата анкеты (при необходимости получения Компанией

иных данных, не содержащихся в резюме);

• заполняемые в ходе рассмотрения Кандидата протоколы собеседований (при необходимости);

• документы и иные материалы, необходимые для подтверждения выполнения корпоративных

политик и процедур и требований законодательства РФ;

• согласия на обработку персональных данных;

• иные документы, которые могут быть предусмотрены требованиями законодательства и

относятся к процессу трудоустройства.

2. ПРАВИЛА ОБРАБОТКИ ПДн

2.1. Обработка ПДн осуществляется

с

соблюдением принципов

и

правил, предусмотренных

действующим законодательством РФ. Обработка ПДн осуществляется для осуществления и

выполнения

возложенных законодательством Российской Федерации на Компанию функций, полномочий и

обязанностей, а также с соответствующих согласий Работника/Кандидата на обработку ПДн.

2.2. В случае получения ПДн Кандидата из онлайн-ресурсов по тематике подбора персонала (например,

интернет-сайты, содержащие резюме) отдельное согласие Кандидата на обработку ПДн,

размещенных указанным образом, не требуется, поскольку Компания получает доступ к указанным

ПДн в соответствии с информацией, размещенной на таком онлайн-ресурсе владельцем/модератором

данного ресурсе, о ПДн, разрешенных Кандидатом для распространения, и об условиях и запретах,

установленных Кандидатом в отношении этих ПДн (в соответствии со ст. 10.1 ФЗ «О персональных

данных»).

2.3. В случае получения ПДн Кандидата посредством резюме, направленного Кандидатом Компании по

электронным каналам связи (в частности, через специализированные веб-страницы или ресурсы),

направление указанного резюме считается выражением согласия Кандидата на обработку его ПДн

Компанией, при этом Компания обеспечивает информирование Кандидата об условиях обработки

ПДн, и отдельное согласие Кандидата не требуется. ПДн, полученные способами, указанными в

настоящем пункте, обрабатываются Компанией в целях возможного установления трудовых

отношений с Кандидатами. Срок их обработки равен сроку рассмотрения возможности установления

трудовых отношений и 6 (шести) месяцам после истечения указанного срока.

2.4. В случае необходимости получения Компанией дополнительных ПДн Кандидата, не указанных в

документах Кандидата, полученных указанными выше способами (в частности, для процедур

должной осмотрительности в отношении отдельных категорий должностей), работниками Отдела

подбора персонала должно быть получено согласие Кандидата на обработку ПДн.

2.5. Обработка ПДн Работников осуществляется для осуществления и выполнения возложенных

законодательством РФ на оператора функций, полномочий

и

обязанностей,

а

также

с

соответствующих согласий на обработку ПДн. Такие согласия должны быть получены Работником

Отдела кадрового администрирования в процессе трудоустройства Работников.

2.6. Если ПДн Работника необходимо получить у Третьего лица, то Компания уведомляет Работника об

этом заранее, и от него должно быть получено письменное согласие на получение ПДн у Третьего

лица.

2.7. Для поиска Кандидатов ответственные сотрудники Компании могут разослать открытые вакансии по

Компании и аффилированным компаниям, разместить описание вакансии на официальном веб-сайте

Компании,

специализированных

веб-сайтах,

провести

поиск

по

опубликованным

на

специализированных веб-сайтах резюме либо применить иные способы поиска.

2.8. Компания не вправе получать и обрабатывать персональные данные Работников / Кандидатов,

относящиеся к специальным категориям ПДн, за исключением случаев, установленных настоящей

Политикой. В Компании допускается обработка следующих специальных категорий ПДн в

отношении Работников и Кандидатов с их письменного согласия: данные об инвалидности,

результаты медицинских обследований и психиатрического освидетельствования на предмет

годности к осуществлению трудовых обязанностей (при наличии специальных требований к

занимаемой должности), результаты медицинских обследований в случаях наступления несчастных

случаев

при

исполнении

трудовых

обязанностей,

а

также

причины

и

результаты

санаторно-курортного лечения работников.

2.9. Компания не имеет права получать и обрабатывать ПДн Работника о его членстве в общественных

объединениях или его профсоюзной деятельности, за исключением случаев, предусмотренных

Трудовым кодексом и иными федеральными законами.

2.10. При поступлении на работу Работник заполняет анкету, которая представляет собой перечень

вопросов о ПДн Работника и его родственников. Анкета заполняется Работником самостоятельно,

Работник несет ответственность за достоверность и актуальность информации, указанной в анкете.

Компания проверяет достоверность сведений, сверяя предоставленные Работником данные с

имеющимися у Работника документами, путем запроса сведений о Работнике у Третьих лиц в

порядке, предусмотренном настоящей Политикой. Предоставление Работником подложных

документов или ложных сведений при поступлении на работу может являться основанием для

расторжения трудового договора. Компания вправе инициировать дополнительные проверки

сведений о Кандидате по своему усмотрению с учетом ограничений, установленных действующим

законодательством РФ и настоящей Политикой.

2.11. Данные Кандидата/Работника, размещенные им самостоятельно или его уполномоченным

представителем/посредником на различных способствующих трудоустройству сайтах и в социальных

сетях, признаются полученными из общедоступного источника.

2.12. В случае если Компания будет использовать собственные системы контроля и управления доступом в

помещения, в рамках которых будут обрабатываться сведения, характеризующие физиологические и

биологические особенности Работника и/или Кандидата, на основании которых можно установить

его личность, и которые будут использоваться Компанией с указанной целью (биометрические ПДн),

то регулирование возможности такой обработки осуществляется согласно требованиям настоящей

Политики и действующего законодательства РФ.

2.13. Компания вправе собирать и обрабатывать с помощью средств автоматизации данные о времени,

затраченном Работником на выполнение рабочих задач, о посещении Работником сайтов в сети

Интернет и о работе c конкретными программами, файлами, информационными системами

посредством рабочей станции. Эти данные Компания собирает для контроля выполнения Работником

трудовой функции и своих обязательств перед Компанией, установленных трудовым договором (т.е.

для цели обеспечения соблюдения трудового законодательства), а также с целью предотвращения

утечек конфиденциальной информации (обеспечения информационной безопасности Компании).

3. ХРАНЕНИЕ И УЧЁТ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1.

Хранение ПДн Работников и их родственников, а также хранение и учет согласий Работников на

обработку ПДн, в период работы и после окончания трудовых отношений с Работником

осуществляется

структурным

подразделением

Компании,

отвечающим

за

кадровое

администрирование. Хранение осуществляется в электронном виде и на бумажных носителях, в

закрываемых шкафах, сейфах, обеспечивающих защиту от несанкционированного доступа.

Хранение ПДн Кандидатов осуществляется структурным подразделением Компании, отвечающим за

подбор персонала, в электронном виде и на бумажных носителях, в закрываемых шкафах или сейфах,

обеспечивающих защиту от несанкционированного доступа.

Обработка ПДн Работников в электронном виде может осуществляться Работниками структурных

подразделений Компании, которые имеют доступ к корпоративной учётной системе Компании в

рамках исполнения своих трудовых функций.

Сроки хранения ПДн Работников (в том числе после прекращения трудовых отношений с

Работниками), их родственников и Кандидатов определяются на основании согласий на обработку

ПДн и законодательства РФ, в том числе в рамках кадрового, бухгалтерского и налогового учета. По

истечении данных сроков личные файлы Работников и иные документы, включая согласия

Работников на обработку ПДн на бумажных носителях, передаются на архивное хранение на сроки,

установленные законодательством РФ об архивном деле.

3.2.

3.3.

3.4.

4. УПРАВЛЕНИЕ ДОСТУПОМ К ПЕРСОНАЛЬНЫМ ДАННЫМ

4.1.

К обработке (включая доступ и любую иную операцию) ПДн Работников, их родственников и

Кандидатов допускаются только Работники, которым ПДн необходимы для выполнения конкретных

трудовых функций. К ним относятся, в том числе, следующие должностные лица:

• единоличный исполнительный орган (руководитель) Компании;

• Работники структурных подразделений Компании, отвечающих за кадровое администрирование,

подбор персонала, обучение и иные Работники, осуществляющие ведение кадрового

делопроизводства, подбора, оценки, обучения и другие функции по работе с персоналом;

• Работники бухгалтерии, осуществляющие расчет заработанной платы и взаимодействие с

различными фондами, государственными органами;

• Работники, осуществляющие функции по охране труда, обеспечению пожарной безопасности,

обеспечению жизнедеятельности помещений и пр. в рамках, необходимых для выполнения

обязательных процедур согласно трудовой функции (для записей в журналах инструктажей, в

целях обучения и т.д.);

• Работники, осуществляющие функции по обслуживанию информационно-технологических

систем, систем связи и пр.;

• Работники, осуществляющие функции по обеспечению безопасности компании;

• Работники, обеспечивающие документооборот в компании в рамках, необходимых для

выполнения обязательных процедур согласно трудовой функции;

• руководители структурных подразделений по подчиненности (доступ к ПДн Работников только

своего подразделения, при переводе из одного структурного подразделения в другое доступ к

ПДн Работника может иметь руководитель нового подразделения);

• иные Работники, которым необходим доступ к ПДн для выполнения обязательных процедур

согласно трудовой функции.

4.2.

В целях информационного обеспечения в Компании могут создаваться и использоваться

общедоступные источники ПДн Работников Компании (адресная книга корпоративной почты,

информационные стенды, корпоративные справочники). В этом случае в соответствии с

требованиями п. 1 ст. 8 ФЗ «О персональных данных» в Компании собирается согласие Работников на

включение ПДн в общедоступные источники, в частности следующих ПДн:

• фамилия, имя, отчество (на русском и английском языках);

• число и месяц рождения;

• сведения о месте работы;

• должность, подразделение, срок работы в Компании;

• табельный номер;

• адрес корпоративной электронной почты;

• номер корпоративного мобильного телефона;

• номер стационарного корпоративного телефона, включая внутренний номер;

• фотография;

• грейд,

• иные сведения о Работнике.

4.3. Работник может получить доступ к своим ПДн по письменному заявлению. Не позднее 3 (трех) дней

со дня подачи письменного заявления Работнику должны быть предоставлены копии документов,

связанных с его трудовой деятельностью в Компании, а именно: копии приказа о приеме на работу,

приказов о переводах на другую работу, приказа об увольнении с работы, выписки из трудовой

книжки (за исключением случаев, если в соответствии с Трудовым кодексом РФ, иным федеральным

законом трудовая книжка Работника не ведется), а также сведения об иных ПДн. Дополнительно

Работник является субъектом ПДн, и он может воспользоваться всеми правами, предусмотренными в

настоящей Политике.

4.4. Следующим лицам может предоставляться доступ к ПДн Работников:

• контрольные (надзорные) органы;

• страховые компании, банки, Контрагенты, с которыми заключены договоры на оказание услуг в

интересах Работника или связанные с трудовой деятельность Работника, государственный Фонд

пенсионного и социального страхования РФ, территориальные и федеральные органы занятости

населения, налоговые и иные государственные органы, которые имеют в соответствии с

законодательством право получения от работодателей ПДн Работников;

• участники Компании;

• организации,

привлекаемые

Компанией

к

обработке

ПДн

в

целях

сопровождения

информационных систем, предоставления услуг обучения, перевозок и иных целях;

• контрагенты Компании в целях осуществления трудовых функций Работников, в чьи функции

входит коммуникация с контрагентами;

• другие лица при наличии согласия Работника, если иное не предусмотрено действующим

законодательством РФ.

4.5. Компания передает ПДн Работников в различные органы государственной власти, в государственные

и/или муниципальные информационные системы в предусмотренных законодательством РФ случаях,

а также организациям:

• осуществляющим выплаты заработанной платы;

• осуществляющим страхование Работников;

• оказывающим услуги по организации деловых поездок (в связи с командировками, деловыми

поездками);

• контрагентам и деловым партнерам Компании в пределах необходимости исполнения договоров

с указанными лицами;

• иным лицам, с которыми Компания заключает соответствующие гражданско-правовые договоры.

4.6. При передаче ПДн Работников Компания должна соблюдать следующие требования:

• не сообщать ПДн Работника Третьему лицу без письменного согласия Работника, за

исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью

Работника, а также в случаях, установленных федеральным законом;

• не сообщать ПДн Работника в коммерческих целях без его письменного согласия;

• разрешать доступ к ПДн Работников только специально уполномоченным лицам (другим

Работникам, представителям органов власти и т.д.), при этом указанные лица получают доступ

только к тем ПДн Работника, которые необходимы для выполнения конкретных функций этих

лиц;

• уведомить лиц, получающих ПДн Работника, о том, что эти данные могут быть использованы

лишь в целях, для которых они сообщены. Лица, получающие ПДн Работника, обязаны

соблюдать конфиденциальность и безопасность ПДн.

Приложение № 2 к Политике обработки персональных данных ООО МКК «Рубль.ру»

Информация о категориях и перечне обрабатываемых персональных данных, категориях субъектов, персональные данные

которых обрабатываются, способах, сроках их обработки и хранения для каждой цели обработки персональных данных в ООО

МКК «Рубль.ру»

№

Цель

Категория информации

Сведения о целях обработки ПДн

п/п

Цели, касающиеся обработки персональных данных Работников Компании, их родственников, Кандидатов

на вакантные должности и Практикантов/Стажеров

1

Обеспечение

соблюдения

трудового

Категории

персональных

данных

Фамилия, имя, отчество; пол, дата (число, месяц, год) и место рождения; гражданство; данные

документа, удостоверяющего личность, в том числе, сведения об адресе регистрации/ временной

регистрации; сведения об образовании (наименование образовательного учреждения, реквизиты

документа об образовании, сведения о квалификации или наличии специальных знаний

(наименование, серия, номер, год окончания), квалификация по документу об образовании,

направление или специальность), сведения о трудовой деятельности (в том числе профессия, стаж

работы, данные о трудовой занятости на текущее время), семейное положение (состояние в браке,

состав семьи, информация о наличии детей и иждивенцев, степень родства (ближайшие

родственники)); адрес места жительства (фактический адрес, дата регистрации по месту

жительства); номера телефона (мобильного и/или домашнего), адреса электронной почты; номер

телефона близкого родственника (для экстренных контактов); данные водительского удостоверения

(серия, номер, сведения о дате выдачи указанного документа и выдавшем его органе, категории);

сведения о воинском учете (категория запаса, воинское звание, состав (профиль), полное кодовое

обозначение ВУС, категория годности к военной службе, информация о военном комиссариате по

месту жительства, информация о постановке и снятии с воинского учета, воинское звание),

сведения о приеме на работу и переводах (дата, структурное подразделение, должность, тарифная

ставка (оклад), надбавка); информация об аттестации и повышении квалификации (дата, вид,

законодательства

Российской

Федерации

направление

или

программа,

наименование

образовательного

учреждения,

реквизиты

подтверждающих документов); сведения о владении иностранными языками, степень владения;

профессиональная характеристика личности; данные разрешения на работу; сведения об участии в

коммерческих и иных организациях; дата и причина увольнения (основание прекращения трудового

договора) с предыдущего

привлечении к

места

работы,

наименование

организации,

информация

о

дисциплинарной ответственности; информация о наградах и почетных званиях, информация об

отпусках, информация о социальных льготах и подтверждающих их документах; данные

свидетельств о регистрации актов гражданского состояния (брак, развод), данные, содержащиеся в

свидетельстве о рождении; информация о смене фамилии и предыдущей фамилии.

Категории субъектов,

персональные данные

которых

Работники Компании;

родственники Работников Компании;

бывшие Работники Компании.

обрабатываются

Правовое основание • Согласие Работника на обработку персональных данных;

обработки

• Трудовой кодекс Российской Федерации, иные федеральные законы и подзаконные акты в сфере

персональных данных

трудового законодательства;

• Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»;

• Обработка ПДн необходима для осуществления и выполнения возложенных законодательством

РФ на Компанию функций, полномочий и обязанностей;

• Необходимость исполнения договора, стороной которого либо выгодоприобретателем или

поручителем, по которому является субъект ПДн.

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), блокирование, удаление,

уничтожение.

Способы обработки

Автоматизированная и неавтоматизированная обработка ПДн.

Сроки обработки • Для Работников: в течение всего срока действия трудового договора с Работником и не более 5

лет после его прекращения, если иное не установлено законодательством РФ. Для других

субъектов ПДн: до достижения цели обработки ПДн в пределах сроков, установленных

законодательством РФ.

Фамилия, имя, отчество; пол, дата и место рождения, гражданство, паспортные данные, в том

числе, сведения об адресе регистрации, сведения об образовании (наименование образовательного

учреждения, реквизиты документа об образовании, о квалификации или наличии специальных

знаний (наименование, серия, номер, год окончания), квалификация по документу об образовании,

направление или специальность), сведения о трудовой деятельности (в том числе профессия, стаж

работы, данные о трудовой занятости на текущее время), семейное положение (состояние в браке,

состав семьи, степень родства (ближайшие родственники)), адрес места жительства (фактический

адрес, дата регистрации по месту жительства), номер телефона, адрес электронной почты, сведения

о воинском учете (категория запаса, воинское звание, состав (профиль), полное кодовое

обозначение ВУС, категория годности к военной службе, информация о военном комиссариате по

месту

2

Ведение кадрового и Категории персональных

бухгалтерского

учета

данных

жительства, информация о постановке и снятии с воинского учета), сведения о приеме на работу и

переводах (дата, структурное подразделение, должность, тарифная ставка (оклад), надбавка),

информация об аттестации и повышении квалификации (дата, вид, направление или программа,

наименование образовательного учреждения, реквизиты подтверждающих документов),

информация о наградах и почетных званиях, информация об отпусках, информация о социальных

льготах и подтверждающих их документах, основание прекращения трудового договора; данные

свидетельств о регистрации актов гражданского состояния (брак, развод), данные, содержащиеся в

свидетельстве о рождении; идентификационный номер налогоплательщика (ИНН), страховой

номер индивидуального лицевого счета (СНИЛС), данные страхового полиса обязательного

медицинского страхования, реквизиты банковского счета, номер расчетного счета, номер лицевого

счета; сведения о временной нетрудоспособности, сведения трудовой книжки, сведения о

прохождении государственной гражданской службы.

Категории субъектов,

персональные данные

которых обрабатываются

Работники Компании;

родственники работников Компании; уволенные Работники Компании;

Контрагенты Компании; представители Контрагентов Компании.

Правовое основание • Согласие Работника на обработку его персональных данных;

• Трудовой кодекс Российской Федерации, иные федеральные законы и подзаконные акты в сфере

трудового законодательства;

• Налоговый кодекс Российской Федерации;

обработки

персональных

данных

• Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»;

• Обработка персональных данных необходима для осуществления и выполнения возложенных

законодательством РФ на Компанию функций, полномочий и обязанностей;

• Необходимость исполнения договора, стороной которого либо выгодоприобретателем или

поручителем, по которому является субъект ПДн.

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование,

удаление, уничтожение.

Способы обработки

Автоматизированная и неавтоматизированная обработка ПДн.

Сроки обработки • Для Работников: в течение всего срока действия трудового договора с Работником и не более 5

лет после его прекращения, если иное не установлено законодательством РФ.

• Для иных субъектов ПДн: до достижения цели обработки ПДн в пределах сроков, установленных

законодательством РФ.

3

Предоставление

работникам льгот,

гарантий,

Категории персональных Фамилия, имя, отчество (при наличии); год рождения; месяц рождения; дата рождения; место

данных

рождения; семейное положение; пол; адрес электронной почты; адрес места жительства; адрес

регистрации; номер телефона; ИНН; СНИЛС; гражданство; данные документа, удостоверяющего

личность; данные документа, содержащиеся в свидетельстве о рождении; должность; сведения о

трудовой деятельности (в том числе стаж работы, данные о трудовой занятости на текущее время с

компенсаций

указанием

наименования

организации);

реквизиты

страхового

медицинского

полиса

дополнительного медицинского страхования; сведения из трудового договора работника и

дополнительных соглашений к трудовому договору; реквизиты свидетельства государственной

регистрации

актов

гражданского

состояния;

сведения,

содержащиеся

в

документах,

подтверждающих право на льготы.

Специальные категории ПДн: сведения о состоянии здоровья Работника.

Категории

персональные

субъектов,

данные

Работники Компании.

которых обрабатываются

Правовое

Согласие Работника на обработку его персональных данных.

основание

обработки

персональных данных

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование,

удаление, уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

В течение всего срока действия трудового договора с Работником и не более 5 лет после его

прекращения, если иное не установлено законодательством РФ.

4

Страхование

Категории персональных Фамилия, имя, отчество; дата и место рождения, адрес места жительства (фактический адрес, дата

данных

регистрации по месту жительства), паспортные данные, в том числе, сведения об адресе

регистрации; номер телефона, страховой номер индивидуального лицевого счета (СНИЛС).

Категории субъектов,

персональные данные

которых обрабатываются

Работники Компании; Клиенты Компании.

Правовое основание

Согласие Работника на обработку его персональных данных;

обработки

• Гражданский кодекс Российской Федерации;

персональных • Федеральный закон от 27.11.1992 № 4015-1 «Об организации страхового дела в Российской

данных

Федерации»;

• Необходимость исполнения договора, стороной которого либо выгодоприобретателем или

поручителем, по которому является субъект персональных данных.

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), блокирование, удаление,

уничтожение.

Способы обработки

Автоматизированная и неавтоматизированная обработка ПДн.

Сроки обработки

В течение всего срока действия трудового договора с Работником и не более 5 лет после его

прекращения, если иное не установлено законодательством РФ.

5

Обучение

Категории персональных

данных

Фамилия, имя, отчество; дата и место рождения, адрес места жительства, паспортные данные, в

том числе, сведения об адресе регистрации; номер телефона, страховой номер индивидуального

лицевого счета.

Категории

персональные

субъектов,

данные

Работники Компании.

которых обрабатываются

Правовое основание • Согласие Работника на обработку его персональных данных;

• Гражданский кодекс Российской Федерации;

• часть 3 статьи 76 Федерального закона от 29.12.2012 № 273-ФЗ "Об образовании в

• Российской Федерации";

обработки персональных

данных

• Постановление Правительства Российской Федерации от 24.12.2021 № 2464 "О порядке

обучения по охране труда и проверки знания требований охраны труда";

• Приказ Минобрнауки России от 25.10.2013 № 1185 «Об утверждении примерной формы

договора об образовании на обучение по дополнительным образовательным программам».

Перечень действий с

персональными данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), блокирование, удаление,

уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

В течение всего срока действия трудового договора с Работником и не более 5 лет после его

прекращения, если иное не установлено законодательством РФ.

6

Предоставление

сведений в банк

для

Категории персональных

данных

Фамилия, имя, отчество; дата и место рождения, пол, гражданство, адрес электронной почты, номер

телефона, адрес места жительства, паспортные данные, в том числе, сведения об адресе

регистрации; данные, содержащиеся в свидетельстве о рождении, должность; реквизиты расчетного

счета; реквизиты лицевого счета; реквизиты банковской (платежной) карты; сведения об

уполномоченном банке; информация о суммах заработной платы, иных перечислений (премий,

компенсаций и т.д.),

перечисления

заработной платы

Работнику

причитающихся Работнику.

Категории субъектов,

персональные

Работники Компании.

данные которых

обрабатываются

Правовое основание

обработки

Согласие Работника на обработку его персональных данных.

персональных данных

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), блокирование, удаление,

уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

В течение всего срока действия трудового договора с Работником и не более 5 лет после его

прекращения, если иное не установлено законодательством РФ.

7

Изготовление

личных визиток

Категории персональных

данных

Фамилия, имя, отчество; номер телефона, адрес электронной почты, место работы, должность.

Категории субъектов,

персональные

Работники Компании.

данные которых

обрабатываются

Правовое основание

обработки

Согласие Работника на обработку его персональных данных.

персональных данных

Перечень действий с Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

персональными данными

извлечение, использование, передача (предоставление, доступ),

уничтожение.

блокирование, удаление,

Способы обработки

Автоматизированная и неавтоматизированная обработка ПДн.

Сроки обработки

В течение всего срока действия трудового договора с Работником и не более 5 лет после его

прекращения, если иное не установлено законодательством РФ.

8

Категории персональных

данных

ПДн Работников: фамилия, имя, отчество; данные документа, удостоверяющего личность; дата

(число, месяц, год) и место рождения; адрес регистрации; адрес проживания; ИНН, СНИЛС; номер

телефона; адрес электронной почты; фотоизображение; видеоизображение; информация об

аккаунтах (учетных записях) в социальных сетях, мессенджерах (включая мессенджер

«ВКонтакте» и др.); сведения трудовой книжки и все места работы с начала трудовой деятельности

(включая военную службу, государственную гражданскую службу, работу по совместительству,

Обеспечение

личной

безопасности

работников и

сохранности

имущества

Оператора,

включая

предпринимательскую

деятельность,

замещение

должности

руководителя

(единоличного

исполнительного органа) организации и т.п.); дата и причина увольнения (основание прекращения

трудового договора), наименование организации, информация о привлечении к дисциплинарной

ответственности; информация об участии в судебных процессах, а также о наличии вступивших в

законную силу судебных актов в отношении Работника; общие сведения о наличии (отсутствии)

судимости и (или) о факте уголовного преследования, либо о факте прекращения уголовного

преследования, о факте привлечения к административной ответственности; сведения о наличии

полученных и выданных финансовых обязательствах, их статусе и наличии задолженностей по

обязательствам (включая данные кредитной истории, если применимо); степень родства

(ближайшие родственники – родители, супруги, дети, братья и сестры, включая бывших супругов,

информация об их местах работы и занимаемых должностях, а также информация о

родственниках, постоянно проживающих за границей и (или) оформляющих документы для

выезда на постоянное место жительства в другое государство (их фамилия, имя, отчество,

контакты, период проживания за границей)).

обеспечение

пропускного

режима в

помещения

компании

Оператора

ПДн остальных категорий субъектов ПДн, чьи данные обрабатываются для этой цели: фамилия,

имя, отчество; данные документа, удостоверяющего личность; номер телефона; фотоизображение;

видеоизображение.

Категории

персональные

субъектов,

данные

Работники Компании; родственники Работников; Кандидаты; Клиенты Компании; Контрагенты

Компании; Представители Контрагентов Компании; иные посетители территории Компании.

которых обрабатываются

Правовое основание

обработки

• Согласие субъекта ПДн на обработку его персональных данных;

• Обработка ПДн необходима для осуществления прав и законных интересов Компании (п. 7 ч.

1 ст. 6 ФЗ «О персональных данных»).

персональных данных

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), блокирование, удаление,

уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

Для Работников: в течение всего срока действия трудового договора с Работником и не более 5 лет

после его прекращения, если иное не установлено законодательством РФ.

Для иных субъектов ПДн: до достижения цели обработки ПДн, но не более 3 (трех) лет.

9

Оформление и

организация

командировок и

служебных поездок

Категории персональных Фамилия, имя, отчество; дата и место рождения, пол, гражданство, паспортные данные, данные

данных

документа, удостоверяющего личность за пределами РФ; информация о визах и/или иных

миграционных документах; номер телефона, должность.

Категории субъектов,

персональные

Работники Компании.

данные которых

обрабатываются

Правовое основание

обработки

Согласие Работника на обработку его персональных данных.

персональных данных

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), блокирование, удаление,

уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

В течение всего срока действия трудового договора с Работником и не более 5 лет после его

прекращения, если иное не установлено законодательством РФ.

10

Подбор персонала Категории персональных

Фамилия, имя, отчество; пол, дата и место рождения, адрес электронной почты, гражданство,

адрес места жительства, номер телефона, паспортные данные, в том числе, сведения об адресе

регистрации, сведения об образовании, квалификации и о наличии специальных знаний или

специальной подготовки, сведения о трудовой деятельности (в том числе стаж работы, данные о

трудовой занятости на текущее время), СНИЛС, ИНН, отношение к воинской обязанности,

сведения о воинском учете, иные сведения, содержащиеся в резюме Кандидата.

(соискателей),

предварительное

обучение

данных

(стажировка) и

принятие решения о

трудоустройстве на

вакантные

Категории

персональные

которых обрабатываются

субъектов,

данные

Кандидаты на вакантные должности в Компании.

должности

Компании

Правовое основание

обработки

•

Согласие субъекта ПДн на обработку его персональных данных;

Необходимость заключения договора по инициативе субъекта ПДн или договора, по

которому субъект персональных данных будет являться выгодоприобретателем или

поручителем.

персональных данных

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), блокирование,

удаление, уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

5 лет с момента предоставления согласия на обработку ПДн.

11

Обеспечение

прохождения

Категории персональных

данных

Фамилия, имя, отчество; сведения об образовании, номер телефона, адрес электронной почты.

ознакомительной,

производственной

или преддипломной

практики и/или

стажировки на

основании договора

с учебным

Категории субъектов,

персональные данные

которых

Практиканты / Стажеры.

обрабатываются

Правовое основание • Необходимость исполнения договора, стороной которого либо выгодоприобретателем или

поручителем по которому является субъект персональных данных.

обработки

заведением или

субъектом ПДн

персональных данных

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), блокирование,

удаление, уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

В течение всего срока прохождения практики/стажировки. В случае окончания практики/стажировки

– не более срока действия договора о практической подготовке/ стажировке с соответствующим

учебным заведением.

№

Цель

Категория информации

Сведения о целях обработки ПДн

п/п

Цели, связанные с обработкой персональных данных на Сайте https://rubl.ru/

12 Сбор статистики по Категории персональных

Информация об IP-адресе и интернет-провайдере Посетителя Сайта, файлы cookies, геолокация,

язык браузера, внешний источник перехода на Сайт Компании, сведения об устройстве Посетителя

(сведения об операционной системе, модели устройства, браузере и его настройках, системных

данных устройства), сведения о сессии как Посетителя сайта, в том числе, о дате, времени сессии,

количестве просмотров веб-страниц Сайта.

данных

посетителям Сайта

для улучшения

качества работы,

содержания Сайта,

проведение

ретаргетинга,

проведение

статистических и

аналитических

исследований

Категории субъектов,

персональные данные

которых обрабатываются

Посетители Сайта Компании.

Правовое основание

обработки

Согласие Посетителя сайта на использование файлов cookie.

персональных данных

Перечень действий с

персональными данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование,

удаление, уничтожение.

Способы обработки

Автоматизированная обработка ПДн.

Сроки обработки

Категории персональных

данных

До достижения цели обработки ПДн, но не более 5 лет.

13

Регистрация и

использование

Фамилия, имя, отчество; номер телефона.

личного кабинета

на Сайте (в том

числе авторизация

и аутентификация

для входа в

Категории субъектов,

персональные данные

которых

Зарегистрированные пользователи Сайта Компании.

обрабатываются

Правовое основание

обработки персональных

данных

личный кабинет)

Согласие субъекта ПДн на обработку персональных данных.

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), обезличивание,

блокирование, удаление, уничтожение.

Перечень действий с

персональными

данными

Способы обработки

Сроки обработки

Автоматизированная обработка ПДн.

До достижения цели обработки, но не более 5 лет с момента регистрации на Сайте.

14

Верификация

субъекта ПДн как

клиента/

потенциального

клиента Компании

и/или Партнеров,

обработка его ПДн с

использованием

оценочных

(скоринговых)

методик для оценки

возможности

заключения договора

с субъектом ПДн

Партнерами

Категории персональных

данных

Фамилия, имя, отчество; пол; фотоизображение; адрес электронной почты; номер телефона; дата и

место рождения; реквизиты документа, удостоверяющего личность (например, паспортные данные);

идентификационный номер налогоплательщика (ИНН); сведения об образовании; место проживания

(официальной регистрации), включая регион проживания; основание проживания (наём или

нахождение жилого помещения в собственности); семейное положение, количество детей и

иждивенцев; страховой номер индивидуального лицевого счета (СНИЛС); сведения о месте работы,

наименование работодателя, адрес места работы, профессия и должность, даты зарплаты, трудовой

стаж на последнем месте работы, сведения о среднем размере месячных доходов и расходов,

социальное, имущественное положение; время проживания по текущему адресу; номера мобильного

и стационарного телефонов; сведения о наличии задолженности, в т. ч. по займам, по оплате

коммунальных платежей, оплате за аренду и по прочим платежам; реквизиты банковского счета,

используемого для осуществления платежей на Сайте; индивидуальные идентификаторы (ID) и иная

информация, идентифицирующая персональные страницы

в

социальных сетях

и

иных

коммуникационных сервисах; сведения об участии в судебных спорах; технические характеристики

устройства, с которого осуществлен вход на Сайт; идентификатор устройства и IP-адрес.

Категории субъектов,

персональные данные

которых

Компании, поддержка

Сайта и

Клиенты Компании, Зарегистрированные пользователи Сайта Компании.

программного

обеспечения,

необходимого для

такой обработки

ПДн.

обрабатываются

Правовое основание

обработки персональных

•

Согласие субъекта ПДн на обработку персональных данных;

Федеральный закон от 30.12.2004 № 218-ФЗ "О кредитных историях".

данных

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), обезличивание,

блокирование, удаление, уничтожение.

Способы обработки

Автоматизированная и неавтоматизированная обработка ПДн.

Сроки обработки

5 лет с момента предоставления согласия на обработку ПДн.

15

Получение

кредитного отчета

субъекта ПДн,

сформированного

на основании его

кредитной истории

из бюро кредитных

историй

Категории

персональных данных

Фамилия, имя, отчество, дата и место рождения, адрес регистрации, адрес проживания, ИНН,

СНИЛС, телефон, паспортные данные (номер и серия паспорта, дата выдачи паспорта, наименование

органа, выдавшего паспорт, код подразделения), вся информация из кредитного отчета, получаемая

Компанией из бюро кредитных историй.

Категории субъектов,

персональные данные

которых

Зарегистрированные пользователи Сайта https://rubl.ru/, направившие посредством Сайта

Анкету-заявление на предоставление займа Партнерами Компании.

обрабатываются

Правовое основание

обработки персональных

данных

•

Согласие субъекта ПДн на обработку персональных данных;

Согласие на получение информации из бюро кредитных историй;

Федеральный закон от 30.12.2004 № 218-ФЗ "О кредитных историях".

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), обезличивание,

блокирование, удаление, уничтожение.

Способы обработки

Автоматизированная и неавтоматизированная обработка ПДн.

Сроки обработки

5 лет с момента предоставления согласия на обработку ПДн, если иной срок не установлен

законодательством РФ.

Иные цели обработки персональных данных Компанией

Обеспечение

информационной

безопасности в

Компании

Категории персональных

данных

Иные:

19

Фамилия, имя, отчество (при наличии); год рождения; месяц рождения; дата рождения; место

рождения; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона;

гражданство; информация об IP-адресе и интернет-провайдере, файлы cookies, геолокация,

сведения об устройстве, в том числе рабочем/корпоративном (сведения об операционной системе,

модели устройства, браузере и его настройках, системных данных устройства), сведения о сессии в

том числе, о дате, времени сессии, количестве просмотров веб-страниц (в том числе на

рабочем/корпоративном устройстве);

Категории

персональные

данные

субъектов,

которых

Работники Компании;

Клиенты Компании;

Зарегистрированные пользователи Сайтов Компании.

обрабатываются

Правовое основание

обработки

Обработка ПДн необходима для осуществления прав и законных интересов Компании (п. 7 ч.1 ст. 6

ФЗ «О персональных данных»)

персональных данных

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование,

удаление, уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

Для Работников: в течение всего срока действия трудового договора с Работником и не более 5 лет

после его прекращения, если иное не установлено законодательством РФ.

Для Клиентов, Зарегистрированных пользователей Сайтов Компании: до достижения целей

обработки ПДн Компанией в период всего взаимодействия субъекта ПДн с Компанией и не более 5

лет после прекращения такого взаимодействия.

20

Отправка и

получение

корреспонденции

Фамилия, имя, отчество; место фактического проживания; сведения о наименовании работодателя,

адресе места работы, занимаемой должности, номера контактных телефонов; адреса электронной

почты.

Категории персональных

данных

Клиенты Компании;

Контрагенты Компании, уполномоченные представители Контрагентов;

Работники Компании;

Категории субъектов,

персональные данные

которых

иные Третьи лица, направляющие корреспонденцию в адрес Компании или которым

Компания направляет корреспонденцию.

обрабатываются

Правовое основание

обработки персональных

данных

Обработка ПДн необходима для осуществления прав и законных интересов Компании (п. 7 ч.1 ст. 6

ФЗ «О персональных данных»)

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), блокирование,

удаление, уничтожение.

Перечень действий с

персональными

данными

Автоматизированная и неавтоматизированная обработка ПДн.

Способы обработки

До достижения цели обработки ПДн, но не более 3 лет с момента отправки/ получения

корреспонденции (общий срок исковой давности по ст. 196 ГК РФ)

Сроки обработки

21

Исполнение

судебного акта

Категории персональных

данных

Фамилия, имя, отчество, год рождения, месяц рождения, дата рождения, адрес электронной почты,

адрес места жительства, адрес регистрации, номер телефона, СНИЛС, ИНН, гражданство, данные

документа, удостоверяющего личность.

Категории субъектов,

персональные данные

которых

Работники Компании.

обрабатываются

Правовое основание • Обработка ПДн необходима для осуществления и выполнения возложенных законодательством

РФ на Компанию функций, полномочий и обязанностей.

обработки персональных

данных

• Обработка ПДн необходима для исполнения судебного акта, акта другого органа или

должностного лица, подлежащих исполнению в соответствии с законодательством РФ об

исполнительном производстве.

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), блокирование,

удаление, уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

До достижения цели обработки ПДн в пределах сроков, установленных законодательством РФ.

22

Участие Компании в Категории персональных

Фамилия, имя, отчество, год рождения, месяц рождения, дата рождения, адрес регистрации, номер

телефона, СНИЛС, ИНН, данные документа, удостоверяющего личность.

данных

конституционном,

гражданском,

административном,

уголовном

судопроизводстве,

судопроизводстве в

арбитражных судах

Категории субъектов,

персональные данные

которых

Контрагенты Компании, уполномоченные представители Контрагентов,

субъекты ПДн, являющиеся выгодоприобретателями по заключенным с Компанией договорам.

обрабатываются

Правовое основание

обработки персональных

данных

Обработка ПДн осуществляется в связи с участием Компании в конституционном, гражданском,

административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах (п. 3 ч. 1

ст. 6 ФЗ «О персональных данных»).

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), блокирование,

удаление, уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

До достижения цели обработки ПДн в пределах сроков, установленных законодательством РФ.

Категории

Фамилия, имя, отчество; дата и место рождения, паспортные данные, номер телефона, адрес

электронной почты, место работы, должность.

23

Содействие в

проведении

персональных данных

контроля (надзора)

за деятельностью

Категории субъектов,

персональные данные

которых

Контрагенты Компании, уполномоченные представители Контрагентов; Сотрудники

органов, осуществляющих государственный контроль (надзор) за деятельностью

Компанией.

Компании

обрабатываются

Правовое основание

обработки

Обработка ПДн необходима для осуществления прав и законных интересов Компании (п. 7 ч.1 ст. 6

ФЗ «О персональных данных»);

Обработка ПДн необходима для достижения целей, предусмотренных законом, для осуществления и

выполнения возложенных законодательством РФ на Компанию функций, полномочий и

обязанностей.

персональных данных

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), блокирование,

удаление, уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

До момента достижения цели обработки ПДн.

24

Заключение,

исполнение и

прекращение

договоров

(соглашений/

контрактов)

Категории персональных

данных

Фамилия, имя, отчество; пол, дата и место рождения, гражданство, паспортные данные, в том

числе, сведения об адресе регистрации; адрес места жительства, адрес электронной почты, номер

телефона,

идентификационный

номер

налогоплательщика

(ИНН),

страховой

номер

индивидуального лицевого счета (СНИЛС), реквизиты банковского счета, номер расчетного счета,

номер лицевого счета, должность.

Категории субъектов,

персональные данные

которых обрабатываются

Контрагенты Компании, уполномоченные представители Контрагентов;

Работники Компании;

субъекты ПДн, являющиеся выгодоприобретателями по заключенным с Компанией договорам.

Правовое основание • Договор, стороной которого либо выгодоприобретателем или поручителем по которому

является субъект персональных данных;

• Обработка ПДн необходима для осуществления прав и законных интересов Компании (п. 7 ч.1 ст.

6 ФЗ «О персональных данных»).

обработки персональных

данных

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), блокирование,

удаление, уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

До прекращения договора и, в последующем, в течение сроков хранения, предусмотренных

законодательством РФ об архивном хранении.

25

Продвижение

продуктов, сервисов

и услуг Компании

и/или ее Партнеров

(в том числе путем

направления

Категории персональных

данных

Фамилия, имя, отчество, номер телефона, адрес электронной почты, информация о заключении

договора займа с Партнером Компании (если применимо), индивидуальные технические

идентификаторы (ID), идентификатор устройства, файлы cookies.

Категории

персональные

данные

субъектов,

которых

Зарегистрированные Пользователи Сайта Компании; Клиенты Компании;

Потенциальные клиенты Компании; Клиенты Партнеров Компании.

предложений о и

услугах)

обрабатываются

Правовое основание

обработки

Согласие на обработку его персональных данных для цели рекламных коммуникаций.

персональных данных

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование,

удаление, уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

5 лет с момента предоставления Согласия на обработку персональных данных для цели рекламных

коммуникаций.

Поддержка

Клиентов Компании

и контроль качества

обслуживания

(включая обработку

обращений и

26

Категории персональных

данных

Фамилия, имя, отчество; пол; сведения об адресе регистрации; место фактического проживания;

номера контактных телефонов; адреса электронной почты; идентификаторы (ID), и иная

информация, идентифицирующая персональные страницы на Cайтах Компании, в социальных

сетях и/или мессенджерах.

Категории

персональные

данные

субъектов,

Клиенты Компании; Потенциальные клиенты Компании;

Посетители Сайтов Компании.

претензий)

которых обрабатываются

Правовое основание

обработки персональных

данных

Согласие субъекта на обработку его персональных данных.

Перечень действий с

персональными

данными

Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение),

извлечение, использование, передача (предоставление, доступ), обезличивание,

блокирование, удаление, уничтожение.

Способы обработки

Сроки обработки

Автоматизированная и неавтоматизированная обработка ПДн.

• До достижения цели обработки ПДн, с момента получения обращения/ претензии (общий срок

исковой давности по ст. 196 ГК РФ);

• 5 лет с момента предоставления согласия на обработку ПДн, если было предоставлено

соответствующее согласие.

27

Предоставление

функционала

AI-помощника в

мобильном

приложении

«Рубль.ру» (анализ

расходов,

планирование

бюджета,

формирование

рекомендаций и

статистики)

Категории

персональных данных:

История платежей; данные, вводимые пользователем для планирования бюджета.

Зарегистрированные

пользователи / Клиенты

Компании

Пользователи мобильного приложения.

Анализ обезличенных данных.

Перечень действий

Способы обработки

Сроки обработки

Автоматизированная обработка с использованием алгоритмов искусственного интеллекта.

До достижения цели обработки (прекращения использования приложения пользователем).

Приложение № 3 к Политике обработки персональных данных

ООО МКК «Рубль.ру»

Разъяснения субъекту персональных данных юридических последствий отказа предоставить его

персональные данные и (или) дать согласие на их обработку

Компания разъясняет, что в случае отказа субъекта ПДн предоставить свои персональные данные и/или

дать согласие на их обработку Компания не сможет на законных правовых основаниях осуществлять

обработку ПДн субъекта для некоторых целей, что приведет к указанным ниже последствиям для субъекта

ПДн, включая юридически значимые последствия.

Согласие(я) на обработку персональных данных работников Компании

В случае отказа от предоставления «Согласия(ий) на обработку персональных данных» Работника

Компании: невозможность предоставления Работнику льгот, гарантий, компенсаций, проведения

обучения, страхования, включая добровольное медицинское страхование, а также невозможность в

оказании содействия Работнику при оформлении командировок и служебных поездок, изготовлении

личных визиток, оформления пропусков для доступа на территорию (в помещения) Компании.

Согласия на обработку персональных данных Посетителей Сайта https://rubl.ru/

В случае отказа от предоставления «Согласия на обработку персональных данных» (при регистрации

на Сайте https://rubl.ru/, и направлении Анкеты-заявления посредством Сайта):

•

невозможность зарегистрировать личный кабинет на Сайте https://rubl.ru/, и, как следствие,

невозможность воспользоваться услугами Компании, получение которых доступно через личный

кабинет Сайта (в частности, Компания не сможет принять Анкету-заявление на получение займа с

оценкой потенциальной платежеспособности субъекта ПДн и иных факторов, влияющих на

возможность заключения соответствующих договоров займа Партнерами Компании);

•

невозможность воспользоваться дополнительными услугами Компании, а также иметь в

дальнейшем доступ в личный кабинет, где содержится информации о заключенных с Партнерами

Компании договорах займа, приобретенных у Компании услугах.

В случае отказа от предоставления «Согласия на получение информации из бюро кредитных

историй» (при направлении на Сайте https://rubl.ru/, Анкеты-заявления на выдачу займа): Компания

будет не вправе передавать ПДн субъекта в бюро кредитных историй, вследствие чего не сможет получить

кредитный отчет субъекта ПДн и предоставить доступ к отчету иным пользователям кредитной истории

субъекта ПДн – Партнерам Компании. В результаты Компания и ее Партнеры не смогут провести оценку

платежеспособности субъекта ПДн, влияющую на возможность заключения соответствующих договоров

займа Партнерами Компании.

В случае отказа от предоставления «Согласия на рекламные коммуникации»: невозможность получать

уведомления о предложениях, акциях и специальных программах Компании и/или Партнеров Компании,

выгодных для Вас.

В случае отказа от предоставления «Согласия на обработку персональных данных» (при отправке

обращения/жалобы уполномоченному по правам заемщиков): отсутствие возможности у Компании

принять обращение/жалобу лица и предоставить корректный ответ/обратную связь по такому обращению.

Согласия на обработку персональных данных Посетителей Сайта https://rubl.ru/

В случае отказа от предоставления «Согласия на обработку персональных данных» (при регистрации

на Сайте https://rubl.ru/) невозможность зарегистрировать личный кабинет на Сайте https://rubl.ru/ и, как

следствие, невозможность получения доступа к функционалу.

Приложение № 4 к Политике обработки персональных данных

ООО МКК «Рубль.ру»

Перечень контрагентов Компании, которым Компания вправе передавать и/или поручать

обработку персональных данных

Цель передачи / поручения обработки ПДн

Наименование Контрагента

Контрагенты, которым могут передаваться ПДн работников Компании

Предоставление работникам льгот,

компенсаций.

гарантий, Страховое акционерное общество «ВСК» (ИНН:

7710026574; ОГРН: 1027700186062, адрес: 21552, г.

Москва, вн.тер. г. муниципальный округ Крылатское,

ул. Островная, д. 4).

Контрагенты, которым могут передаваться ПДн Клиентов Компании и Зарегистрированных

пользователей Сайта https://rubl.ru/,

Верификация субъекта ПДн на Сайте как

клиента либо потенциального клиента Компании

и/или Партнеров, рассмотрение Партнерами

Компании возможности заключения договора

займа с субъектом ПДн, а также обработка его

Партнеры Оператора:

●

Общество с ограниченной ответственностью

Микрокредитная компания «Лорд» (ООО МКК

«Лорд», ИНН: 9714049544, ОГРН:

1247700365505,

регистрационный

номер

ПДн

с

использованием

оценочных

записи в государственном реестре МФО Банка

России: №2403045010071 от 10.07.2024; адрес:

129301, г. Москва, вн.тер.г. муниципальный

округ Алексеевский, ул. Бориса Галушкина, д.

17, помещ. 17/1);

(скоринговых) методик для оценки возможности

заключения такого договора, формирование

данных об обращении за займом и кредитной

истории заемщика

Партнёрами

Оператора, инфраструктурная

и техническая поддержка Компанией Сайта и

программного обеспечения, необходимого для

обработки ПДн субъекта.

●

Общество с ограниченной ответственностью

Микрокредитная компания «Русзаймсервис»

(ООО

МКК

«Русзаймсервис»

ОГРН: 1197746729806,

номер записи

ИНН:

9717088848,

регистрационный

в

государственном реестре МФО Банка России:

№ 2003045009509 от 31.01.2020 г.,

адрес:

муниципальный

Бехтерева, д. 31 к. 3, помещ. 4п);

115516,

г.

Москва,

вн.

тер.

г.

ул.

округ

Царицыно,

●

Общество с ограниченной ответственностью

Микрокредитная компания «Фрида» (ООО

МКК «Фрида», ИНН: 9722096146, ОГРН:

1257700161718,

регистрационный

номер

записи в государственном реестре МФО Банка

России: № 2503045010166 от 19.06.2025 г.,

адрес:

муниципальный

125047,

г.

Москва,

Тверской,

вн.тер.г.

ул 4-я

округ

Тверская-Ямская, д. 2/11 стр. 2, помещ. 2/п);

●

Общество с ограниченной ответственностью

Микрокредитная компания «Випзайм» (ООО

МКК «Випзайм», ИНН: 9722062404, ОГРН:

1237700832302;

записи

микрофинансовых

регистрационный

государственном

организаций

номер

реестре

№

в

2403045010029 от 05.03.2024 г.; адрес места

нахождения: 127106, г. Москва, вн.тер.г.

муниципальный округ Отрадное,

Алтуфьевское, д. 27);

ш

●

иные Партнеры Оператора, чьи предложения

размещены на Сайте.

Компании,

сервисы

регистрации

предоставляющие технологические

информационные услуги для

на Сайте верификации

и

пользователей:

●

АО «Т-Банк» (ИНН: 7710140679; адрес:

127287, г Москва, ул Хуторская 2-я, д 38А стр

26).

Операторы сотовой связи (включая, но не

ограничиваясь):

●

ПАО

«Вымпел-коммуникации»

(ИНН:

7713076301, адрес: 127083, г. Москва, ул.

Восьмого Марта, д. 10 стр.14);

ПАО

«Мобильные

Телесистемы»

(ИНН:

7740000076, адрес: 109147, г. Москва, ул.

Марксисткая д. 4);

ПАО «Мегафон» (ИНН: 7812014560, адрес:

115035, г. Москва, набережная Кадашёвская, д.

30);

ООО «Т2 Мобайл» (ИНН: 7743895280, адрес:

125212, г. Москва, шоссе Ленинградское, д.

39А, стр. 1).

Лидогенераторы:

●

ООО «ЛИДГИД» (ИНН: 7802553860, ОГРН:

1157847417540, адрес: 111524, город

Москва, Электродная ул, д. 11);

●

ООО «ДИСКРИТ» (ИНН: 7704475405, ОГРН:

1197746082467, адрес: 119002, город

Москва, Смоленский б-р, д. 24 стр. 2, помещ.

8/3/3);

●

ООО «Юником24» (ИНН: 9705131016, ОГРН:

1197746250272,

адрес:

125167, город

Москва, Ленинградский пр-кт, д. 37, этаж 12

помещ./ ком. 50/12-01).

Сервисы

проверки

кредитоспособности/ благонадежности заемщика:

●

ООО "Скориста" (ИНН: 7703813443; ОГРН:

1147746772821, адрес: 121096, г. Москва,

вн.тер.г. муниципальный округ Филевский парк,

ул. Василисы Кожиной, д. 6, к. 1, кв. 33).

Профессиональные

(если применимо), которые привлекаются

Партнерами Оператора для содействия

взыскании задолженности по заключенным с

коллекторские

организации

во

Партнерами Оператора договорам или которым

уступаются права требования из таких договоров.

Получение кредитного отчета субъекта ПДн,

сформированного на основании его кредитной

истории из Бюро кредитных историй.

Партнеры Оператора:

●

Общество с ограниченной ответственностью

Микрокредитная компания «Форинт» (ООО

МКК «Лорд», ИНН: 9714046582, ОГРН:

1247700302717,

регистрационный

номер

записи в государственном реестре МФО Банка

России: №2403045010072 от 10.07.2024;

адрес:

муниципальный

127287,

г.

Москва,

Савеловский,

вн.тер.г.

ул.

округ

Писцовая, д. 16, к. 1, помещ. 1П;

●

иные Партнеры Оператора, чьи предложения

размещены на Сайте.

Сервисы

проверки

кредитоспособности/ благонадежности заемщика:

●

ООО "Скориста" (ИНН: 7703813443; ОГРН:

1147746772821, адрес: 121096, г. Москва,

вн.тер.г. муниципальный округ Филевский парк,

ул. Василисы Кожиной, д. 6, к. 1, кв. 33).

Бюро кредитных историй:

●

АО «Национальное бюро кредитных историй»

(ОГРН: 1057746710713, ИНН: 7703548386,

адрес местонахождения: 121069, г. Москва, вн.

тер. г. муниципальный округ Пресненский, пер.

Скатертный, д. 20);

Акционерное

историй

общество

«Скоринг

«Бюро

Бюро»

кредитных

(ОГРН:

1247700058319, ИНН: 7708429953, адрес

местонахождения: 129090, г. Москва, ул.

Каланчевская, д. 16, корп. 1).

Сбор

статистики

по

посетителям

Сайтов Сервис веб-аналитики «Яндекс Метрика»: ООО

Компании

для

улучшения качества работы «Яндекс» (ИНН: 7736207543, ОГРН: 1027700229193,

адрес: 119021, город Москва, ул. Льва Толстого, д.16).

содержания, проведение ретаргетинга, проведение

статистических исследований и обзоров.

Поддержка Клиентов Компании

качества обслуживания (включая

обращений и претензий).

и

контроль Сервис поддержки клиентов Сайта: ООО «Ближе к

делу» (ИНН: 7706416451; ОГРН 1157746054180;

адрес: 121205, г. Москва, Территория

обработку

Инновационного центра Сколково, ул. Нобеля, д. 5,

эт. 2, пом. 1, раб. 3).

В случае отказа от предоставления согласия на Невозможность

использования

расширенного

функционала приложения, включая автоматический

анализ расходов, получение персонализированных

рекомендаций по оптимизации бюджета. Базовый

обработку персональных данных, необходимых

для функционирования AI-помощника

мобильном приложении «Рубль.ру»:

в

функционал

(добавление

платежей

вручную,

простые напоминания) может быть доступен без

использования AI, но часть возможностей будет

ограничена.