ПОЛИТИКА в отношении обработки персональных данных субъектов персональных данных
(в ред. от 01.08.2022г.)
1. Общие положения
1.1. Назначение документа
Настоящая политика в отношении обработки персональных данных субъектов персональных данных (далее – Политика) является официальным документом, регулирующим вопросы обработки персональных данных субъектов персональных данных в Обществе с ограниченной ответственностью «СДЭК-Бел» (далее – Общество). Действие настоящей Политики не распространяется на обработку персональных данных (далее также ПД) сотрудников Общества, их родственников, соискателей вакантных должностей, иных субъектов ПД, прямо не обозначенных в настоящей Политике, поскольку эти отношения регулируются другими внутренними нормативными актами.
Настоящая Политика разработана в соответствии с п.3 ст.17 Закона Республики Беларусь от 7 мая 2021 года №99-З «О защите персональных данных» и предназначена для ознакомления неограниченного круга лиц путём опубликования в свободном доступе в информационно-телекоммуникационной сети Интернет на официальном сайте Общества franchise.cdek.by.
Политика раскрывает категории персональных данных субъектов ПД, обрабатываемых в Обществе, цели, способы и принципы обработки, права субъектов ПД, а также перечень мер, применяемых Обществом в целях обеспечения безопасности ПД.
Настоящая Политика определяет порядок и условия осуществления обработки персональных данных субъектов ПД, устанавливает процедуры, направленные на обеспечение безопасности персональных данных и предотвращение нарушений законодательства Республики Беларусь, устранение последствий нарушений. Руководство Общества осознает важность и необходимость обеспечения безопасности персональных данных и поощряет постоянное совершенствование системы защиты персональных данных. Положения настоящей Политики являются основой для разработки внутренних нормативно-методических документов, регламентирующих вопросы обработки и защиты персональных данных в Обществе.
Утверждение и пересмотр Политики проводится каждые три года, а также:
• при изменении нормативной базы, затрагивающей принципы и (или) процессы обработки персональных данных в Обществе;
• при создании новых или внесении изменений в существующие процессы обработки персональных данных клиентов.
1.2. Нормативные ссылки
Закон Республики Беларусь от 7 мая 2021 года №99-З «О защите персональных данных»;
Закон Республики Беларусь от 10 ноября 2008 года № 455-З «Об информации, информатизации и защите информации»
1.3. Область действия
Действие настоящей Политики распространяется на все процессы Общества, в рамках которых осуществляется обработка персональных данных субъектов ПД, как с использованием средств вычислительной техники, в том числе с использованием информационно-телекоммуникационных сетей, так и без использования таких средств.
Настоящая Политика применяется, в частности, но не ограничиваясь:
• при навигации на сайте franchise.cdek.by без совершения заказа на оказание услуг, а также при пользовании сервисами, предложенными на сайте franchise.cdek.by, в том числе без выполнения регистрации на сайте franchise.cdek.by.
• при выполнении регистрации на сайте franchise.cdek.by;
• при оформлении заказа на сайте franchise.cdek.by. или в офисе Общества;
1.4. Используемые сокращения
Общество – ООО «СДЭК-Бел».
ПД – персональные данные.
РБ – Республика Беларусь
Сайт – franchise.cdek.by.
1.5. Используемые термины и определения
Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
Информационная сеть - совокупность информационных систем либо комплексов программно-технических средств информационной системы, взаимодействующих посредством сетей электросвязи;
Информационная система - совокупность банков данных, информационных технологий и комплекса (комплексов) программно-технических средств;
Конфиденциальность персональных данных – обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом;
Обработка персональных данных – любое действие или совокупность действий, совершаемые с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных;
Оператор – общество с ограниченной ответственностью «СДЭК-Бел», юридическое лицо Республики Беларусь, зарегистрированное по адресу: 220136, город Минск, улица Лобанка, дом 58, ком. 53;
Персональные данные – любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано;
Сайт – совокупность информации, текстов, графических элементов, дизайна, изображений, фото и видеоматериалов, иных результатов интеллектуальной деятельности, а также программных средств для ЭВМ, обеспечивающих публикацию для всеобщего обозрения информации и данных, объединенных общим целевым назначением, посредством технических средств, применяемых для связи между ЭВМ и сети Интернет. Сайт находится в сети Интернет по адресу: franchise.cdek.by.
Сервисы - любые сервисы, продукты, программы, мероприятия, услуги Оператора;
Субъект персональных данных - физическое лицо, в отношении которого осуществляется обработка персональных данных. Применительно к настоящей Политике к субъектам ПД относятся: Клиент, Пользователь, физическое лицо, чьи ПД получены Обществом от Заказчика услуг Общества;
Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства;
Уполномоченное лицо - государственный орган, юридическое лицо Республики Беларусь, иная организация, физическое лицо, которые в соответствии с актом законодательства, решением государственного органа, являющегося оператором, либо на основании договора с оператором осуществляют обработку персональных данных от имени оператора или в его интересах.
Прочие термины используются в настоящей Политике в соответствии со значениями, определяемыми действующим законодательством Республики Беларусь, если иное прямо не указано в Политике.
2. Основные нормативные положения
2.1. Общие требования к обработке персональных данных
Обработка персональных данных должна быть соразмерна заявленным целям их обработки и обеспечивать на всех этапах такой обработки справедливое соотношение интересов всех заинтересованных лиц.
Обработка персональных данных ограничивается достижением конкретных, заранее заявленных законных целей. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям их обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
Обработка персональных данных носит прозрачный характер.
Общество в своей деятельности исходит из того, что субъект ПД предоставляет точную и достоверную информацию во время взаимодействия с Обществом, извещает представителей Общества об изменении своих данных.
Обществом обеспечивается правомерность обработки ПД субъектов ПД, а также надлежащий уровень безопасности обрабатываемых ПД.
Обработка ПД субъектов ПД в Обществе осуществляется на законной и справедливой основе и ограничивается достижением конкретных, заранее определенных и законных целей. Обществом обеспечивается точность обрабатываемых ПД субъектов ПД, их достаточность и, в необходимых случаях, актуальность по отношению к целям обработки. Общество принимает и обеспечивает принятие необходимых мер по удалению или уточнению неполных или неточных ПД субъектов ПД.
2.2. Цели обработки персональных данных
Целью обработки персональных данных субъектов ПД является:
• обеспечение защиты прав и свобод субъекта ПД при обработке его ПД;
• направление субъекту ПД по информационным системам связи, смс, электронной почте и иным средствам связи информации о специальных предложениях, новых услугах, событиях, любых информационных сообщений, включая рекламу и иных сведений от имени Общества или от имени партнеров Общества;
• оказание услуг курьерской доставки клиентам в рамках договора возмездного оказания курьерских услуг; на территории Республики Беларусь и за ее пределами для обеспечения оптимального уровня обслуживания клиентов
• оказание услуг экспресс-доставки клиентам в рамках договора возмездного оказания услуг экспресс-доставки на территории Республики Беларусь и за ее пределами для обеспечения оптимального уровня обслуживания клиентов;
• осуществление сервисного и справочно-информационного обслуживания клиентов;
• предоставление дополнительных услуг и сервисов;
• предоставление доступа (в т.ч. регистрации) к Интернет-сайтам, платформам, площадкам, маркетплейсам, мобильным приложениям под брендом CDEK/СДЭК.
• ведение уставной деятельности Общества в части заключения, учета и исполнения договоров с контрагентами (заказчики, подрядчики, исполнители и т.д.);
• проведение опросов и исследований, направленных на выявление удовлетворенности/неудовлетворенности клиента услугами Общества, улучшение качества услуг;
• обработка сообщений службы технической поддержки, контакт-центра Оператора, онлайн консультирование;
• проведение статистических, маркетинговых и иных исследований на основе обезличенных данных.
2.3. Правовые основания обработки персональных данных
Обработка ПД субъектов ПД осуществляется на основании:
• Гражданского кодекса РБ (гл.39 ГК РБ);
• Налогового кодекса РБ;
• устава Общества;
• договора возмездного оказания курьерских услуг, заключенный между Обществом и клиентом (Оферта);
• договора возмездного оказания услуг экспресс-доставки
• согласия субъекта ПД на обработку ПД;
• договора с уполномоченным лицом на обработку персональных данных.
2.4. Объем и категории обрабатываемых персональных данных
Общество осуществляет обработку следующих категорий:
• персональных данных физического лица — пользователя сайта: имя, адрес электронной почты, адрес (город, улица, номер дома, номер квартиры), номер телефона;
• персональных данных физического лица - клиента, чьи ПД стали известны Обществу в связи с заключением и исполнением договора оказания услуг: ФИО, данные документа, удостоверяющего личность, адрес (страна, город, улица, номер дома, номер квартиры), адрес электронной почты, номер телефона (домашний, мобильный), УНП при определенных видах услуг;
• персональных данных физического лица, чьи ПД получены Обществом от Заказчика курьерских услуг в рамках договора возмездного оказания курьерских услуг (по договору с уполномоченным лицом): ФИО, данные документа, удостоверяющего личность, адрес (страна, город, улица, номер дома, номер квартиры, номер телефона (домашний, мобильный), УНП при определенных видах услуг.
В Обществе не осуществляется обработка ПД клиентов, касающихся расовой либо национальной принадлежности, политических взглядов, членства в профессиональных союзах, религиозных или других убеждений, здоровья или половой жизни, привлечения к административной или уголовной ответственности, а также биометрические и генетические персональные данные (специальные персональные данные)
3. Порядок и условия обработки персональных данных субъектов ПД
Общество получает ПД субъектов ПД:
• путем личного сообщения клиентом своих данных при оформлении доставки в офисе;
• путем внесения клиентом своих данных на Сайте;
• путем заполнения субъектом ПД маркетинговых листовок (купонов);
• от третьих лиц (клиентов, контрагентов);
• из общедоступных источников.
Оператор получает и начинает обработку ПД субъекта РБ с момента получения его согласия. Согласие субъекта персональных данных может быть получено в письменной форме, в виде электронного документа или в иной электронной форме.
В иной электронной форме согласие субъекта персональных данных может быть получено посредством:
указания (выбора) субъектом персональных данных определенной информации (кода) после получения CMC-сообщения, сообщения на адрес электронной почты;
проставления субъектом персональных данных соответствующей отметки на Сайте при заказе обратного звонка, при обращении в форме обратной связи, при регистрации в личном кабинете, при оформлении заявки на вызов курьера и нажатия соответствующей кнопки расценивается однозначно, как принятие условий Политики и предоставление согласия на обработку ПД в объеме, для целей и в порядке, предусмотренных в предлагаемом перед проставлением специального знака для ознакомления в тексте;
других способов, позволяющих установить факт получения согласия субъекта персональных данных.
Субъект персональных данных вправе отозвать свое согласие путем подачи оператору заявления в письменной форме либо в виде электронного документа, если для обработки персональных данных Оператор обращался к субъекту персональных данных за получением согласия. В этой связи право на отзыв согласия не может быть реализовано в случае, когда обработка осуществляется на основании договора (например, при оказании услуг) либо в соответствии с требованиями законодательства.
Заявление субъекта персональных данных должно содержать:
фамилию, собственное имя, отчество (если таковое имеется) субъекта персональных данных, адрес его места жительства (места пребывания);
дату рождения субъекта персональных данных;
идентификационный номер субъекта персональных данных, при отсутствии такого номера - номер документа, удостоверяющего личность субъекта персональных данных, в случаях, если эта информация указывалась субъектом персональных данных при даче своего согласия оператору или обработка персональных данных осуществляется без согласия субъекта персональных данных;
изложение сути требований субъекта персональных данных;
личную подпись либо электронную цифровую подпись субъекта персональных данных.
В случае получения ПД от третьих лиц (клиентов, контрагентов) обязанность по получению согласий на обработку и передачу таких ПД лежит на этих третьих лицах.
Согласие субъекта персональных данных на обработку персональных данных не требуется:
при получении персональных данных оператором на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором;
при обработке персональных данных, когда они указаны в документе, адресованном оператору и подписанном субъектом персональных данных, в соответствии с содержанием такого документа;
в отношении распространенных ранее персональных данных до момента заявления субъектом персональных данных требований о прекращении обработки распространенных персональных данных, а также об их удалении при отсутствии иных оснований для обработки персональных данных, предусмотренных настоящим Законом и иными законодательными актами;
в иных случаях, предусмотренных действующим законодательством.
Общество в ходе своей деятельности по договору поручает обработку ПД уполномоченным лицам, при обязательном условии соблюдения лицом, осуществляющим обработку ПД по поручению Общества, принципов и правил обработки, а также обеспечения безопасности ПД, установленных законодательством Республики Беларусь.
Уполномоченное лицо не обязано получать согласие субъекта персональных данных. Если для обработки персональных данных по поручению оператора необходимо получение согласия субъекта персональных данных, такое согласие получает оператор.
К уполномоченным лицам относятся контрагенты оператора персональных данных, привлекаемые для исполнения договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором.
Уполномоченное лицо осуществляет обработку указанных выше персональных данных в зависимости от соответствующего гражданско-правового договора. Уполномоченное лицо вправе осуществлять сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных.
В целях исполнения договора с субъектом персональных данных Общество вправе осуществить трансграничную передачу персональных данных своему контрагенту, уполномоченному лицу на основании договора. Трансграничная передача персональных данных осуществляется на территории государств, на которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных.
Общество не размещает ПД субъектов ПД в общедоступных источниках.
Хранение персональных данных осуществляется не дольше, чем этого требуют заявленные цели обработки персональных данных.
С целью обеспечения безопасности ПД при их обработке Общество принимает необходимые и достаточные правовые, организационные и технические меры для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении ПД.
В Обществе назначено лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных.
Доступ к ПД субъектов ПД предоставляется сотрудникам Оператора в соответствии с их должностными обязанностями. Сотрудники Оператора, осуществляющие обработку ПД субъектов ПД, должны быть проинформированы о факте такой обработки, об особенностях и правилах такой обработки, установленных нормативно-правовыми актами и внутренними документами Оператора. Сотруднику Общества, имеющему право осуществлять обработку ПД субъектов ПД, предоставляются уникальный логин и пароль для доступа к соответствующей информационной системе в установленном порядке. Сведения о присвоенных Сотруднику идентификаторах (логин и пароль) относятся к конфиденциальным и не подлежат передаче Сотрудником третьим лицам. Сотрудник обеспечивает соблюдение требований о конфиденциальности и несет риск последствий, связанных с нарушением таких требований. Процедура аутентификации осуществляется в момент доступа сотрудника в информационную систему путем сопоставления введенных логина и пароля соответствующим присвоенным сотруднику логину и паролю. В случае успешного прохождения процедуры аутентификации Сотрудник получает возможность осуществления операций с ПД субъекта ПД в информационной системе.
4. Обработка запросов субъектов персональных данных
Для обеспечения соблюдения установленных законодательством прав субъектов ПД, в Обществе разработан и введён порядок работы с обращениями и запросами субъектов ПД, а также порядок предоставления субъектам ПД информации, установленной законодательством РБ в области персональных данных.
Данный порядок обеспечивает соблюдение следующих прав субъекта ПД:
• Право на отзыв согласия субъекта персональных данных;
• Право на получение информации, касающейся обработки персональных данных, и изменение персональных данных;
• Право на получение информации о предоставлении персональных данных третьим лицам;
• Право требовать прекращения обработки персональных данных и (или) их удаления;
• Право на обжалование действий (бездействия) и решений оператора, связанных с обработкой персональных данных;
• Иные права, предусмотренные законодательством РБ.
Запрос субъекта ПД должен содержать фамилию, собственное имя, отчество (если таковое имеется) субъекта персональных данных, адрес его места жительства (места пребывания); дату рождения субъекта персональных данных; идентификационный номер субъекта персональных данных, при отсутствии такого номера - номер документа, удостоверяющего личность субъекта персональных данных, в случаях, если эта информация указывалась субъектом персональных данных при даче своего согласия оператору или обработка персональных данных осуществляется без согласия субъекта персональных данных; изложение сути требований субъекта персональных данных; личную подпись либо электронную цифровую подпись субъекта персональных данных.
Запросы субъектов должны быть направлены по адресу: 220136, город Минск, улица Лобанка, дом 58, ком. 53.
Настоящая Политика вступает в силу с момента ее утверждения директором Общества и действует бессрочно до замены ее новым документом (новой редакцией Политики).