Политика в области защиты и обработки персональных данных АО «ДЖИ ЭКС ТУ ИНВЕСТ»

1. Общие положения

Термины и определения, которые содержатся в Политике в области защиты и обработки персональных данных АО «Джи Экс Ту Инвест» (далее — Политика) используются в следующем значении:

персональные данные (также — ПДн) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

специальные категории персональных данных — данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также сведения о судимости;

биометрические персональные данные — сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность;

оператор персональных данных — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;

обработка персональных данных без использования средств автоматизации — обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, в ходе которой такие действия с персональными данными, как использование, уточнение, распространение, уничтожение в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека;

распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

блокирование персональных данных — временное прекращение обработки персональных; уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;

обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;

информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства, органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

2. Общие положения

Настоящая Политика разработана в соответствии с требованиями законодательства Российской Федерации в области обработки и защиты персональных данных, основанного на Конституции Российской Федерации, Федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных» и принятых в соответствии с ним нормативных правовых актах, а также иных законах и подзаконных нормативных правовых актах Российской Федерации, в той или иной степени регулирующих вопросы обработки и защиты персональных данных (далее вместе — Законодательство РФ в области ПДн).

Настоящая Политика разработана с целью обеспечить соблюдение прав, свобод и законных интересов субъектов персональных данных и требований Законодательства РФ в области ПДн, а также с целью обеспечить безопасность и конфиденциальность персональных данных в процессе их обработки АО «Джи Экс Ту Инвест».

Настоящая Политика определяет:

  • общие принципы и условия обработки персональных данных АО «Джи Экс Ту Инвест»;
  • цели и правовые основания обработки, а также категории обрабатываемых персональных данных и категории субъектов, персональные данные которых обрабатываются АО «Джи Экс Ту Инвест»;
  • порядок обработки персональных данных и основные требования, предъявляемые к такой обработке АО «Джи Экс Ту Инвест»;
  • порядок обеспечения конфиденциальности персональных данных в процессе их обработки и особенности привлечения к такой обработке третьих лиц;
  • применяемые АО «Джи Экс Ту Инвест» меры по обеспечению безопасности персональных данных в процессе их обработки;
  • права и обязанности субъектов персональных данных при взаимодействии с АО «Джи Экс Ту Инвест»;
  • порядок рассмотрения обращений субъектов персональных данных;
  • ответственность, предусмотренную за нарушение положений настоящей Политики и порядок внесения в нее изменений.

Настоящая Политика является обязательной для соблюдения всеми сотрудниками АО «Джи Экс Ту Инвест».

3. Принципы и условия сбора и обработки персональных данных

Сбор и обработка персональных данных осуществляется АО «Джи Экс Ту Инвест» с учетом следующих принципов, предусмотренных Законодательством РФ в области ПДн:

  • АО «Джи Экс Ту Инвест» осуществляет сбор и обработку персональных данных на законной и справедливой основе;
  • в ходе сбора и обработки персональных данных АО «Джи Экс Ту Инвест» ограничивается достижением заранее определенных, конкретных и законных целей, при этом сбор и обработка персональных данных, несовместимые с изначальными целями их сбора, не допускаются;
  • не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
  • сбору и обработке подлежат только те персональные данные, которые отвечают (соответствуют) заявленным целям их сбора и обработки;
  • обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их сбора и обработки;
  • при сборе и обработке персональных данных АО «Джи Экс Ту Инвест» обеспечивает их точность, достаточность и актуальность в отношении заявленных целей и в случае необходимости своевременно принимает меры по уточнению неполных или неточных персональных данных;
  • АО «Джи Экс Ту Инвест» осуществляет хранение персональных данных не дольше, чем этого требуют заявленные цели сбора и обработки, при условии, что иной срок хранения персональных данных не предусмотрен законодательством РФ и (или) договором/иным соглашением, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
  • по достижении заявленных целей сбора и обработки и (или) истечении, установленных сроков хранения персональных данных, АО «Джи Экс Ту Инвест» осуществляет (обеспечивает) обезличивание или уничтожение персональных данных в порядке, установленном Законодательством РФ в области ПДн.

АО «Джи Экс Ту Инвест» может осуществлять сбор и обработку персональных данных, при условии, что для таких сбора и обработки существуют необходимые правовые основания, (полный перечень возможных правовых оснований обработки персональных данных указан в части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»), в частности:

  • если субъект персональных данных предоставил АО «Джи Экс Ту Инвест» свое согласие на обработку персональных данных;
  • если обработка персональных данных необходима по закону, то есть для осуществления и выполнения функций, полномочий и обязанностей, возложенных на АО «Джи Экс Ту Инвест» законодательством РФ;
  • если обработка персональных данных необходима для исполнения договора с АО «Джи Экс Ту Инвест», по которому субъект персональных данных является стороной, выгодоприобретателем или поручителем, а также если обработка персональных данных необходима для заключения договора с АО «Джи Экс Ту Инвест» по инициативе субъекта персональных данных;
  • если обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица в соответствии с законодательством РФ об исполнительном производстве;
  • если обработка персональных данных необходима для осуществления прав и законных интересов АО «Джи Экс Ту Инвест» при условии, что при этом не нарушаются права и свободы субъекта персональных данных.

4. Цели, правовые основания, объём и категории, обрабатываемых персональных данных

Информация о целях, в которых АО «Джи Экс Ту Инвест» обрабатывает персональные данные, правовых основаниях такой обработки, составе обрабатываемых персональных данных и их принадлежности к различным категориям субъектов персональных данных содержится в Приложении № 1 к настоящей Политике.

АО «Джи Экс Ту Инвест» не осуществляет обработку специальных категорий персональных данных, касающихся расовой, национальной, принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни субъектов персональных данных.

АО «Джи Экс Ту Инвест» вправе осуществлять обработку специальных категорий персональных данных, касающихся состояния здоровья, а также сведений о судимости на основании соответствующего согласия субъекта персональных данных, а также в иных, предусмотренных законодательством РФ случаях, в частности, если обработка таких персональных данных необходима для принятия решения о возможности выполнения сотрудниками АО «Джи Экс Ту Инвест» своих трудовых функций.

АО «Джи Экс Ту Инвест» вправе осуществлять обработку биометрических персональных данных на основании соответствующего согласия субъекта персональных данных.

5. Порядок обработки персональных данных и требования, предъявляемые к такой обработке

Для достижения заявленных целей обработки, АО «Джи Экс Ту Инвест» может осуществлять следующие действия (операции) с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Вышеперечисленные действия с персональными данными могут осуществляться как с использованием средств автоматизации, так и без использования таких средств (смешанная обработка).

В процессе обработки АО «Джи Экс Ту Инвест» может осуществлять передачу персональных данных как по собственной внутренней (локальной) сети, так и с использованием информационной телекоммуникационной сети Интернет.

Распространение персональных данных допускается при условии соблюдения АО «Джи Экс Ту Инвест» требований, предусмотренных статьей 10.1. Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и принятых во исполнение, указанной статьи, подзаконных нормативных правовых актов, в частности, при условии получения АО «Джи Экс Ту Инвест» надлежащим образом оформленных согласий на обработку персональных данных, разрешенных субъектом персональных данных для распространения.

Предельные сроки обработки персональных данных АО «Джи Экс Ту Инвест» устанавливаются для каждой цели обработки/категории обрабатываемых персональных данных/категории субъектов персональных данных отдельно, но в любом случае не могут превышать:

  • сроков достижения заявленных целей обработки персональных данных;
  • сроков/условий прекращения обработки персональных данных, предусмотренных согласием субъекта персональных данных на обработку его персональных данных;
  • сроков обработки персональных данных, предусмотренных договором или любым иным соглашением, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
  • сроков обработки (хранения) персональных данных, предусмотренных законодательством РФ. АО «Джи Экс Ту Инвест» обеспечивает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

6. Конфиденциальность персональных данных и особенности их передачи третьим лицам

Персональные данные, обрабатываемые АО «Джи Экс Ту Инвест», относятся к конфиденциальной информации.

АО «Джи Экс Ту Инвест» принимает необходимые правовые, организационные и технические меры, направленные на обеспечение конфиденциальности, целостности и доступности персональных данных на всех этапах их жизненного цикла.

Доступ к персональным данным в АО «Джи Экс Ту Инвест» должен быть обоснованным, авторизованным и ограниченным, и предоставляться при условии соблюдения требований, установленных внутренними документами АО «Джи Экс Ту Инвест» по вопросам обработки и защиты конфиденциальной информации/персональных данных, а также по вопросам информационной безопасности (далее вместе — Внутренние документы АО «Джи Экс Ту Инвест»).

Сотрудники АО «Джи Экс Ту Инвест», имеющие доступ к персональным данным при выполнении своих трудовых функций (должностных обязанностей), должны быть ознакомлены (под роспись) с Внутренними документами АО «Джи Экс Ту Инвест» и выполнять требования, которые ими предусмотрены, при этом обязательства по обеспечению конфиденциальности персональных данных для таких сотрудников могут быть дополнительно предусмотрены, например:

  • трудовым договором;
  • должностными инструкциями.

Для достижения заявленных целей обработки АО «Джи Экс Ту Инвест» может осуществлять передачу, в т.ч. трансграничную, (предоставление, доступ) персональных данных в адрес третьих лиц, при условии, что такая передача осуществляется в объеме, минимально необходимом для достижения заявленных целей и для нее есть достаточные правовые основания, в частности, если:

  • передача персональных данных осуществляется на основании соответствующего согласия субъекта персональных данных;
  • передача персональных данных обусловлена исполнением обязательств по договору, по которому субъект персональных данных является стороной, выгодоприобретателем или поручителем;
  • передача персональных данных обусловлена исполнением законных требований и предписаний уполномоченных органов государственной власти РФ;
  • передача персональных данных осуществляется в связи с участием субъекта персональных данных в конституционном, гражданском, административном, уголовном или арбитражном судопроизводстве.

В случае передачи персональных данных третьим лицам АО «Джи Экс Ту Инвест» также принимает необходимые меры по доведению до таких лиц информации о:

  • том, что обработка персональных данных должна осуществляться с соблюдением принципов и ограничений, предусмотренных Законодательством РФ в области ПДн;
  • необходимости обеспечения конфиденциальности и безопасности персональных данных в процессе их обработки;
  • недопустимости обработки персональных данных в целях, отличных от изначальных целей их передачи.

Трансграничная передача персональных данных в адрес третьих лиц допускается при условии соблюдения АО «Джи Экс Ту Инвест» требований, предусмотренных статьей 12 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», и принятыми во исполнение указанной статьи подзаконными нормативными правовыми актами, в частности, при условии уведомления АО «Джи Экс Ту Инвест» Уполномоченного органа по защите прав субъектов персональных данных (Роскомнадзор) о намерении осуществлять трансграничную передачу персональных данных и проведения предварительной оценки соблюдения получателем персональных данных конфиденциальности персональных данных.

АО «Джи Экс Ту Инвест» также вправе привлекать третьих лиц к обработке персональных данных на основании поручения (поручать обработку персональных данных). Такое поручение допускается при одновременном соблюдении следующих обязательных условий:

  • для поручения обработки существуют достаточные правовые основания, предусмотренные частью 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
  • третье лицо, которому АО «Джи Экс Ту Инвест» поручает обработку персональных данных, располагает необходимыми техническими, организационными и материальными ресурсами/возможностями, которые в совокупности позволяют обеспечить безопасность и конфиденциальность персональных данных в процессе их обработки и гарантировать соблюдение прав, свобод и законных интересов субъектов персональных данных, а также требований Законодательства РФ в области ПДн;
  • между АО «Джи Экс Ту Инвест» и третьим лицом, которому АО «Джи Экс Ту Инвест» поручает обработку персональных данных, заключен договор, определяющий порядок и условия обработки персональных данных в рамках поручения и соответствующий требованиям, предусмотренным частями 3-5 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

7. Безопасность персональных данных

В процессе обработки персональных данных АО «Джи Экс Ту Инвест», руководствуясь требованиями статей 18.1 и 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и принятых во исполнение указанных статей, нормативных правовых актов, принимает необходимые правовые, организационные и технические меры, направленные на обеспечение безопасности персональных данных, включая, но не ограничиваясь:

  • разработка, применение, контроль применения внутренних документов (Политик, Регламентов, Инструкций и пр.), регулирующих вопросы обработки и защиты конфиденциальной информации/персональных данных;
  • разработка, применение, контроль применения внутренних документов, регулирующих вопросы информационной безопасности;
  • обучение сотрудников обязательным требованиям по работе с конфиденциальной информацией/персональными данными и периодический контроль усвоения сотрудниками полученных знаний;
  • назначение лица, ответственного за организацию обработки персональных данных в АО «Джи Экс Ту Инвест»;
  • реализация режима ограниченного доступа в помещения, в которых ведется обработка персональных данных;
  • ограничение доступа к персональным данным, обрабатываемым в ИСПДн;
  • ограничение доступа к персональным данным, обрабатываемым на бумажных носителях;
  • учет материальных носителей персональных данных;
  • применение технических средств и решений, позволяющих обеспечивать безопасность персональных данных (маршрутизаторы сетевого трафика, средства антивирусной защиты, программное обеспечение, предназначенное для обнаружения уязвимостей в работе информационных систем и пр.)

8. Права и обязанности субъектов персональных данных

При взаимодействии с АО «Джи Экс Ту Инвест» субъекты персональных данных вправе (самостоятельно или в лице своих представителей):

  • требовать от АО «Джи Экс Ту Инвест» уточнения, блокирования или уничтожения своих персональных данных, в случае, если такие персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для достижения заявленных целей обработки;
  • запрашивать у АО «Джи Экс Ту Инвест» сведения (информацию), касающиеся обработки его персональных данных;
  • отзывать ранее предоставленное АО «Джи Экс Ту Инвест» согласие на обработку персональных данных;
  • обращаться в АО «Джи Экс Ту Инвест» с требованием о прекращении обработки персональных данных;
  • обращаться в уполномоченные органы государственной власти и (или) обжаловать в судеб-ном порядке действия или бездействие АО «Джи Экс Ту Инвест», которые по мнению субъекта персональных данных, повлекли (могут повлечь) за собой нарушение его прав и свобод и (или) требований Законодательства РФ в области ПДн.

Представленный выше перечень не является исчерпывающим и ни в коей мере не умаляет возможность реализации иных законных прав, принадлежащих субъектам персональных данных.

Субъекты персональных данных самостоятельно несут ответственность за достоверность персональных данных, предоставляемых АО «Джи Экс Ту Инвест», а также за своевременное уведомление АО «Джи Экс Ту Инвест» об изменении таких персональных данных.

9. Обращения/запросы

Для реализации прав, указанных в разделе 8 настоящей Политики, субъекты персональных данных могут самостоятельно или в лице своих представителей обратиться и (или) направить запрос в АО «Джи Экс Ту Инвест» по вопросам:

  • отзыва ранее предоставленного согласия на обработку персональных данных;
  • прекращения обработки персональных данных;
  • уточнения неполных, неточных или устаревших персональных данных;
  • блокирования или уничтожения незаконно полученных/неправомерно обрабатываемых персональных данных;
  • предоставления информации, касающейся обработки персональных данных субъекта персональных данных.

Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

  • подтверждение факта обработки персональных данных АО «Джи Экс Ту Инвест»;
  • правовые основания и цели обработки персональных данных;
  • цели и применяемые АО «Джи Экс Ту Инвест» способы обработки персональных данных;
  • наименование и место нахождения АО «Джи Экс Ту Инвест», сведения о лицах (за исключением работников АО «Джи Экс Ту Инвест»), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с АО «Джи Экс Ту Инвест» или на основании федерального закона;
  • обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
  • сроки обработки персональных данных, в том числе сроки их хранения;
  • порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
  • информацию об осуществленной или о предполагаемой трансграничной передаче данных;
  • наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению АО «Джи Экс Ту Инвест», если обработка поручена или будет поручена такому лицу;
  • иные сведения, предусмотренные Законодательством РФ в области ПДн.

Обращение/запрос должен содержать:

  • номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
  • сведения, подтверждающие наличие правоотношений, связанных с обработкой персональных данных, между АО «Джи Экс Ту Инвест» и субъектом персональных данных, который указан в обращении/запросе (номер договора, дата заключения договора и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных АО «Джи Экс Ту Инвест»;
  • четкое описание требования субъекта персональных данных;
  • контактный телефон и/или электронную почту субъекта персональных данных;
  • подпись субъекта персональных данных или его представителя.

Обращение/запрос может быть подан субъектом персональных данных, как на бумажном носителе, так и в электронном виде. АО «Джи Экс Ту Инвест» предоставляет ответ на обращение/запрос в той форме, в которой направлено обращение/запрос, если иное не указано в обращении/запросе.

Обращение/запрос может быть направлено в адрес АО «Джи Экс Ту Инвест» следующими способами:

  • посредством отправки сообщения через личный кабинет клиента на официальном сайте АО «Джи Экс Ту Инвест» (раздел Заявки/Подать Обращение);
  • посредством личного обращения в офис АО «Джи Экс Ту Инвест» по его месту нахождения;
  • посредством направления обращения/запроса на адрес электронной почты: risks@gx2invest.ru.

АО «Джи Экс Ту Инвест» при рассмотрении обращений/запросов вправе затребовать дополнительные сведения, подтверждающие наличие правоотношений, связанных с обработкой персональных данных, между АО «Джи Экс Ту Инвест» и субъектом персональных данных, который указан в обращении/запросе, при этом требование о предоставлении таких сведений должно быть обоснованным и мотивированным.

АО «Джи Экс Ту Инвест» рассматривает обращения/запросы субъектов персональных данных или их представителей с учетом следующих сроков (ниже указаны предельные сроки рассмотрения обращений/запросов, предусмотренные Законодательством РФ в области ПДн):

  • отзыв согласия на обработку персональных данных — прекращение обработки персональных данных или в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожение персональных данных в течение 30 календарных дней;
  • уточнение неполных, неточных или устаревших персональных данных — незамедлительное блокирование на время рассмотрения обращения/запроса, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц; уточнение в течение 7 рабочих дней с даты подтверждения неполноты, неточности, устаревания персональных данных;
  • блокирование и уничтожение незаконно полученных/неправомерно обрабатываемых персональных данных — незамедлительное блокирование на период рассмотрения обращения/запроса; обеспечение правомерности обработки в течение 3-х рабочих дней с даты выявления неправомерной обработки; уничтожение персональных данных в течение 10 рабочих дней с даты выявления неправомерной обработки в случае, если обеспечить правомерность дальнейшей обработки не представляется возможным;
  • предоставление информации, касающейся обработки персональных данных субъекта персональных данных — рассмотрение в течение 10 рабочих дней. Указанный срок может быть продлен, но не более чем на 5 рабочих дней в случае направления АО «Джи Экс Ту Инвест» в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

Для фиксации и учета обращений/запросов субъектов персональных данных (их представителей), в АО «Джи Экс Ту Инвест» в электронном виде ведется Журнал учета обращений, запросов субъектов персональных данных (Приложение № 2 к настоящей Политике).

10. Обязанности АО «Джи Экс Ту Инвест» по исполнению Законодательства РФ в области ПДн

В случае достижения цели обработки персональных данных АО «Джи Экс Ту Инвест» обязано прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий 30 календарных дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между АО «Джи Экс Ту Инвест» и субъектом персональных данных либо если АО «Джи Экс Ту Инвест» не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных Законодательства РФ в области ПДн.

В случае отсутствия возможности уничтожения персональных данных в течение срока, указанного в п. 9 Политики, АО «Джи Экс Ту Инвест» осуществляет блокирование таких персональных данных и обеспечивает уничтожение персональных данных в срок не более чем 6 месяцев, если иной срок не установлен федеральными законами.

Подтверждение уничтожения персональных данных осуществляется в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных.

В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, АО «Джи Экс Ту Инвест» обязано с момента самостоятельного выявления такого инцидента, либо с момента выявления такого инцидента уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом уведомить уполномоченный орган по защите прав субъектов персональных данных:

  • в течение 24 часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном АО «Джи Экс Ту Инвест» на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
  • в течение 72 часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

11. Ответственность

Лицо, допустившее нарушение требований настоящей Политики, в зависимости от характеристик и квалификации такого нарушения, может быть привлечено к уголовной, административной, гражданско-правовой или дисциплинарной ответственности в порядке и на условиях, предусмотренных законодательством РФ.

12. Внесение изменений

АО «Джи Экс Ту Инвест» вправе по своему усмотрению, в одностороннем порядке вносить изменения в настоящую Политику, при условии, что для таких изменений существует обоснованная необходимость (изменение действующих требований Законодательства в области ПДн, изменение внутренних процессов АО «Джи Экс Ту Инвест», непосредственно связанных с обработкой персональных данных, актуализация целей, правовых оснований, категорий персональных данных, а также категорий субъектов персональные данных и пр.).

В случае изменения настоящей Политики АО «Джи Экс Ту Инвест» уведомляет об этом субъектов персональных данных путем размещения новой редакции Политики на своем сайте в сети Интернет в течение 3-х рабочих дней со дня ее официального утверждения.

АО «Джи Экс Ту Инвест» может также дополнительно информировать субъектов персональных данных об изменениях в Политике в случаях, когда такие изменения оказывают (могут оказать) непосредственное влияние на их законные права и интересы. Порядок и способы дополнительного информирования АО «Джи Экс Ту Инвест» определяет самостоятельно.

Приложение 1

Перечень персональных данных, обрабатываемых АО «Джи Экс Ту Инвест»

Цели обработки Правовое основание Категория субъектов Перечень персональных данных
Реализация прав и исполнение обязанностей, возложенных на АО «Джи Экс Ту Инвест», как на работодателя, действующим законодательством РФ, в том числе: * периодическое направление обязательной отчетности по установленным формам в уполномоченные органы государственной власти (ФНС, СФР, Росстат, МВД России и пр.) * расчет и выплата заработной платы, пособий, отпускных, больничных, компенсаций, премий и пр. * обеспечение обязательного социального страхования сотрудников * расчет и выплата, предусмотренных законодательством РФ, налогов, сборов и взносов * оформление внутренних заявлений/приказов в отношении сотрудников (отпуск, декретный отпуск, кадровый перевод, временная нетрудоспособность, прием на работу/увольнение и пр.) * формирование, ведение и актуализация личных дел сотрудников. * обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (Трудовой кодекс РФ; Налоговый кодекс РФ; Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системах обязательного пенсионного страхования и обязательного социального страхования»; Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»; Федеральный закон от 16.07.1999 № 165-ФЗ «Об основах обязательного социального страхования» и пр.) * обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных (трудовой договор) * Сотрудники * Ближайшие родственники сотрудников * Уволенные сотрудники * ФИО * Год, месяц, дата рождения * Адрес (фактический/места регистрации) * Контактные номера телефонов * Адрес электронной почты * Гражданство * ИНН * СНИЛС * Данные страхового полиса обязательного медицинского страхования (ОМС) * Данные документа, удостоверяющего личность * Сведения об образовании * Сведения о состоянии здоровья * Сведения, указанные в военном билете/приписном удостоверении (сведения об отношении к воинской обязанности) * Сведения о судимости/ отсутствии судимости * Семейное положение и данные о составе и членах семьи * Сведения о социальных льготах, пенсионном обеспечении и страховании * Стаж работы и другие данные, содержащиеся в трудовой книжке * Должность и уровень квалификации * Сведения о заработной плате (доходах) * Данные банковских счетов/картИные персональные данные, обработка которых обоснованно необходима для выполнения функций, полномочий и обязанностей, возложенных на АО «Джи Экс Ту Инвест», как на работодателя, действующим законодательством РФ
Регулирование трудовых и иных, непосредственно связанных с ними отношений, в том числе: * организация пропускного режима на территорию АО «Джи Экс Ту Инвест» в рамках системы контроля и управления доступом (СКУД) * проведение обучения для сотрудников (внутреннее, внешнее) * организация корпоративных мероприятий * организация командировок и (или) иных поездок, связанных с должностными обязанностями, которые выполняет сотрудник * формирование и предоставление доступа к корпоративным справочным материалам * оформление добровольного медицинского страхования сотрудников * проведение акций, опросов, исследований среди сотрудников * организация электронного кадрового документооборота * обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных * обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (трудовой договор) * обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных * Сотрудники * ФИО * Год, месяц, дата рождения * Адрес (фактический/места регистрации) * Контактные номера телефонов * Адрес электронной почты * Должность * ИНН * СНИЛС * Данные документа, удостоверяющего личность * Сведения об образовании * Иные персональные данные, обработка которых обоснованно необходима для надлежащего регулирования трудовых и иных, непосредственно связанных с ними отношений
Подбор персонала в АО «Джи Экс Ту Инвест»«, в том числе: * назначение и проведение интервью, собеседований, встреч, тестирований с соискателями (кандидатами) на вакантную должность * проведение оценки соответствия соискателей требованиям, предъявляемым к должности * подготовка и проведение программ стажировок в АО «Джи Экс Ту Инвест» * обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных * обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных * Соискатели * Стажеры * ФИО * Год, месяц, дата рождения * Адрес (фактический/места регистрации) * Контактные номера телефонов * Адрес электронной почты * Гражданство * ИНН * СНИЛС * Сведения об образовании * Сведения о трудовом стаже, должности, квалификации * Сведения профессиональных навыках и достижениях * Сведения о состоянии здоровья * Сведения о судимости/ отсутствии судимости * Персональные данные, которые соискатель/стажер счел необходимым указать в своем резюме * Иные персональные данные, которые * соискатель/стажер счел необходимым предоставить в процессе взаимодействия с АО «Джи Экс Ту Инвест» по вопросам возможного трудоустройства/участия в программах стажировок
Заключение, исполнение, прекращение обязательств по договорам, заключаемым между АО «Джи Экс Ту Инвест» и клиентами в рамках осуществления лицензируемого вида деятельности АО «Джи Экс Ту Инвест» на рынке ценных бумах и договоров с ними связанных (далее — Договоры), в том числе: * обеспечение текущего и документарного сопровождения клиентов (открытие и обслуживание клиентских счетов, обработка, распределение и учет клиентских документов и пр.) * исполнение клиентских поручений * осуществление и учет операций и сделок с различными финансовыми инструментами; * информационное сопровождение клиентов по вопросам услуг, оказываемых в рамках Договоров. * обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (Договоры) * обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных * Клиенты * Представители клиентов * Выгодоприобретатели * Представители выгодоприобретателей * Бенефициарные владельцы * ФИО * Год, месяц, дата рождения * Место рождения * Гражданство * Адрес (фактический/места регистрации) * Данные документа, удостоверяющего личность * ИНН (аналог ИНН в иностранном государстве) * СНИЛС * Свидетельство о регистрации по месту пребывания * Данные миграционной карты * Адрес электронной почты * Контактные номера телефонов * Персональные данные, содержащиеся в документах (копиях документов), предоставляемых в АО «Джи Экс Ту Инвест» * Финансовая информация (сведения о состоянии портфеля клиента, сведения об операциях, совершаемых с финансовыми инструментами и пр.) * Иные персональные данные, необходимость предоставления и последующей обработки которых обоснованно необходима для исполнения обязательств по Договорам
Осуществление и выполнение функций, полномочий и обязанностей, возложенных на АО «Джи Экс Ту Инвест» законодательством Российской Федерации, как на профессионального участника рынка ценных бумаг, в связи с осуществлением лицензируемого вида деятельности на финансовых рынках, в том числе: * обязательная идентификация клиентов, представителей, выгодоприобретателей, бенефициарных владельцев * проведение комплаенс процедур в отношении лиц, указанных выше * осуществление АО «Джи Экс Ту Инвест» действий, необходимых для выявления лиц, на которых распространяется законодательство иностранного государства о налогообложении иностранных счетов, и их обслуживания; * проведение обязательного аудита * обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (Федеральный закон от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма»; Федеральный закон от 28.06.2014 № 173-ФЗ «Об особенностях осуществления финансовых операций с иностранными гражданами и юридическими лицами, о внесении изменений в Кодекс Российской Федерации об административных правонарушениях и признании утратившими силу отдельных положений законодательных актов Российской Федерации»; Феде-ральный закон от 30.12.2008 № 307-ФЗ «Об аудиторской деятельности») * обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных * Клиенты * Представители клиентов * Выгодоприобретатели * Представители выгодоприобретателей * Бенефициарные владельцы * ФИО * Год, месяц, дата рождения * Место рождения * Гражданство * Адрес (фактический/места регистрации) * Контактные номера телефонов * Адрес электронной почты * Сведения о налоговом резидентстве * Данные документа, удостоверяющего личность * Номер счета (счетов) в АО «Джи Экс Ту Инвест», а также сведения о состоянии счета (счетов) и поступлениях на счет (счета) * Иные персональные данные, обработка которых обоснованно необходима для выполнения функций, полномочий и обязанностей, возложенных на АО «Джи Экс Ту Инвест» законодательством Российской Федерации, как на профессионального участника рынка ценных бумаг, в связи осуществлением лицензируемого вида деятельности АО «Джи Экс Ту Инвест» на финансовом рынке.
Информационная, техническая и операционная поддержка в процессе исполнения обязательств по договорам, заключенным между АО «Джи Экс Ту Инвест» и клиентами/контрагентами * обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (Федеральный закон от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма»; Федеральный закон от 28.06.2014 № 173-ФЗ «Об особенностях осуществления финансовых операций с иностранными гражданами и юридическими лицами, о внесении изменений в Кодекс Российской Федерации об административных правонарушениях и признании утратившими силу отдельных положений законодательных актов Российской Федерации»; Феде-ральный закон от 30.12.2008 № 307-ФЗ «Об аудиторской деятельности») * обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных * обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных * Клиенты * Представители клиентов * Выгодоприобретатели * Представители выгодоприобретателей * Бенефициарные владельцы * ФИО * Год, месяц, дата рождения * Место рождения * Гражданство * Адрес (фактический/места регистрации) * Контактные номера телефонов * Адрес электронной почты * Сведения о налоговом резидентстве * Данные документа, удостоверяющего личность * Номер счета (счетов) в АО «Джи Экс Ту Инвест», а также сведения о состоянии счета (счетов) и поступлениях на счет (счета) * Иные персональные данные, обработка которых обоснованно необходима для выполнения функций, полномочий и обязанностей, возложенных на АО «Джи Экс Ту Инвест» законодательством Российской Федерации, как на профессионального участника рынка ценных бумаг, в связи осуществлением лицензируемого вида деятельности АО «Джи Экс Ту Инвест» на финансовом рынке.
Предоставление информации об услугах АО «Джи Экс Ту Инвест» на финансовых рынках, тарифах и новых продуктах * обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных * Клиенты * Потенциальные клиенты * Пользователи интернет-сервисов АО «Джи Экс Ту Инвест» * ФИО * Адрес электронной почты * Контактные номера телефонов * Иная информация, которую субъект персональных данных счел необходимым предоставить в процессе взаимодействия с АО «Джи Экс Ту Инвест»
Заключение и исполнение договоров с контрагентами (юридическими и физическими лицами, индивидуальными предпринимателями) в случаях, предусмотренных законодательством РФ, в том числе: * реализация мер по должной осмотрительности при выборе контрагента; * организация взаимодействия с контрагентом посредством взаимных контактов между уполномоченными сотрудниками контрагента и АО «Джи Экс Ту Инвест»; * взаимное исполнение обязательств по договорам, которые заключены между АО «Джи Экс Ту Инвест» и контрагентами * обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных; * обработка персональных данных необходима для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей (Гражданский кодекс РФ, Налоговый кодекс РФ) * обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных * обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных * Контрагенты * Представители контрагентов * Сотрудники * Иные субъекты персональных данных в зависимости от предмета заключаемого договора * ФИО * Год, месяц, дата рождения * Место рождения * ИНН * Адрес (фактический/места регистрации) * Данные документа, удостоверяющего личность * Иные персональные данные, обработка которых обоснованно необходима для заключения и надлежащего исполнения обязательств по договорам АО «Джи Экс Ту Инвест» с контрагентами
Проектирование, разработка, тестирование, внедрение, развитие, сопровождение, администрирование, техническая поддержка информационных систем, а также интернет-сервисов АО «Джи Экс Ту Инвест» * обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных * обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных * • обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных * • обработка персональных данных необходима для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей * Сотрудники * Клиенты * Потенциальные клиенты * Представители клиентов * Выгодоприобретатели * Представители выгодоприобретателей * Пользователи интернет-сервисов АО «Джи Экс Ту Инвест» * ФИО * Год, месяц, дата рождения * Место рождения * ИНН * Адрес электронной почты * Контактные номера телефонов * Номера счетов в АО «Джи Экс Ту Инвест», а также сведения о состоянии счетов и поступлениях на счета * Финансовая информация * Идентификаторы (ID), которые присваиваются пользователям интернет-сервисов/клиентам в различных информационных системах АО «Джи Экс Ту Инвест» * Иные персональные данные, обработка которых обоснованно необходима для проектирования, разработки, тестирования, внедрения, сопровождения, администрирования, технической поддержки информационных систем, а также интернет-сервисов АО «Джи Экс Ту Инвест»
Сбор и последующая обработка пользовательских данных (в т.ч. файлов Cookie) для: * Обеспечения нормального функционирования интернет-сервисов АО «Джи Экс Ту Инвест» * адаптации функционала интернет-сервисов АО «Джи Экс Ту Инвест» к интересам и предпочтениям пользователей (улучшение пользовательского опыта) * отображения рекламных и информационных материалов, соответствующих интересам и предпочтениям пользователей интернет-сервисов АО «Джи Экс Ту Инвест» * обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных * Пользователи интернет-сервисов АО «Джи Экс Ту Инвест» * Пользовательские и технические данные, собираемые посредством различных метрических программ (в т.ч. файлы Cookie)
Организация архивного хранения документов и материалов, которые формируются в процессе осуществления АО «Джи Экс Ту Инвест» своей деятельности (внутренняя организационно-распорядительная, кадровая, финансовая и бухгалтерская документация, документация, которая формируется в процессе взаимодействия АО «Джи Экс Ту Инвест» с клиентами, контрагентами, сотрудниками и пр.) * обработка персональных данных необходима для осуществления и выполнения возложенных законодательством РФ на оператора функций, полномочий и обязанностей (Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»; Приказ Росархива от 20.12.2019 № 236 «Об утверждении Перечня типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения») * обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных * Сотрудники * Бывшие сотрудники * Клиенты * Представители клиентов * Выгодоприобретатели и представители выгодоприобретателей * Бенефициарные владельцы * Контрагенты и представители контрагентов * ФИО * Год, месяц, дата рождения * Адрес (фактический/по месту регистрации) * Должность * ИНН * СНИЛС * Данные документа, удостоверяющего личность * Номера счетов в АО «Джи Экс Ту Инвест», а также сведения о состоянии счетов и поступлениях на счета * Финансовая информация * Иные персональные данные, содержащиеся в документах и материалах, которые подлежат передаче на архивное хранение

Приложение 2

Журнал учета обращений, запросов субъектов персональных данных

Дата поступления обращения/запроса Субъект персональных данных/представитель Содержание обращения/ запроса Итоги рассмотрения обращения/запроса Дата принятия решения по обращению/запросу Примечание