1. Применение
1.1. Предназначение
В настоящей Политике излагаются ключевые принципы Защиты Персональных данных и Обработки Персональных данных, применимые к ООО «КИСЛОВСКИЙ» (далее – КИСЛОВСКИЙ).
В качестве работодателя, клиента и поставщика каждый участник КИСЛОВСКИЙ осуществляет сбор и использует персональные данные работников, деловых партнеров, клиентов, потенциальных клиентов и т.п. Хотя работа с такими персональными данными является необходимым условием осуществления нашей деятельности, КИСЛОВСКИЙ понимает, что защита личных прав и неприкосновенности частной жизни каждого человека составляет основу доверия во всех отношениях. Именно по этой причине КИСЛОВСКИЙ намерена организовать наиболее оптимальным образом защиту и Обработку Персональных данных.
Для КИСЛОВСКИЙ крайне важно выполнять требования к Защите Персональных данных в стране осуществления ее хозяйственной деятельности и проживания субъектов Данных. Все участники КИСЛОВСКИЙ обязаны выполнять местные требования, предъявляемые во всех странах мира к контролю и обработке персональных данных.
С настоящей Политикой должны быть ознакомлены все работники, которые обязаны соблюдать положения Политики и выполнять ее требования. Кроме того, Политика применима к контрагентам, а также лицам, совершающим сделки с КИСЛОВСКИЙ и имеющим или способным получить доступ к Персональным данным. Такие контрагенты должны ознакомиться, уяснить и выполнять положения настоящей Политики.
1.2. Сфера применения и обязательные юридические требования
Правила защиты данных, действующие в ЕС (Положение (ЕС) 2016/679 ("Общее положение о защите данных" или "GDPR"), являются строгими и применяются на гармонизированной основе на всей территории ЕС. Сфера применения GDPR выходит за пределы ЕС, поскольку это положение применимо также к участникам КИСЛОВСКИЙ, учрежденным за пределами ЕС, если субъект Данных является резидентом ЕС.
Соответствующие местные нормативно-правовые акты имеют преимущественную силу в случае, если они противоречат настоящей Политике защиты Данных или содержат более строгие требования, по сравнению с настоящей Политикой защиты Данных. Примерами местных нормативно-правовых актов, которыми должна руководствоваться КИСЛОВСКИЙ, являются:
- Федеральный закон № 152-ФЗ "О персональных данных" 2006 года;
- Указ Президента Российской Федерации от 06 марта 1997 г. № 188 «Об утверждении Перечня сведений конфиденциального характера»;
- Постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
- Постановление Правительства Российской Федерации от 06 июля 2008 г. № 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;
- Постановление Правительства Российской Федерации от 01 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
Постановление Правительства Российской Федерации от 29.06.2021 № 1046 "О федеральном государственном контроле (надзоре) за обработкой персональных данных"

2. Общие положения
2.1. Цели Политики
Основными целями Политики являются:
- Защита прав и свобод всех субъектов Данных и их информирование об этом;
- Соблюдение правил обработки Персональных данных;
- Предотвращение любых нарушений обработки Персональных данных и проблем с безопасностью в целом;
- Повышение осведомленности о режиме защиты Персональных данных в целом.
2.2. Принципы Политики
Вся обработка Персональных данных должна осуществляться в соответствии с принципами Защиты Данных, указанными в GDPR. Политика и процедуры КИСЛОВСКИЙ призваны обеспечить соблюдение указанных принципов.
Вкратце, мы сотрудники КИСЛОВСКИЙ обязуемся выполнять следующие принципы:
- Принцип объективности и законности: мы обязуемся обрабатывать персональные данные лишь при условии, что субъект данных был проинформирован об этом и имеются правовые основания для обработки.
- Принцип ограничения цели: мы осуществляем обработку персональных данных лишь для достижения четко обозначенных и законных целей и не обрабатываем такие данные в форме, не совместимой с этими целями.
- Принцип минимального объема данных: мы обрабатываем лишь персональные данные, являющиеся достаточными, соответствующими цели и ограниченными объемом, необходимым для целей, которые ставятся при обработке таких данных.
- Принцип точности: мы обрабатываем лишь те данные, которые являются точными и, если необходимо, актуальными. Мы принимаем все разумные меры для того, чтобы обеспечить незамедлительное уничтожение или исправление персональных данных, являющихся неточными.
- Принцип ограничения обработки: мы содержим все персональные данные в форме, позволяющей идентифицировать субъекты Данных в течение периода, не превышающего то время, которое необходимо для целей, в которых осуществляется обработка персональных данных.
- Принцип обеспечения безопасности: мы осуществляем обработку данных лишь в форме, обеспечивающей надлежащую безопасность, включая защиту от несанкционированной или незаконной обработки и от случайной потери, уничтожения или изменения, с применением всех необходимых мер технического или организационного характера.
- Принцип подотчетности: мы несем ответственность и должны быть способны продемонстрировать в любое время выполнение вышеуказанных принципов защиты данных представителям компетентных органов или субъектам данных.

3. Меры по защите данных
Готовность КИСЛОВСКИЙ реализовать на практике указанные выше принципы Защиты Данных подтверждают следующие принятые нами меры:
3.1. Законность и объективность обработки
КИСЛОВСКИЙ обеспечивает объективность и законность сбора и обработки данных. Мы принимаем все разумные меры для того, чтобы персональные данные были актуальными, точными и хранились лишь в течение заранее установленного периода времени.
КИСЛОВСКИЙ обеспечивает, чтобы, в зависимости от категории, к которой относится субъект Данных, собранные данные использовались лишь на основе указанных выше принципов объективности и законности.
3.2. Данные работников
Под данными работников понимаются все данные, обрабатываемые любым участником КИСЛОВСКИЙ, которые относятся к работникам и (при необходимости) их супругам. В то же время понятие "данные работников" шире, чем просто персональные данные действующих работников. Существуют и другие категории данных, относящихся к работе по найму, например, данные работников, уволенных работников, вышедших на пенсию, и лиц, подавших заявления о приеме на работу.
1. Правовые основания для деятельности по обработке
В отношениях между работодателем и работником подавляющая часть деятельности по обработке данных юридически обоснована необходимостью выполнения договора: участники КИСЛОВСКИЙ не могли бы надлежащим образом выполнить свои обязательства по своим трудовым договорам, если бы они были лишены возможности обрабатывать данные своих работников.
Юридическим основанием некоторой деятельности по обработке данных является юридическое обязательство обрабатывать определенные персональные данные работников, например, для целей социальной защиты, страхования, выплаты должностных окладов и т.п.
Каждый работник КИСЛОВСКИЙ почти во всех случаях может также полагаться на законные интересы обработки персональных данных, исходя из потребностей надлежащего функционирования предприятия (например, когда КИСЛОВСКИЙ не имеет трудового договора с претендентами на занятие должностей, но КИСЛОВСКИЙ на законных основаниях заинтересована в оценке потенциальных кандидатов, в частности, когда они подают в КИСЛОВСКИЙ заявления о приеме на работу).
КИСЛОВСКИЙ несет исключительную ответственность за определение законности оснований для деятельности по обработке данных.
2. Объективность обработки
Обработка данные работников основывается на следующих принципах:
- Минимальный объем: КИСЛОВСКИЙ обеспечивает ограничение обрабатываемых данных работников минимально необходимым объемом.
- Точность: КИСЛОВСКИЙ обеспечивает регулярную актуализацию данных всех работников на уровне организации и возможность для каждого работника в любое время потребовать исправления любых неправильных данных.
- Ограничение периода хранения: данные всех работников обрабатываются в течение срока действия трудового договора. После прекращения действия трудового договора большая часть данных уничтожается, с учетом установленного периода их сохранения, если иное не предусмотрено законом или субъект данных не предоставил свое недвусмысленное согласие на сохранение своих данных в деле для дальнейшей конкретной деятельности по обработке.
- Безопасность: Все персональные данные обрабатываются в безопасной форме. Например, доступ к данным ограничивается служебной необходимостью, данные КИСЛОВСКИЙ часто обезличиваются при их передаче третьим сторонам и т.п.
- Обработка данных ограниченного доступа: такие данные, например, отражающие расовое или этническое происхождение, политические взгляды, религиозные или философские воззрения, членство в профсоюзных организациях, состояние здоровья и особенности частной жизни субъекта данных, обрабатываются с применением необходимых дополнительных мер предосторожности.
- КИСЛОВСКИЙ сводит к минимуму объемы автоматизированной обработки персональных данных. В том случае, если персональные данные обрабатываются автоматически в рамках трудовых отношений, и производится оценка конкретных персональных сведений (например, в рамках подбора персонала или оценки навыков), такая автоматизированная обработка не может быть исключительной основой для принятия решения, которое может иметь отрицательные последствия или создать значительные проблемы для соответствующего работника.
КИСЛОВСКИЙ несет исключительную ответственность за объективность обработки данных работников.
3.3. Данные контрагентов
Под данными контрагентов понимаются персональные данные клиентов, контрагентов, заказчиков, деловых партнеров, посетителей вэб-сайта, корпоративного портала, закрытой части сайта kislovsky.ru и т.п. Хотя эти данные всегда представляют собой профессиональный данные, т.е. обработка данных ограниченного доступа в таких случаях не осуществляется, каждый адрес электронной почты или телефонный номер рассматривается в качестве персональных данных.
1. Правовые основания для деятельности по обработке
В рамках договорных отношений обработка данных в подавляющем большинстве случаев юридически обоснована необходимостью выполнения договора: КИСЛОВСКИЙ не могла бы надлежащим образом выполнить обязательства по своим договорам, если бы она была лишена возможности обрабатывать соответствующие данные.
КИСЛОВСКИЙ практически во всех случаях может полагаться на законную заинтересованность в обработке персональных данных, поскольку это необходимо для обеспечения надлежащего функционирования предприятия.
Насколько данные Контрагентов контролируются КИСЛОВСКИЙ — это означает, что КИСЛОВСКИЙ определяет цели и средства обработки данных, КИСЛОВСКИЙ отвечает за правовое обоснование деятельности по обработке.
2. Объективность обработки
Обработка данных контрагентов, дополнительно к принципам, указанным в пункте 3.2. основывается на следующих принципах:
- В случае обработки сбор данных контрагентов осуществляется через вэб-сайт arbat.hotelvremenagoda.ru в том числе ее закрытой части и онлайн-инструменты: в том случае, если сбор, обработка и использование персональных данных осуществляются на вэб-сайте, субъекты данных должны быть проинформированы об этом в форме заявления о защите неприкосновенности частной жизни и, в применимых случаях, информации об идентификационных файлах. Заявление о защите неприкосновенности частной жизни и любая информация об идентификационных файлах должны быть объединены таким образом, чтобы субъекты данных могли легко найти их с возможностью прямого и непротиворечивого доступа.
- Насколько мы создаем на нашем вэб-сайте arbat.hotelvremenagoda.ru и его закрытой части, профили пользователей (ведем учет), субъекты данных всегда должны быть проинформированы об этом в заявлении о защите неприкосновенности частной жизни. Персональный учет может осуществляться лишь в том случае, если это разрешено национальным законодательством, или с согласия субъекта Данных.
- В том случае, если доступ с вэб-сайта или из приложения к персональным данным в той или иной области ограничивается кругом зарегистрированных пользователей, идентификация и отождествление субъекта Данных обеспечивает дополнительную защиту доступа.
Насколько КИСЛОВСКИЙ выступает в качестве Контролера данных контрагентов - КИСЛОВСКИЙ отвечает за определение правовых оснований для деятельности по обработке данных.
3.4. Согласие
Насколько КИСЛОВСКИЙ полагается на согласие в качестве правового основания для обработки, применяются следующие условия:
- Заявления о согласии должны делаться добровольно, в письменном виде и в соответствии с нормативно-правовыми требованиями. Любое согласие, не отвечающее этим условиям, не имеет юридической силы. Заявление о согласии должно быть предоставлено в письменном виде или в электронной форме с документальным оформлением. До предоставления согласия субъект Данных информируется об объеме деятельности по обработке. Субъект Данных вправе отозвать свое согласие в любое время.
В отношении данных ограниченного доступа должно быть получено прямое письменное согласие от субъекта Данных, если четкие альтернативные правовые основания для такой обработки отсутствуют.
В большинстве случаев согласие на обработку Персональных и данных ограниченного доступа получается КИСЛОВСКИЙ в установленном порядке на основе стандартных документов о предоставлении согласия.

4. Защита прав субъектов данных
Каждый сотрудник КИСЛОВСКИЙ должен обеспечить, чтобы субъект данных, Персональные данные которого обрабатываются КИСЛОВСКИЙ, имел возможность воспользоваться следующими индивидуальными правами.
4.1. Право на получение информации:
Если Субъект персональных данных недвусмысленно требует предоставления информации, КИСЛОВСКИЙ должен предоставить субъекту данных информацию о его обработанных Персональных данных в краткой, прозрачной, ясной и легко доступной форме. Кроме того, КИСЛОВСКИЙ оставляет за собой право отклонить просьбу о предоставлении информации, если субъект данных уже имеет информацию или это может потребовать непропорционально больших усилий.
По соответствующему требованию КИСЛОВСКИЙ должен предоставить следующую информацию: 1) название и контактные реквизиты организации, 2) цели обработки, 3) правовые основания для обработки; 4) категории полученных Персональных данных; 5) получатели или категории получателей персональных данных, 6) сведения о передаче Персональных данных в любые третьи страны или международные организации (в применимых случаях), 7) периоды сохранения персональных данных, 8) права, предоставляемые субъектам данных в связи с обработкой, 9) право отозвать согласие (в применимых случаях), 10) право направить жалобу в надзорный орган.
4.2. Право доступа
В целях обеспечения осведомленности субъектов данных о законности деятельности по обработке и ее проверки КИСЛОВСКИЙ предоставляет им право на получение подтверждения того, что данные субъекта данных обрабатываются; доступ к персональным данным; и необходимую дополнительную информацию. Форма доступа подлежит взаимному согласованию.
4.3. Право на исправление:
В том случае, если КИСЛОВСКИЙ обрабатывает неточные или неполные персональные данные, субъект данных вправе потребовать исправления или дополнения данных. В этой связи КИСЛОВСКИЙ оставляет за собой право отказать в просьбе об исправлении, если это разрешено применимым положением.
4.4. Право на удаление и право на ограничение обработки:
Субъекты данных вправе удалить свои Персональные данные из документации КИСЛОВСКИЙ, если
1) в Персональных данных отсутствует дальнейшая необходимость для целей, в которых они первоначально собирались или обрабатывались;
2) КИСЛОВСКИЙ полагался исключительно на согласие в качестве правового основания для хранения данных, и субъект данных отозвал свое согласие;
3) КИСЛОВСКИЙ полагается исключительно на законные интересы в качестве основания для обработки, и субъект данных возражает против обработки своих данных при отсутствии приоритетного законного интереса, который мог бы обосновать продолжение такой обработки;
5) КИСЛОВСКИЙ обрабатывал Персональные данные незаконно.
В качестве альтернативы требованию об удалении персональных данных субъект данных вправе потребовать от КИСЛОВСКИЙ ограничить обработку своих Персональных данных хранением данных, но не использовать их иным образом. Такое ограничение может быть запрошено в следующих случаях:
1) субъект данных оспаривает точность своих Персональных данных и КИСЛОВСКИЙ при этом проверяет точность данных;
2) данные обрабатывались незаконно, но субъект данных выступает против их удаления и требует лишь ограничения их обработки;
3) КИСЛОВСКИЙ более не нуждается в Персональных данных, но субъекту данных необходимо сохранять Персональные данные для целей обоснования, возбуждения или защиты от судебного иска;
4) субъект данных возражает против обработки данных КИСЛОВСКИЙ, но участник при этом ищет законные основания, которые имели бы преимущественную силу по отношению к доводам, которые приводятся субъектом данных.
4.5. Право на выдвижение возражений:
В том случае, если субъект данных возражает против обработки своих Персональных данных на "основаниях, касающихся его конкретных обстоятельств", субъект данных вправе возразить против:
1) обработки, исходя из своих законных интересов;
2) прямого маркетинга (включая указание на биографические данные).
В этом случае КИСЛОВСКИЙ обязан прекратить обработку Персональных данных, если:
1) он не сможет продемонстрировать наличие других законных оснований, обосновывающих право на обработку и имеющих преимущественную силу по сравнению с интересами, правами и свободами субъекта данных;
2) обработка не осуществляется для целей обоснования, возбуждения или защиты от судебных исков.
Все требования об использовании указанных выше прав должны направляться ответственному за защиту данных. Если применимым нормативно-правовым актом не разрешено иное, каждое требование должно быть оформлено в письменном виде.
Если тем или иным применимым нормативно-правовым актом не предусмотрено иное, ответ на каждое требование должен быть направлен не позднее 30 дней после получения письменного требования от субъекта данных. Соответствующая проверка должна подтвердить, что лицо, обратившееся с требованием, является субъектом данных или его уполномоченным законным представителем.
Если тем или иным применимым нормативно-правовым актом не предусмотрено иное, каждое требование выполняется бесплатно, если оно не будет сочтено необоснованным или излишним по своему характеру.

5. Безопасность Персональных данных
КИСЛОВСКИЙ обязуется выполнять требования передовой практики отрасли в отношении безопасности информационных технологий.
Кроме того, КИСЛОВСКИЙ приняла физические, технические и организационные меры по обеспечению безопасности персональных данных. Это включает предотвращение потери или повреждения, несанкционированного изменения, доступа или обработки и иных рисков, которым они могут быть подвержены в результате действий персонала, физического воздействия или воздействия внешних условий.
Минимально необходимыми меры:
Все Персональные данные должны рассматриваться в качестве данных, требующих применения максимально строгих средств защиты и должны содержаться:
- в запираемом помещении с контролируемым доступом; и/или
- в запираемом шкафу или сейфе для хранения документов; и/или
- в случае, если они представлены в компьютеризированной форме, должны быть защищены паролем в соответствии с корпоративными требованиями; и/или
- должны храниться на (съемном) компьютерном носителе информации в зашифрованном виде.
Документация в бумажном виде не должна оставляться в местах, в которых она может попасть в руки персонала, не имеющего разрешения на ее использование, и не должна выноситься из хозяйственных помещений без специального разрешения. После того, как дальнейшая потребность в бумажной документации для повседневной поддержки клиентов отпадет, она должна быть удалена из архива.
Персональные данные могут быть удалены или уничтожены лишь после утверждения руководителем возможности уничтожения.
КИСЛОВСКИЙ должна обеспечить, чтобы Персональные данные не раскрывались лицам, не имеющим соответствующего разрешения, включая членов семьи, друзей, государственные органы, если законом не предусмотрено иное. Все требования о предоставлении данных по одной из этих причин должны быть подтверждены соответствующими документами, и любое раскрытие информации такого рода должно быть специально разрешено Ответственным за защиту данных.
КИСЛОВСКИЙ обеспечивает, чтобы все работники соблюдали требования настоящей Политики. Кроме того, КИСЛОВСКИЙ гарантирует, что все работники, отвечающие за реализацию Политики, будут иметь надлежащий уровень подготовки, информирования и поддержки.

6. Нарушение обработки Персональных данных
Под нарушением обработки Персональных данных понимается нарушение безопасности, ведущее к случайному или незаконному уничтожению, потере, изменению, несанкционированному раскрытию или доступу к Персональным данным, переданным, хранящимся или обрабатываемым иным образом. Это может иметь форму инцидента технического или физического характера. С учетом того, что нарушение обработки всегда является полным сюрпризом, КИСЛОВСКИЙ принял все разумные меры для предотвращения того, чтобы нарушение обработки персональных данных не привело к катастрофе.
КИСЛОВСКИЙ имеет надежные процедуры выявления, расследования и информирования о случаях нарушения обработки. КИСЛОВСКИЙ ведет реестр нарушений обработки данных, в который заносятся сведения обо всех фактах нарушения обработки Персональных данных, последствиях нарушения обработки, предпринимаемых усилиях и мерах по устранению нарушений.
В случае нарушения обработки данных, принимаются следующие меры:
- Все работники должны немедленно информировать своего непосредственного руководителя о случаях нарушения настоящей Политики или иных положений о защите персональных данных. После этого непосредственный начальник должен проинформировать ответственного за защиту данных и руководителя компании.
- Ответственные за защиту данных принимают решение о том, приводит ли инцидент нарушения Защиты Данных к фактическому нарушению обработки персональных данных. Например, потеря USB-накопителя, кража портативного компьютера, заражение вирусом или взлом базы данных, содержащей персональные данные, рассматриваются в качестве случаев нарушения обработки персональных данных. Угроза или упущение в системе защиты, например, слабые пароли или устаревшие брандмауэры, не считаются нарушением обработки персональных данных, если не произошла утечка персональных данных.
- В том случае, если инцидент нарушения Защиты Данных действительно привел к нарушению обработки персональных данных, Ответственные за защиту данных должны расследовать объем нарушения обработки. Необходимо расследовать объем нарушения обработки персональных данных, возможное количество пострадавших субъектов Данных, возможность того, что нарушение обработки может привести к нарушению прав и свобод субъектов Данных, содержат ли нарушенные персональные данные ограниченного доступа, были ли нарушенные данные защищены (зашифрованы и т.п.), вовлечены ли в нарушение обработки данных другие стороны и меры, которые следует принять для предотвращения (дальнейшей) потери Персональных данных.
- На основании указанной оценки Ответственные за защиту данных должны принять решение относительно необходимости проинформировать соответствующий надзорный орган, и Субъект Данных должен быть проинформирован о нарушении обработки. В уведомлении надзорного органа нет необходимости, если нарушение обработки Персональных данных едва ли угрожает индивидуальным правам и свободам.
- В том случае, если требуется уведомление о нарушении обработки персональных данных, КИСЛОВСКИЙ уведомляет компетентный надзорный орган и предоставляет ему всю необходимую информацию в течение 72 часов после того, как ей станет известно о таком нарушении.
- В том случае, если нарушение обработки персональных данных сопряжено с ''высоким риском'' для индивидуальных прав и свобод, КИСЛОВСКИЙ должна немедленно уведомить соответствующих лиц. Под ''высоким риском'' понимается ситуация, когда порог уведомления физических лиц выше порога уведомления соответствующего надзорного органа. В том случае, если уведомление физических лиц требует несоразмерных усилий, КИСЛОВСКИЙ может использовать ту или иную форму публичного информирования при условии, что эта форма позволит проинформировать в равной мере всех заинтересованных лиц.
- Для обеспечения высокого уровня наглядности и прозрачности каждый участник КИСЛОВСКИЙ обязан отразить документально все инциденты нарушения Защиты Данных (независимо от информирования о них), включая факты, относящиеся к нарушению, его последствия и принятые или планируемые меры. Вся указанная документация требуется надзорному органу для целей подтверждения выполнения требований уведомления. Все факты, касающиеся нарушения обработки данных, должны быть обобщены в специальной форме "Реестр нарушений обработки данных".

7. Хранение и уничтожение данных
Обработка Персональных данных не должна осуществляться дольше, чем это необходимо для целей такой обработки.
КИСЛОВСКИЙ установило следующие категории персональных данных:

1. Бухгалтерский учет и финансы
2. Договоры
3. Корпоративная документация
4. Переписка и внутренние информационные материалы
5. Электронная почта и иная электронная корреспонденция
6. Юридические дела и документация
7. Документация по вопросам заработной платы
8. Документация по вопросам пенсий
9. Документация по кадровым вопросам
10. Документация по налоговым вопросам

В любом случае все персональные данные должны храниться в течение минимального периода, позволяющего КИСЛОВСКИЙ возбуждать иски или осуществлять защиту в суде в соответствии с требованиями местного законодательства.

8. Обучение персонала
КИСЛОВСКИЙ обеспечивает, чтобы все работники, имеющие доступ к Персональным данным, прошли вводную подготовку по вопросам выполнения своих обязанностей, предусмотренных настоящей Политикой. Кроме того, КИСЛОВСКИЙ должен обеспечить регулярное обучение своих работников   по
вопросам Защиты Данных и предоставлять им рекомендации по процедурным вопросам.
Ответственный за защиту данных отвечает за организацию необходимого обучения всех Работников. Формы такого обучения могут различаться в зависимости от целевой аудитории, количества работников, проходящих обучение, целей обучения и иных обстоятельств.
Обучение должно осуществляться на регулярной основе.

9. Документация, связанная с деятельностью по обработке
КИСЛОВСКИЙ имеет реестр, отражающий все Персональные данные, которые она обрабатывает и контролирует, и вносит их в реестр данных.
Указанный реестр данных обеспечивает выполнение КИСЛОВСКИЙ ряда важнейших требований, касающихся подотчетности, согласно GDPR:
- Ведение учета всей деятельности по обработке;
- Ведение учета договоров с центрами обработки данных;
- Ведение учета нарушений обработки данных, включая уведомления о нарушениях, направляемые надзорным органам и субъектам данных.
Реестр содержит следующие сведения о деятельности по обработке:
- наименование и контактные реквизиты КИСЛОВСКИЙ
- цели деятельности по обработке;
- описание категорий субъектов данных и категорий персональных данных;
- категории получателей, которым Персональные данные были или будут раскрыты, включая получателей их третьих стран или международных организаций;
- в применимых случаях - передача Персональных данных в третью страну или международной организации, включая идентификационные сведения о такой третьей стране или международной организации;
- по возможности - предполагаемые сроки уничтожения различных категорий данных;
- по возможности - общее описание технических и организационных мер защиты, принятых КИСЛОВСКИЙ.

10. Ответственные за защиту данных
10.1. Ответственные за защиту данных
Ответственный за защиту данных назначается и освобождается от должности генеральным директором.  В том случае, если ответственный за защиту данных не назначается, функции ответственного за защиту данных выполняются генеральным директором.
Ответственным за защиту данных КИСЛОВСКИЙ является генеральный директор.
10.2. Обязанности Ответственных за защиту данных
Ответственный за защиту данных назначается с учетом его профессиональных качеств, и в частности экспертных знаний в области законодательства и практики защиты персональных данных и способности выполнять следующие обязанности Ответственного за защиту данных:
- предоставление руководству КИСЛОВСКИЙ рекомендаций по вопросам Политики и оказание ему помощи в связи со значительными угрозами, факторами, вызывающими озабоченность, и проблемами в сфере Защиты Данных в случае их возникновения;
- создание и обеспечение функционирования высококачественной Системы Защиты данных;
- обеспечение наличия соответствующих процедур и политик КИСЛОВСКИЙ для сохранения точности и актуальности Персональных данных, с учетом объема собранных данных, скорости их возможного изменения и любых других соответствующих факторов;
- осуществление регулярной подготовки персонала по вопросам Защиты данных, предоставление пояснений по соответствующим вопросам и проблемам;
- информирование и предоставление рекомендаций работникам КИСЛОВСКИЙ, осуществляющим обработку, в отношении их обязанностей, установленных в соответствии с настоящей Политикой;
- мониторинг выполнения требований настоящей Политики и проведение аудита;
- предоставление, по соответствующей запросу, рекомендаций по вопросам оценки последствий для Защиты данных и мониторинга ее эффективности;
- мониторинг и анализ изменений, вносимых в применимое законодательство;
- анализ сроков хранения всех Персональных данных, обрабатываемых КИСЛОВСКИЙ, и выявление любых данных, дальнейшая потребность в которых для заявленной цели отсутствует;
- принятие соответствующих мер в случаях, когда контрагенту могут быть переданы неточные или неактуальные персональные данные, информирование их о том, что информация является неточной и/или неактуальной и не должна использоваться в качестве основы для принятия решений относительно соответствующих лиц; и внесение любых исправлений в Персональные данные, предоставляемые контрагенту, если это необходимо;
- анализ размера возможного ущерба или убытков, которые могут быть нанесены физическим лицам (например, работникам или контрагенту) в случае нарушения безопасности, воздействия любого нарушения безопасности на КИСЛОВСКИЙ и любого возможного репутационного ущерба, включая возможную потерю доверия клиентов.

11. Управление Политикой
11.1. Ответственность
КИСЛОВСКИЙ несет исключительную ответственность за выполнение требований настоящей Политики, своих юридических обязательств и надлежащую обработку персональных данных. Выполнение требований Политики является обязательным для работников, связанных с данными процессами.
КИСЛОВСКИЙ вправе принимать положения, дополняющие или отклоняющиеся от положений настоящей Политики. Такие положения требуют одобрения Ответственным за защиту данных КИСЛОВСКИЙ.
11.2. Средства контроля
КИСЛОВСКИЙ гарантирует, что выполнение требований Политики или информирование о любых совершенных или потенциальных нарушениях не приведет к любым негативным последствиям для работника, предоставившего такую информацию. В то же время КИСЛОВСКИЙ должна осуждать любые действия работников, совершенные в нарушение требований Политики.
КИСЛОВСКИЙ исходит из того, что должен существовать "Система сообщения о нарушениях и несоответствиях", и предполагает, что работники будут сообщать о любых случаях нарушения или потенциального нарушения Политики.
КИСЛОВСКИЙ оставляет за собой право периодически проверять знания работников по вопросам защиты персональных данных, контролировать выполнение и соблюдение требований настоящей Политики и анализировать ее эффективность.
11.3. Конфиденциальность
На Персональные данные распространяются обязательства по сохранению конфиденциальности.
В том случае, если в некоторых обстоятельствах разрешается предоставление персональных данных без знания или согласия со стороны Субъекта Данных. Это положение применяется в случаях, когда раскрытие Персональных данных необходимо по любой из следующих причин:
- предотвращение или выявление преступления.
- задержание или преследование правонарушителей.
- исчисление или сбор налога или сбора.
- по постановлению суда или в соответствии с любой нормой закона.
В том случае, если любой КИСЛОВСКИЙ обрабатывает персональные данные для любых из этих целей, он вправе воспользоваться исключением из своего обязательства сохранять конфиденциальность, но лишь в той степени, в которой невыполнение этого положения может нанести ущерб в рассмотрении соответствующего вопроса.
11.4. Пересмотр Политики
Настоящая Политика пересматривается на регулярной основе, но не реже одного раза в год, с целью обеспечения сохранения актуальности Политики и ее соответствия всем применимым правилам и требованиям законодательства.
11.5. Жалобы и вопросы
Все вопросы, касающиеся настоящей Политики и приложений к ней, могут направляться Ответственному за защиту данных.
Субъекты Данных, намеревающиеся направить жалобу по поводу обработки своих персональных данных, должны обращаться в письменном виде к Ответственному за защиту данных. Расследование жалобы должно быть проведено по существу в каждом конкретном случае надлежащим образом. Ответственный за защиту данных должен информировать субъект Данных о ходе и результате рассмотрения жалобы в разумные сроки.
В том случае, если проблема не может быть решена по договоренности между субъектом Данных и Ответственным за защиту данных, субъект Данных вправе, по своему усмотрению, прибегнуть к процедуре посредничества, арбитража, судебному разбирательству или передать жалобу в соответствующий орган по обеспечению защиты данных соответствующей юрисдикции.