ГЛАВА 6
ПЕРЕЧЕНЬ ДЕЙСТВИЙ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ
И СПОСОБЫ ИХ ОБРАБОТКИ
6.1. ООО «Маяна Трэвел» осуществляет обработку персональных данных (любое действие или совокупность действий, совершаемых с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных).
6.2. Обработка персональных данных в ООО «Маяна Трэвел» осуществляется смешанным путем:
— неавтоматизированным способом обработки персональных данных;
— автоматизированным способом обработки персональных данных (с помощью ПЭВМ и специальных программных продуктов).
6.3. Все действия по неавтоматизированной обработке персональных данных осуществляются только должностными лицами, допущенными к работе с персональными данными, и только в объеме, необходимом данным лицам для выполнения своей трудовой функции. Работники, осуществляющие обработку персональных данных без использования средств автоматизации, информируются (в том числе, путем ознакомления с настоящей Политикой) о факте обработки ими персональных данных, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных законодательством, в том числе Законом Республики Беларусь «О персональных данных» и настоящей Политикой.
6.4. При обработке персональных данных на материальных носителях не допускается фиксация на одном материальном носителе тех данных, цели обработки которых заведомо не совместимы.
6.5. Администратор или специалист по работе с клиентами при обработке запросов с сайта обрабатывает и вносит предоставленные клиентом общедоступные персональные данные в базу клиентов. Также при заключении договоров администратор или специалист по работе с клиентами обрабатывает общедоступные персональные данные, предоставленные клиентом и вносит их в базу клиентов. Экономист обрабатывает общедоступные персональные данные, предоставленные клиентом или работником организации, для выполнения своих должностных обязанностей.
6.6. Обработка персональных данных в ООО «Маяна Трэвел» осуществляется с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством Республики Беларусь в области персональных данных.
6.7. ООО «Маяна Трэвел» без согласия субъекта персональных данных не раскрывает третьим лицам и не распространяет персональные данные, если иное не предусмотрено законодательством Республики Беларусь.
6.8. ООО «Маяна Трэвел» вправе поручить обработку персональных данных от своего имени или в своих интересах уполномоченному лицу на основании заключаемого с этим лицом договора. Договор должен содержать:
— цели обработки персональных данных;
— перечень действий, которые будут совершаться с персональными данными уполномоченным лицом;
— обязанности по соблюдению конфиденциальности персональных данных;
— меры по обеспечению защиты персональных данных в соответствии со ст. 17 Закона от 07.05.2021 № 99-З «О защите персональных данных».
6.9. Уполномоченное лицо не обязано получать согласие субъекта персональных данных. Если для обработки персональных данных по поручению ООО «Маяна Трэвел» необходимо получение согласия субъекта персональных данных, такое согласие получает ООО «Маяна Трэвел».
6.10. Организация обеспечивает ограничение доступа к персональным данным клиентов и работников лицам, не уполномоченным законодательством Республики Беларусь, либо организацией для получения соответствующих сведений.
6.11. Доступ к персональным данным клиентов и работников без специального разрешения имеют только должностные лица организации, допущенные к работе с персональными данными клиентов и работников приказом руководителя. Данным категориям работников в их должностные обязанности включается пункт об обязанности соблюдения требований по защите персональных данных и их ответственности.
6.12. Доступ к персональным данным предоставляется только тем работникам Организации, служебные обязанности которых предполагают работу с персональными данными, и только на период, необходимый для работы с соответствующими данными. К таким лицам относятся
— руководитель Организации и его заместители при выполнении своих должностных обязанностей;
— лица, осуществляющие ведение бухгалтерского учета в организации, в пределах исполнения обязанностей по заключенным договорам.
— лица, осуществляющие правовую и кадровую работу в организации, в пределах исполнения обязанностей по заключенным договорам.
— сотрудники, занимающие должности, непосредственно связанные с работой с персональными данными клиента (администратор, специалист по работе с клиентами, администратор системный, экономист), в пределах исполнения своих должностных обязанностей.
— сам работник организации.
6.13. Право доступа к личным делам работника имеет только руководитель организации и лицо, осуществляющее кадровую работу в организации.
6.14. В случае возникновения необходимости предоставить доступ к персональным данным работникам, не входящих в перечень лиц с доступом к персональным данным, им может быть предоставлен временный доступ к ограниченному кругу персональных данных по распоряжению директора общества или иного лица, уполномоченного на это директором общества. Соответствующие работники должны быть ознакомлены под роспись с настоящей Политикой, со всеми ЛПА организации в области персональных данных, с законом Республики Беларусь «О защите персональных данных», а также должны подписать обязательство о неразглашении персональных данных.
6.15. Работникам организации, не имеющим надлежащим образом оформленного допуска, доступ к персональным данным запрещается.
6.16. Персональные данные клиентов и работников хранятся на бумажных носителях и в электронном виде.
6.17. Хранение персональных данных клиентов и работников осуществляется в форме, позволяющей идентифицировать субъекта персональных данных, но не дольше, чем этого требуют цели их обработки, если иной срок не установлен законодательством Республики Беларусь или договором, стороной которого является субъект персональных данных, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.
6.18. Хранение документов, содержащих персональные данные клиентов и работников, осуществляется в течение установленных действующими нормативными актами сроков хранения данных документов либо в течении срока, указанного в этих документах. По истечении установленных сроков хранения документы подлежат уничтожению.
6.19. Документы, включающие в себя персональные данные, содержащиеся на бумажных носителях, находятся в специально отведенных для этого местах (запираемые на ключ шкафы) с ограниченным доступом в условиях, которые обеспечивают их защиту от несанкционированного доступа. Перечень мест хранения документов определяется организацией.
6.20. Персональные данные, хранящиеся в электронном виде, защищаются от несанкционированного доступа с помощью специальных технических и программных средств защиты. Хранение персональных данных в электронном виде вне применяемых организацией информационных систем и специально обозначенных организацией баз данных (внесистемное хранение персональных данных) не допускается.
6.21. Если иное не предусмотрено законодательством, обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки, в случае утраты необходимости в достижении этих целей или по истечении сроков их хранения. Уничтожение или обезличивание персональных данных должно производиться способом, исключающим дальнейшую обработку этих персональных данных. При этом в случае необходимости следует сохранять возможность обработки иных данных, зафиксированных на соответствующем материальном носителе (удаление, вымарывание). При необходимости уничтожения или блокирования части персональных данных уничтожается или блокируется материальный носитель с предварительным копированием сведений, не подлежащих уничтожению или блокированию, способом, исключающим одновременное копирование персональных данных, подлежащих уничтожению или блокированию.
6.22. При необходимости использования или распространения определенных персональных данных отдельно от находящихся на том же материальном носителе других персональных данных осуществляется копирование персональных данных, подлежащих распространению или использованию, способом, исключающим одновременное копирование персональных данных, не подлежащих распространению и использованию, и используется (распространяется) копия персональных данных.
6.23. Уточнение персональных данных при их обработке без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, – путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.
6.24. Передача информации, содержащей персональные данные, осуществляется способом, обеспечивающим защиту от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также иных неправомерных действий в отношении такой информации.
6.25. Трансграничная передача персональных данных запрещается, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, за исключением случаев, когда:
6.25.1. дано согласие субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня их защиты;
6.25.2. персональные данные получены на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором;
6.25.3. персональные данные могут быть получены любым лицом посредством направления запроса в случаях и порядке, предусмотренных законодательством;
6.25.4. такая передача необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;
6.25.5. обработка персональных данных осуществляется в рамках исполнения международных договоров Республики Беларусь;
6.25.6. такая передача осуществляется органом финансового мониторинга в целях принятия мер по предотвращению легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения в соответствии с законодательством;
6.25.7. получено соответствующее разрешение уполномоченного органа по защите прав субъектов персональных данных.
6.26. В случаях, когда государственные органы имеют право запросить персональные данные или персональные данные должны быть предоставлены в силу законодательства, а также в соответствии с запросом суда, соответствующая информация может быть им предоставлена в порядке, предусмотренном действующим законодательством Республики Беларусь.
6.27. Все поступающие запросы должны передаваться лицу, ответственному за организацию обработки персональных данных в организации, для предварительного рассмотрения и согласования.
6.28. Лица, получающие персональные данные, предупреждены о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и с соблюдением режима конфиденциальности. Организация вправе требовать от этих лиц подтверждение того, что это правило соблюдено.

ГЛАВА 7
ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
7.1. Субъекты персональных данных имеют право на:
— разъяснение оператором предоставленных законом прав и обязанностей;
— отзыв согласия субъекта персональных данных;
— получение информации, касающейся обработки персональных данных, и изменение персональных данных;
— требование прекращения обработки персональных данных и (или) их удаления;
— обжалование действий (бездействия) и решений оператора, связанных с обработкой персональных данных;
— получение полной информации о хранящихся у оператора его персональных данных;
— свободный бесплатный доступ к своим персональным данным, включая право на получение копий любой записи, содержащей персональные данные работника, за исключением случаев, предусмотренных законодательством;
— требование об исключении или исправлении неверных или неполных персональных данных, а также данных, обработанных с нарушением. При отказе оператора исключить или исправить персональные данные работника он имеет право заявить в письменной форме оператору о своем несогласии с соответствующим обоснованием такого несогласия;
— требование об извещении Нанимателем всех лиц, которым ранее были сообщены неверные или неполные персональные данные работника, обо всех произведенных в них исключениях, исправлениях или дополнениях;
— обжалование в суд любых неправомерных действий или бездействия оператора, Нанимателя при обработке и защите его персональных данных.
7.2. Для реализации своих прав субъект персональных данных должен подать в ООО «Маяна Трэвел» заявление в соответствии с требованиями, указанными в ст. 14 Закона Республики Беларусь «О защите персональных данных». Заявление может быть подано любым способом, который позволяет идентифицировать, что заявления исходит от конкретного человека. Заявление должно содержать личную подпись заявителя и может быть направлено на почтовый адрес оператора (Республика Беларусь, 220092, г. Минск, ул. Болеслава Берута, д. 3Б, оф. 305) либо по e-mail buhmayana@gmail.com.
7.3. Субъект персональных данных обязан:
— предоставлять оператору достоверные данные о себе;
— сообщать оператору об уточнении (обновлении, изменении) своих персональных данных.
7.4. Лица, передавшие оператору недостоверные сведения о себе, либо сведения о другом субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством Республики Беларусь.
ГЛАВА 8
ПРАВА И ОБЯЗАННОСТИ ОРГАНИЗАЦИИ
8.1. ООО «Маяна Трэвел» вправе:
8.1.1. устанавливать правила обработки персональных данных в организации, вносить изменения и дополнения в Политику, самостоятельно в рамках требований законодательства разрабатывать и применять формы документов, необходимых для исполнения обязанностей оператора;
8.1.2. осуществлять иные права, предусмотренные законодательством Республики Беларусь и ЛПА организации в области обработки и защиты персональных данных.
8.2. ООО «Маяна Трэвел» обязано:
8.2.1. разъяснять субъекту персональных данных его права, связанные с обработкой персональных данных;
8.2.2. получать согласие субъекта персональных данных, за исключением случаев, предусмотренных Законом № 99-З и иными законодательными актами;
8.2.3. обеспечивать защиту персональных данных в процессе их обработки;
8.2.4. предоставлять субъекту персональных данных информацию о его персональных данных, а также о предоставлении его персональных данных третьим лицам, за исключением случаев, предусмотренных Законом № 99-З и иными законодательными актами;
8.2.5. вносить изменения в персональные данные, которые являются неполными, устаревшими или неточными, за исключением случаев, когда иной порядок внесения изменений в персональные данные установлен законодательными актами либо если цели обработки персональных данных не предполагают последующих изменений таких данных;
8.2.6. прекращать обработку персональных данных, а также осуществлять их удаление или блокирование (обеспечивать прекращение обработки персональных данных, а также их удаление или блокирование уполномоченным лицом) при отсутствии оснований для обработки персональных данных, предусмотренных Законом № 99-З и иными законодательными актами;
8.2.7. уведомлять уполномоченный орган по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных незамедлительно, но не позднее 3 рабочих дней после того, как оператору стало известно о таких нарушениях, за исключением случаев, предусмотренных уполномоченным органом по защите прав субъектов персональных данных;
8.2.8. осуществлять изменение, блокирование или удаление недостоверных, или полученных незаконным путем персональных данных субъекта персональных данных по требованию уполномоченного органа по защите прав субъектов персональных данных, если иной порядок внесения изменений в персональные данные, их блокирования или удаления не установлен законодательными актами;
8.2.9. исполнять иные требования уполномоченного органа по защите прав субъектов персональных данных об устранении нарушений законодательства о персональных данных;
8.2.10. выполнять иные обязанности, предусмотренные Законом № 99-З и иными законодательными актами.
ГЛАВА 9
МЕРЫ, ПРИНИМАЕМЫЕ ООО «МАЯНА ТРЭВЕЛ» ДЛЯ ОБЕСПЕЧЕНИЯ ВЫПОЛНЕНИЯ ОБЯЗАННОСТЕЙ ОПЕРАТОРА ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
9.1. Меры, необходимые и достаточные для обеспечения выполнения ООО «Маяна Трэвел» обязанностей оператора, предусмотренных законодательством Республики Беларусь в области персональных данных, включают:
9.1.1. предоставление субъектам персональных данных необходимой информации до получения их согласий на обработку персональных данных;
9.1.2. разъяснение субъектам персональных данных их прав, связанных с обработкой персональных данных;
9.1.3. получение согласий субъектов персональных данных на обработку их персональных данных, за исключением случаев, предусмотренных законодательством Республики Беларусь;
9.1.4. назначение лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных в ООО «Маяна Трэвел»;
9.1.5. издание документов, определяющих политику ООО «Маяна Трэвел» в отношении обработки персональных данных;
9.1.6. ознакомление работников, непосредственно осуществляющих обработку персональных данных в ООО «Маяна Трэвел», с Законом Республики Беларусь «О защите персональных данных» и настоящей Политикой;
9.1.7. установление порядка доступа к персональным данным, в том числе обрабатываемым в информационном ресурсе (системе);
9.1.8. обеспечение неограниченного доступа, в том числе с использованием глобальной компьютерной сети Интернет, к документам, определяющим политику ООО «Маяна Трэвел» в отношении обработки персональных данных, до начала такой обработки;
9.1.9. прекращение обработки персональных данных при отсутствии оснований для их обработки;
9.1.10. незамедлительное уведомление уполномоченного органа по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных;
9.1.11. осуществление изменения, блокирования, удаления недостоверных или полученных незаконным путем персональных данных;
9.1.12. ограничение обработки персональных данных достижением конкретных, заранее заявленных законных целей;
9.1.13. осуществление хранения персональных данных в форме, позволяющей идентифицировать субъектов персональных данных, не дольше, чем этого требуют заявленные цели обработки персональных данных.
9.2. Меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются в соответствии с требованиями законодательства Республики Беларусь.
ГЛАВА 10
ЗАЩИТА ПЕРСОНАЛЬНЫХ ДАННЫХ РАБОТНИКОВ И КЛИЕНТОВ
10.1. Защита персональных данных клиента осуществляется в порядке и способами, установленными законодательством. Организация при обработке персональных данных работников и клиентов принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
10.2. Система защиты персональных данных включает в себя организационные и (или) технические меры, определенные с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах.
10.10. Защита персональных данных клиентов, хранящихся в электронных базах данных организации, от несанкционированного доступа, искажения и уничтожения информации, а также от иных неправомерных действий, обеспечивается системным администратором.
10.11. Для защиты персональных данных ООО «Маяна Трэвел» принимает следующие необходимые меры (включая, но не ограничиваясь):
10.11.1. ограничивает и регламентирует состав работников, функциональные обязанности которых требуют доступа к информации, содержащей персональные данные (в том числе путем использования паролей доступа к электронным информационным ресурсам);
10.11.2. обеспечивает условия для хранения документов, содержащих персональные данные, в ограниченном доступе;
10.11.3. организует порядок уничтожения информации, содержащей персональные данные, если законодательством не установлены требования по хранению соответствующих данных;
10.11.4. контролирует соблюдение требований по обеспечению безопасности персональных данных, в том числе установленных настоящей Политикой (путем проведения внутренних проверок, установления специальных средств мониторинга и др.);
10.11.5. проводит расследование случаев несанкционированного доступа или разглашения персональных данных с привлечением виновных работников к ответственности, принятием иных мер;
10.11.6. внедряет программные и технические средства защиты информации в электронном виде;
10.11.7. обеспечивает возможность восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
10.12. Для защиты персональных данных при их обработке в информационных системах организация проводит следующие мероприятия (включая, но не ограничиваясь):
10.12.1. определение угроз безопасности персональных данных при их обработке;
10.12.2. применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных;
10.12.3. учет машинных носителей персональных данных;
10.12.4. обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;
10.12.5. восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
10.12.6. установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных;
10.13. В организации назначены лица, ответственные за организацию обработки персональных данных. Все сотрудники и уполномоченные лица, связанные с получением, обработкой и защитой персональных данных клиентов, обязаны соблюдать требования локальных актов организации о неразглашении персональных данных клиентов и требования законодательства Республики Беларусь, в том числе Закона Республики Беларусь «О защите персональных данных».
10.14. В организации могут приниматься иные меры, направленные на обеспечение выполнения организацией обязанностей в сфере персональных данных, предусмотренных действующим законодательством Республики Беларусь.
ГЛАВА 11
ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ТРЕБОВАНИЙ НАСТОЯЩЕЙ ПОЛИТИКИ И ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
11.1. Лица, виновные в нарушении требований и норм, регулирующих получение, обработку и защиту персональных данных работников и клиентов, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством.
11.2. Работники организации, допущенные к обработке персональных данных, за разглашение полученной в ходе своей трудовой деятельности информации, несут дисциплинарную, административную или уголовную ответственность в соответствии с действующим законодательством Республики Беларусь.
11.3. Оператор имеет право изменять настоящую Политику в одностороннем порядке без предварительного согласования и последующего уведомления субъекта персональных данных с обязательным последующим размещением новой политики на сайте оператора.
11.4. Отсутствие контроля со стороны Организации за надлежащим исполнением работником своих обязанностей в области обеспечения конфиденциальности и безопасности персональных данных не освобождает работника от таких обязанностей и предусмотренной законодательством Республики Беларусь ответственности.
11.5. Вопросы, касающиеся обработки персональных данных, не закрепленные в настоящей Политике, регулируются законодательством Республики Беларусь.