ПОЛИТИКА в отношении обработки персональных данных Клиентов ЗАО «Дефи Прометей»

ГЛАВА 1 ОБЩИЕ ПОЛОЖЕНИЯ. ТЕРМИНЫ И ИХ ОПРЕДЕЛЕНИЯ

1.1. Закрытое акционерное общество «Дефи Прометей» уделяет особое внимание защите персональных данных при их обработке и с уважением относится к соблюдению прав субъектов персональных данных. Издание настоящей Политики в отношении обработки персональных данных клиентов (далее – Политика) ЗАО «Дефи Прометей» (далее – Общество, Оператор) является одной из обязательных мер, принимаемых Обществом по защите персональных данных, предусмотренных статьей 17 Закона Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее – Закон).

1.2. Настоящая Политика разработана в соответствии с Законом и разъясняет субъектам персональных данных, как, для каких целей и на каком правовом основании их персональные данные собираются, используются или иным образом обрабатываются, а также отражает имеющиеся в связи с этим у субъектов персональных данных права и механизм их реализации. Политика не применяется к обработке персональных данных в процессе трудовой деятельности (в отношении работников, членов их семей, бывших работников, соискателей на трудоустройство), в отношении контрагентов Общества, а также при обработке файлов cookiе на интернет-сайте Общества и при осуществлении Обществом видеонаблюдения.

1.3. Адрес местонахождения и почтовый адрес Общества: 220020, г. Минск, пр -т. Победителей, д.103, пом.3 (6 этаж), адрес в сети Интернет: https://onega.io (далее - Сайт).

1.4. В соответствии с настоящей Политикой обрабатываются персональные данные следующих субъектов персональных данных:

• Клиентов Общества (клиенты - физические лица, индивидуальные предприниматели, представители юридических лиц (включая иностранные организации различных организационно-правовых форм, общественные объединения) в интересах которого ЗАО «Дефи Прометей» совершает сделки (операции) с цифровыми знаками (токенами) (далее - токен), или совершает сделки (операции) с токенами и оказывает консультационные услуги по вопросам осуществления сделок (операций) с токенами, либо которые обратились к нему за совершением таких сделок (операций) с токенами или за совершением таких сделок (операций) с токенами и оказанием таких услуг);

• Пользователей Сайта, мобильного приложения Оператора (мобильное приложение – программное обеспечение, разработанное и опубликованное Обществом в онлайн-магазинах приложений (в т.ч AppStore, Google Play) под брендом Onega для использования на портативных устройствах);

1.5. В настоящей Политике используются термины и их определения в значении, определенном Законом.

ГЛАВА 2 ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Обработка персональных данных субъектов персональных данных осуществляется в целях, объеме, на правовых основаниях и в сроки применительно к каждой категории субъектов персональных данных согласно Приложению 1 к настоящей Политике. Общество осуществляет обработку только тех персональных данных, которые необходимы для выполнения заявленных целей и не допускает их избыточной обработки.

2.2. Обработка персональных данных осуществляется путем смешанной (как с использованием средств автоматизации, так и без использования средств автоматизации) обработки, в том числе с использованием внутренней сети и сети Интернет посредством сбора, хранения, использования, систематизации, изменения, предоставления, удаления и др.).

2.3. Обработка персональных данных осуществляется согласно правовым основаниям, предусмотренным Законом, а также может осуществляться на основании согласия субъектов персональных данных. К правовым основаниям обработки персональных данных в рамках данной Политики относятся: договор (соглашение), заключенный (заключаемый) с субъектом персональных данных (в том числе договор оферты); выполнение обязанностей (полномочий), предусмотренных законодательными актами (например, представителей юридических лиц, уполномоченных на подписание договора; при ведении налогового и бухгалтерского учета; при предоставлении сведений по запросам контролирующих органов); обращения (письменные, устные, в ходе личного приема и т.д.) субъекта персональных данных к Оператору.

2.4. Согласие субъекта персональных данных представляет собой свободное, однозначное, информированное выражение его воли, посредством которого он разрешает обработку своих персональных данных. Форма и содержание согласия на обработку персональных данных разрабатываются Оператором с учетом конкретных целей обработки персональных данных (при отсутствии иных правовых оснований обработки персональных данных). До получения согласия субъекта персональных данных, Общество обязано простым и ясным языком разъяснить субъекту персональных данных его права, связанные с обработкой персональных данных, механизм реализации таких прав, а также последствия дачи согласия субъекта персональных данных или отказа в даче такого согласия. Эта информация предоставляется Обществом в форме, соответствующей форме выражения его согласия.

2.5. Сроки хранения персональных данных субъектов персональных данных определяются в соответствии с законодательством об архивном деле и делопроизводстве. По истечении установленных сроков хранения документы, содержащие персональные данные, уничтожаются в порядке, установленном законодательством в сфере архивного дела и делопроизводства, персональные данные, содержащиеся в информационных системах (ресурсах) Общества, удаляются (при невозможности удаления блокируются). Об уничтожении или удалении персональных данных составляется акт об уничтожении или удалении. Если срок хранения персональных данных не определен законодательством об архивном деле и делопроизводстве, то Оператор самостоятельно определяет такой срок, исходя из целей обработки персональных данных и специфики деятельности, при этом исключается избыточная обработка персональных данных.

2.6. Обработка персональных данных прекращается при наступлении одного или нескольких из указанных событий (если отсутствуют иные правовые основания для обработки, предусмотренные Законом и иными законодательными актами): поступление от субъекта персональных данных в установленном порядке отзыва согласия на обработку его персональных данных; поступление от субъекта персональных данных в установленном порядке требования о прекращении обработки его персональных данных и (или) их удалении; достижение целей обработки персональных данных; истечение срока действия согласия субъекта персональных данных; истечение срока хранения персональных данных; обнаружение неправомерной обработки персональных данных; по требованию Национального центра защиты персональных данных (НЦЗПД); ликвидация (прекращение деятельности) Оператора.

2.7. В целях обеспечения общественного порядка, охраны физических лиц, офиса Оператора, в том числе материальных ценностей и иного имущества, пресечения и фиксации противоправных действий, документальной фиксации возможных противоправных действий, которые могут нанести вред имущественным и неимущественным правам Оператора в целом, Оператор осуществляет видеонаблюдение по адресу: 220020, г. Минск, пр-т. Победителей, д.103, пом.3 (6 этаж). Порядок обработки персональных данных при использовании видеонаблюдения, установленного по месту нахождения (в офисе) Оператора, определен в Политике видеонаблюдения, размещенной на Сайте Оператора.

ГЛАВА 3 УПОЛНОМОЧЕННЫЕ ЛИЦА И ИНЫЕ ЛИЦА, УЧАСТВУЮЩИЕ В ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ.

3.1. Общество поручает обработку персональных данных уполномоченным лицам. Перечень уполномоченных лиц, обрабатывающих персональные данные по поручению Общества, содержится в Приложении 2 к настоящей Политике.

3.2. Общество заключает с уполномоченными лицами соглашения об обработке персональных данных в соответствии с требованиями статьи 7 Закона. В целях обеспечения защиты персональных данных при их обработке уполномоченным лицом на уровне не ниже, чем у Оператора, Общество: периодически осуществляет контроль за выполнением уполномоченным лицом мер по обеспечению защиты прав субъектов персональных данных при обработке их персональных данных по поручению Оператора; допускает привлечение уполномоченными лицами субуполномоченных лиц только при условии получения предварительного письменного согласия Оператора. Ответственность перед субъектом персональных данных за действия уполномоченного лица несет Общество, уполномоченное лицо несет ответственность перед Обществом.

3.3. Общество предоставляет персональные данные третьим лицам в случаях, предусмотренных законодательством.

ГЛАВА 4 ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Общество осуществляет трансграничную передачу персональных данных на территорию Российской Федерации (страна, на территории которой обеспечивается надлежащий уровень защиты прав субъектов персональных данных) в целях хранения информации на серверах Общества находящихся в Российской Федерации (Яндекс Cloud, центры обработки данных Selectel, DataSpace).

4.2. Обработка персональных данных согласно цели, указанной в подп. 4.1 осуществляется на основании абз. 15. ст. 6, абз. 18 п. 2 ст. 8 Закона в случаях, когда обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами.

4.3. Перечень иностранных государств, на территории которых обеспечивается надлежащий уровень защиты прав субъектов персональных данных, определен приказом Национального центра защиты персональных данных Республики Беларусь от 15 ноября 2021 г. № 14 «О трансграничной передаче персональных данных».

ГЛАВА 5 ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ И ОБЯЗАННОСТИ ОПЕРАТОРА ПО ИХ РЕАЛИЗАЦИИ

5.1. Субъект персональных данных имеет право:

5.1.1. на получение информации об обработке персональных данных. Информация об обработке персональных данных должна содержать: наименование и место нахождения Оператора; подтверждение факта обработки персональных данных обратившегося лица Оператора; персональные данные и источник их получения; правовые основания и цели обработки персональных данных; срок, на который дано согласие на обработку персональных данных (если обработка персональных данных осуществляется на основании согласия); наименование и место нахождение уполномоченного лица, если обработка персональных данных была поручена такому лицу; иную информацию, предусмотренную законодательством. Такая информация в течение 5 рабочих дней после получения заявления будет предоставлена либо Общество уведомит о причинах ее непредставления. Общество может отказать в предоставлении такой информации в случаях, предусмотренных законодательством.

5.1.2. требовать от Общества внесения изменений в свои персональные данные в случае, если персональные данные являются неполными, устаревшими или неточными. В этих целях субъект персональных данных прилагает соответствующие документы и (или) их заверенные в установленном порядке копии, подтверждающие необходимость внесения изменений в персональные данные. В течение 15 календарных дней Общество вносит изменения в персональные данные. Общество вправе отказать в изменении персональных данных в случаях, если из представленных документов (сведений) не вытекает, что персональные данные обратившегося лица являются неполными, устаревшими или неточными.

5.1.3. на получение от Общества информации о предоставлении персональных данных, обрабатываемых Обществом третьим лицам один раз в календарный год бесплатно. После получения такого запроса Общество в течение 15 календарных дней направит информацию о том, какие конкретно персональные данные и кому были предоставлены за год, предшествующий обращению. Общество вправе отказать в предоставлении запрашиваемой информации в случаях, предусмотренных законодательством, а также, когда законодательством возложена на Общество обязанность предоставления персональных данных с определенной периодичностью по установленной форме.

5.1.4. требовать от Общества бесплатного прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для обработки персональных данных, предусмотренных Законом и иными законодательными актами. После получения такого запроса Общество в течение 15 календарных дней прекратит обработку персональных данных обратившегося субъекта персональных данных и удалит их. При отсутствии технической возможности удаления персональных данных Общество примет меры по исключению их дальнейшей обработки. Общество вправе отказать в прекращении обработки персональных данных и (или) их удалении при наличии правовых оснований для обработки.

5.1.5. на отзыв своего согласия, если для обработки персональных данных Общество обращалось к субъекту персональных данных за получением согласия. Право на отзыв согласия не может быть реализовано в случае, когда обработка персональных данных осуществляется не на основании согласия субъекта персональных данных, а на иных правовых основаниях, предусмотренных законодательством о персональных данных, например, на основании договора, заключенного с субъектом персональных данных. Общество незамедлительно прекращает обработку персональных данных обратившегося субъекта персональных данных на основании отозванного согласия. В случае технических и (или) иных затруднений в части незамедлительного прекращения обработки персональных данных этот процесс может занять не более 15 календарных дней.

5.1.6. на обжалование действий (бездействия) и решений Общества, нарушающих его права при обработке персональных данных, в порядке, установленном законодательством. В случае, если субъект персональных данных полагает, что Общество какими-то своими действиями нарушает его права при обработке персональных данных, он вправе обратиться к Оператору. Оператор предпринимает все необходимые меры для того, чтобы устранить данное нарушение. Субъект персональных данных также вправе обратиться с жалобой о нарушении его прав при обработке персональных данных в Национальный центр защиты персональных данных (220004, г. Минск, ул. К.Цеткин, 24-3) или в суд в порядке, установленном законодательством.

5.2. Для реализации своих прав, связанных с обработкой персональных данных субъект персональных данных, подает в Общество заявление в письменной форме (нарочным, почтой, лично) или заявление в виде электронного документа, подписанного электронной цифровой подписью, по адресу: 220020, г. Минск, пр-т. Победителей, д.103, пом.3 (6 этаж). В случае, если согласие субъектом персональных данных было предоставлено в иной электронной форме (например, посредством сообщения на электронную почту или другим способом, позволяющим установить факт получения согласия субъекта персональных данных), реализация права на отзыв согласия возможна в том числе путем направления электронного сообщения на адрес электронной почты: dpo@onega.io.

5.3. Заявление о реализации указанных выше прав должно содержать: фамилию, имя, отчество (если таковое имеется), дату рождения субъекта персональных данных, адрес его места жительства (места пребывания); идентификационный номер субъекта персональных данных, при отсутствии такого номера – номер документа, удостоверяющего личность субъекта персональных данных, в случаях, если эта информация указывалась субъектом персональных данных при даче своего согласия или обработка персональных данных осуществляется без согласия субъекта персональных данных; изложение сути требований; личную подпись (для заявления в письменной форме) либо электронную цифровую подпись (для заявления в виде электронного документа) - для согласий, полученных в письменной форме.

5.4. За содействием в реализации своих прав субъект персональных данных вправе обратиться к лицу, ответственному за осуществление внутреннего контроля за обработкой персональных данных в Обществе, в том числе направив сообщение на адрес электронной почты: dpo@onega.io.

ГЛАВА 6 МЕРЫ ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Общество принимает, а также постоянно совершенствует необходимые правовые, организационные и технические меры по обеспечению защиты персональных данных от несанкционированного или случайного доступа к ним, незаконного изменения, блокирования, копирования, распространения, предоставления, удаления персональных данных, а также от иных неправомерных действий в отношении персональных данных.

6.2. Обществом разработаны и введены в действие документы, устанавливающие порядок обработки и обеспечения защиты персональных данных, которые максимально обеспечивают соответствие требованиям Закона и иных актов законодательства Республики Беларусь, регулирующих отношения в сфере персональных данных.

6.3. Организационные меры, принимаемые Обществом, включают в себя:

6.3.1. разъяснение субъекту персональных данных его прав, связанных с обработкой персональных данных;

6.3.2. получение согласия субъекта персональных данных на обработку персональных данных, за исключением случаев, предусмотренных настоящей Политикой и законодательными актами;

6.3.3. назначение в Обществе лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных;

6.3.4. ознакомление работников Общества с требованиями законодательства Республики Беларусь и локальными нормативными актами Оператора в области обработки персональных данных;

6.3.5. уведомление уполномоченного органа по защите прав субъектов персональных данных о нарушениях систем защиты персональных данных незамедлительно, но не позднее трех рабочих дней после того, как Обществу стало известно о таких нарушениях, за исключением случаев, предусмотренных уполномоченным органом по защите прав субъектов персональных данных;

6.3.6. осуществление иных обязанностей, предусмотренных ст. 16 Закона.

ГЛАВА 7 ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

7.1. Настоящая Политика вступает в силу с момента ее утверждения, обеспечение неограниченного доступа к Политике реализуется путем ее публикации на Сайте Оператора – https://onega.io в сети Интернет, а также в мобильном приложении Оператора «Onega».

7.2. Общество как Оператор вправе при необходимости в одностороннем порядке вносить в Политику изменения и дополнения с последующим размещением новой редакции Политики на Сайте Оператора, а также в мобильном приложении «Onega». Субъекты самостоятельно получают информацию об изменениях Политики.

7.3. Вопросы, касающиеся обработки персональных данных, не закрепленные в настоящей Политике, регулируются законодательством Республики Беларусь.

7.4. В случае, если какое-либо положение Политики признается противоречащим законодательству Республики Беларусь, остальные положения, соответствующие законодательству Республики Беларусь, остаются в силе и являются действительными, а любое недействительное положение будет считаться удаленным/измененным в той мере, в какой это необходимо для обеспечения его соответствия законодательству Республики Беларусь.