1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. ООО КБ «ВНЕШФИНБАНК» (далее – Банк) при осуществлении своей деятельности уделяет приоритетное внимание вопросам обеспечения информационной безопасности. В Банке принят комплекс правовых, организационных и технических мер, направленных на защиту информации о клиентах, работниках, контрагентах и других Субъектах персональных данных.

1.2. Настоящая «Политика ООО КБ «ВНЕШФИНБАНК» в отношении обработки персональных данных» (далее – Политика) определяет основные принципы, цели, правовые основания, порядок, объем, категории, условия обработки персональных данных, а также реализуемые требования по их защите в Банке.

1.3. Настоящая Политика разработана в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных в Банке, и в соответствии с требованиями законодательства Российской Федерации, в том числе:

- Конституции Российской Федерации;

- Гражданского кодекса Российской Федерации;

- Трудового кодекса Российской Федерации;

- Федерального закона Российской Федерации от 27.07.2006 №152-ФЗ «О персональных данных» (далее - Федеральный закон №152-ФЗ);

- Федерального закона от 27.07.2006 №149-ФЗ «Об информации, информационных технологий и о защите информации»;

- Федерального закона от 02.12.90 №395-1-ФЗ «О банках и банковской деятельности» (далее – Федеральный закон №395-1-ФЗ);

- Федерального закона от 06.04.2011 №63-ФЗ «Об электронной подписи»;

-    Комплекса стандартов Банка России по обеспечению информационной безопасности организации банковской системы Российской Федерации;

- приказов/ рекомендаций Роскомнадзора в отношении персональных данных.

1.4. Правовым основанием обработки ПДн является совокупность правовых актов, во исполнение которых и в соответствии с которыми Банк осуществляет обработку ПДн: федеральные законы и принятые на их основе нормативно-правовые акты, регулирующие отношения, связанные с деятельностью кредитных организаций, обществ с ограниченной ответственностью; Устав Банка и внутренние документы Банка; договоры, заключаемые между Банком и субъектом ПДн; согласие Субъектов ПДн на обработку ПДн (в случаях, прямо не предусмотренных законодательством Российской Федерации, но соответствующим полномочиям Банка).

1.5. Настоящая Политика является общедоступным документом, размещаемым на официальном сайте Банка в информационно-телекоммуникационной сети «Интернет», неограниченный доступ к которому предоставляется любому заинтересованному лицу.

2. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

Автоматизированная обработка персональных данных - обработка ПДн с помощью средств вычислительной техники.

Биометрические персональные данные - сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются Банком для установления личности Субъекта ПДн.

Блокирование ПДн - временное прекращение обработки ПДн (за исключением случаев, когда обработка необходима для уточнения ПДн).

Доступ к информации - возможность получения информации и ее использование (в частности копирование, модификация или уничтожение информации; получение Субъектом ПДн возможности ознакомления с информацией, в том числе при помощи технических средств).

Информационная система персональных данных (ИСПДн) - совокупность содержащихся в базах данных ПДн, и обеспечивающих их обработку информационных технологий и технических средств.

Конфиденциальность персональных данных - режим ограниченного доступа, включающий в себя требование не раскрывать третьим лицам и не допускать распространение ПДн без согласия Субъекта ПДн или наличия иного основания согласно действующему законодательству Российской Федерации.

Материальный носитель персональных данных - материальный объект, используемый для закрепления и хранения информации. В целях настоящей Политики под материальным носителем понимается бумажный документ, диск, дискета, флэшкарта и т.п.

Оператор ПДн - Общество с ограниченной ответственностью «Коммерческий банк внешнеторгового финансирования» (ООО КБ «ВНЕШФИНБАНК»), организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки ПДн, состав ПДн, подлежащих обработке, и действия (операции), совершаемые с ПДн.

Персональные данные (ПДн) - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (Субъекту персональных данных).

Персональные данные, разрешенные Субъектом ПДн для распространения - персональные данные, доступ неограниченного круга лиц к которым предоставлен Субъектом ПДн путем дачи согласия на обработку ПДн, разрешенных Субъектом ПДн для распространения в порядке, предусмотренным Федеральным законом №152-ФЗ.

Обработка ПДн - любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования.

Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному Субъекту ПДн.

Ответственное лицо - работник Банка, назначенный организационно- распорядительным документом Банка, организующий принятие правовых, организационных и технических мер в целях обеспечения надлежащего выполнения функций по организации обработки ПДн в Банке в соответствии с положениями законодательства Российской Федерации и внутренних документов Банка в области ПДн.

Отзыв согласия - заявление Субъекта ПДн, направленное Оператору ПДн, о прекращении действия ранее данного согласия (согласий) на обработку ПДн.

Подразделение ИБ - Отдел информационной безопасности Банка.

Предоставление персональных данных - действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц.

Работник Банка - физическое лицо, заключившее с Банком трудовой договор или приравненное к нему соглашение.

Распространение персональных данных - действия, направленные на раскрытие ПДн неопределенному кругу лиц, в том числе обнародование ПДн в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к ПДн каким-либо иным способом.

Роскомнадзор - уполномоченный орган по защите прав Субъектов ПДн – Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (РКН).

Сайт - официальная страница Банка в информационно-телекоммуникационной сети «Интернет», доменное имя и (или) сетевой адрес которой, принадлежит Банку.

Согласие - решение Субъекта ПДн, принятое свободно, своей волей и в своем интересе, о предоставлении его ПДн и их обработке Оператором ПДн.

Субъект ПДн - физическое лицо, которое прямо или косвенно определенное или определяемое на основании относящихся к нему ПДн.

Трансграничная передача персональных данных - передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание ПДн в информационной системе ПДн и (или) в результате которых уничтожаются материальные носители ПДн.

Цель обработки персональных данных - конкретный конечный результат действий, совершенных с ПДн, вытекающий из требований действующего законодательства Российской Федерации либо договорных отношений сторон, и направленный на исполнение требований законодательства, а также на создание необходимых правовых условий для достижения оптимального учета интересов сторон.

3. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Обработка персональных данных в Банке осуществляется на основании следующих принципов:

- законности и справедливости оснований для обработки ПДн, законности целей и способов обработки ПДн;

- соответствия целей обработки персональных данных целям, конкретизированным и заранее определенным, заявленным при сборе ПДн;

- соответствие содержания и объема обрабатываемых ПДн, способов обработки ПДн заявленным целям обработки ПДн;

- обеспечения точности, достоверности, достаточности и, в необходимых случаях, актуальности ПДн по отношению к целям их обработки, недопустимости избыточности обрабатываемых ПДн по отношению к заявленным целям их обработки;

- недопустимости объединения созданных для несовместимых между собой целей баз данных ПДн;

- хранения ПДн в форме, позволяющей определить Субъекта ПДн, не дольше, чем этого требуют цели их обработки, если срок хранения ПДн не установлен Федеральным законом №152-ФЗ, договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПДн;

- уничтожения либо обезличивание ПДн по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Российским законодательством;

- недопустимости заключения с Субъектом ПДн договоров, содержащих положения, ограничивающие права и свободы Субъекта ПДн, допускающие в качестве условия договора бездействие Субъекта ПДн, устанавливающие случаи обработки ПДн несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации.

3.2. Банк не осуществляет принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении Субъекта ПДн или иным образом затрагивающих его права и законные интересы, за исключением случаев, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных, или при условии наличия согласия в письменной форме Субъекта ПДн.

4. ЦЕЛИ ОБРАБОТКИ И КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЬНЫХ ДАННЫХ, КАТЕГОРИИ И ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Банк осуществляет обработку ПДн для достижения следующих целей:

-          регулирование трудовых отношений и иных непосредственно связанных с ними отношений, в том числе выполнение Банком требований законодательства о государственной социальной помощи, трудового, пенсионного законодательства;

-          осуществление/ сопровождение банковских операций и заключение/ исполнение сделок в соответствии с действующим законодательством Российской Федерации, нормативными актами Банка России, Уставом Банка и выданными Банку лицензиями на совершение банковских и иных операций;

-          осуществление Банком административно - хозяйственной деятельности (заключение и дальнейшее сопровождение договорных отношений с контрагентами);

-          обработка обращений/ запросов Субъектов ПДн;

-          предоставление отчетности/ сведений государственным надзорным органам, Банку России в соответствии с требованиями действующего законодательства Российской Федерации;

-          реализация процедур корпоративного управления и проведение антикоррупционных мероприятий;

-          обеспечение соблюдения внутриобъектового режима/ охраны помещений и хранилищ, сохранности ценностей.

4.2. Банком осуществляется обработка ПДн, полученных в установленном Федеральным законом №152-ФЗ, принадлежащих:

-          потенциальным (кандидатам на вакантные должности в Банке), работающим и бывшим работникам Банка и их близким родственникам;

-          физическим лицам, у которых с Банком заключены договоры гражданско-правового характера;

-          физическим лицам, входящих (и кандидатов) в органы управления Банка;

-          клиентам Банка, в том числе потенциальным, а также связанных с ними лицам;

-          контрагентам Банка, в том числе потенциальным, а также связанных с ними лицам;

-          иным физическим лицам, выразившим согласие на обработку Банком их персональных данных или физическим лицам, обработка персональных данных которых необходима Банку для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на Банк функций, полномочий и обязанностей;

-          иным субъектам ПДн, вступившим или намеривающих вступить в договорные отношения с Банком и/или обращающимся в Банк для целей выполнения их запросов (при необходимости обработки их ПДн).

4.3.            Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, состояния здоровья Банком не осуществляется, за исключением случаев, установленных законодательством Российской Федерации.

4.4.            Обработка ПДн Субъектов ПДн о судимости осуществляется Банком в случаях и в порядке, которые определяются в соответствии с федеральными законами.

4.5.            Сведения, которые характеризуют биометрические персональные данные Субъекта ПДн могут обрабатываться Банком только при наличии согласия Субъекта ПДн в форме, установленной законодательством Российской Федерации.

При этом Банк не вправе отказывать в обслуживании в случае отказа Субъекта ПДн предоставить биометрические ПДн и (или) дать согласие на обработку ПДн, если в соответствии с федеральным законом получение Банком согласия на обработку ПДн не является обязательным.

4.6. Трансграничная передача ПДн осуществляется Банком в соответствии с требованиями, предусмотренными ст.12 Федерального Закона №152-ФЗ.

4.7. В целях информационного обеспечения Банком могут создаваться общедоступные источники ПДн только с письменного согласия Субъекта ПДн.

4.8.      Перечень обрабатываемых ПДн определяется Банком в соответствии с законодательством Российской Федерации / нормативными актами Банка России/ договорными отношениями Банка с клиентами/ контрагентами с учетом целей обработки ПДн, указанных в п.4.1 настоящей Политики, и для конкретных категорий Субъектов ПДн c соблюдением принципов и правил, предусмотренных настоящей Политикой (Приложение к настоящей Политике).

5. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Обработка ПДн в Банке для каждой из указанной в Приложении к настоящей Политике цели обработки ПДн осуществляется с использованием средств автоматизации и без использования таких средств путем следующих действий: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

5.2. Обработка ПДн с использованием средств автоматизации осуществляется в соответствии с требованиями постановления Правительства Российской Федерации от 01 ноября 2012 г. №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», нормативных и методических документов ФСТЭК и ФСБ России по защите информации, а также комплекса документов в области стандартизации Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации».

5.3. Обработка персональных данных, осуществляемая без использования средств автоматизации, выполняется таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.

5.4. Лица, осуществляющие обработку персональных данных без использования средств автоматизации (в том числе работники Банка или лица, осуществляющие такую обработку по договору с Банком), проинформированы о факте обработки ими персональных данных, обработка которых осуществляется Банком без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также внутренними нормативными документами Банка.

5.5. Сроки обработки и хранения ПДн для каждой из указанной в Приложении к настоящей Политике цели с учетом соблюдения требований, в том числе условий обработки ПДн, ограничиваются сроком необходимости и условий их обработки (раздел 7 настоящей Политики), при этом обработка и хранение ПДн осуществляется не дольше, чем это требуют цели обработки ПДн, если иное не установлено законодательством Российской Федерации).

5.6. Получение и обработка персональных данных в случаях, предусмотренных Федеральным законом №152-ФЗ, осуществляется Банком с письменного согласия Субъекта персональных данных, оформленного в соответствии с требованиями Федерального закона №152-ФЗ. Равнозначным содержащему собственноручную подпись Субъекта ПДн согласию в письменной форме на бумажном носителе признается согласие в форме электронного документа, подписанного электронной подписью Субъекта ПДн в соответствии с требованиями федерального закона об использовании электронной подписи.

5.7. Согласие на обработку персональных данных может быть дано Субъектом ПДн или его представителем в любой, позволяющей подтвердить факт его получения форме, если иное не установлено Федеральным законом №152-ФЗ.

5.8. Согласие на обработку персональных данных может быть предоставлено Субъектом ПДн посредством совершения следующих конклюдентных действий, если иное не предусмотрено законодательством Российской Федерации:

- при прохождении процедуры регистрации или заполнения заявки на получение банковского продукта/услуги на любом из сайтов Банка в домене vfbank.ru и проставление в соответствующей форме отметки о согласии на обработку персональных данных в объеме, для целей и в порядке, предусмотренном в тексте, предлагаемом для ознакомления перед осуществлением регистрации. Согласие считается полученным с момента такой регистрации, при условии ее подтверждения Субъектом ПДн в установленном порядке, и действует до момента отмены Субъектом ПДн регистрации на сайте Банка или до момента направления Субъектом ПДн Банку отзыва Согласия.

5.9. В случаях, когда предоставление персональных данных и/или получение Банком согласия на обработку ПДн является обязательным в соответствии с Федеральным законом №152-ФЗ, Банк, в рамках своей обязанности, разъясняет Субъекту ПДн юридические последствия отказа Субъекта ПДн предоставить его ПДн и/или дать согласие на их обработку.

5.10. Банк вправе обрабатывать ПДн без согласия Субъекта ПДн (в т.ч. при отзыве Субъектом ПДн согласия на обработку ПДн) при наличии оснований, указанных в ч.2 ст.9 Федерального закона №152-ФЗ.

5.11. В случае отсутствия согласия Субъекта ПДн и оснований, указанных в ч.2 ст.9 Федерального закона №152-ФЗ, обработка ПДн не осуществляется.

5.12. Создание фото- и видеоизображений в помещениях Банка и на прилегающей территории может производиться Банком с целью контроля соблюдения законности и правопорядка, а также предотвращения противоправных действий, экстремистских проявлений и террористических актов, и для последующей передачи в правоохранительные органы в случае необходимости. Указанные фото- и видеоизображения не используются с целью идентификации Субъектов ПДн и не рассматриваются Банком как биометрические персональные данные.

5.13. Персональные данные Субъекта ПДн могут быть получены Банком от лица, не являющегося Субъектом ПДн, при условии предоставления Банку подтверждения наличия согласия Субъекта ПДн на обработку его ПДн или наличия оснований, указанных в пп.2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 Федерального закона №152-ФЗ.

5.15. Если ПДн получены не от Субъекта ПДн, а от третьих лиц, Банк, за исключением случаев, предусмотренных частью 4 статьи 18 Федерального закона №152-ФЗ, до начала обработки таких ПДн предоставляет Субъекту ПДн следующую информацию:

- наименование либо фамилия, имя, отчество и адрес оператора ПДн или его представителя;

- цель обработки персональных данных и ее правовое основание;

- перечень персональных данных;

- перечень предполагаемых пользователей персональных данных;

- об установленных Федеральным законом №152-ФЗ правах Субъекта персональных данных;

- об источнике получения персональных данных.

5.16. Право доступа к ПДн Субъектов ПДн на бумажных и электронных носителях имеют работники Банка в соответствии с их должностными обязанностями.

5.17. Передача ПДн Субъектов ПДн третьим лицам осуществляется Банком в соответствии с требованиями действующего законодательства Российской Федерации.

5.18. Банк вправе поручить обработку ПДн третьей стороне с согласия Субъекта ПДн, если иное не предусмотрено действующим законодательством Российской Федерации, на основании заключаемого с этой стороной договора. Лицо, осуществляющее обработку ПДн по поручению Банка, обязано соблюдать принципы и правила обработки ПДн, предусмотренных Федеральным законом №152-ФЗ.

6. СВЕДЕНИЯ О РЕАЛИЗУЕМЫХ ТРЕБОВАНИЯХ К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. В договорах, заключенных между Банком Субъектом ПДн, предусматривается обязательство сторон о соблюдении требований конфиденциальности персональных данных, установленных ст.7 Федерального закона №152-ФЗ.

6.2. Банк при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

6.3. Меры по обеспечению безопасности персональных данных при их обработке, применяемые Банком, планируются и реализуются в целях обеспечения соответствия требованиям Федерального закона №152-ФЗ.

6.4. Банк самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения требований законодательства Российской Федерации. Банк, в частности, принял следующие меры:

- назначен ответственный работник за организацию обработки ПДн в Банке;

- разработаны и внедрены внутренние документы по вопросам обработки ПДн, определяющие для каждой цели обработки ПДн категории и перечень обрабатываемых ПДн, категории Субъектов ПДн которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения ПДн при достижении целей их обработки или при наступлении иных законных оснований, а также внутренние документы, устанавливающие процедуры, направленные на предотвращение и выявление нарушений установленных процедур по обработке ПДн и устранение последствий таких нарушений;

- осуществляется оценка вреда, который может быть причинен Субъекту ПДн в случаях нарушения Федерального закона №152-ФЗ, соотношение указанного вреда и принимаемых Банком мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом №152-ФЗ;

- определяются угрозы безопасности персональных данных при их обработке в ИСПДн;

- осуществляется мониторинг обнаружения фактов несанкционированного доступа к персональным данным и принятие мер;

- восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

- устанавливаются правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета действий, совершаемых с персональными данными в ИСПДн;

- осуществляется контроль доступа в помещения, в которых происходит обработка ПДн;

- осуществляется внутренний контроль соответствия обработки ПДн Федеральному закону №152-ФЗ и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, политике Банка в отношении обработки ПДн, внутренним документам Банка;

- работники Банка, непосредственно осуществляющие обработку ПДн, ознакомлены с положениями законодательства Российской Федерации о ПДн, в том числе требованиями к защите ПДн, документами, определяющими политику Банка в отношении обработки ПДн, внутренними документами по вопросам обработки ПДн.

6.5. В случае передачи документов, содержащих ПДн, по электронной почте Субъект ПДн может зашифровать их, используя один из предоставленных Банком способов. Отказ Субъекта ПДн использовать средства защиты ПДн снимает ответственность с Банка за обеспечение конфиденциальности в процессе их передачи от Субъекта ПДн Банку.

6.6. В дополнение к требованиям Федерального закона №152-ФЗ в Банке осуществляется комплекс мероприятий, направленных на защиту информации о своих клиентах, работниках и контрагентах. Банк руководствуется требованиями и рекомендациями действующего законодательства Российской Федерации, Банка России, других контролирующих организаций, а также российскими и международными практиками в сфере защиты ПДн.

6.7. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав Субъектов ПДн, Банк обязан с момента выявления такого инцидента Банком, Роскомнадзором или иным заинтересованным лицом уведомить Роскомнадзор:

1) в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав Субъектов ПДн, и предполагаемом вреде, нанесенном правам Субъектов ПДн о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном Банком на взаимодействие с Роскомнадзором, по вопросам, связанным с выявленным инцидентом;

2) в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

7. ХРАНЕНИЕ, СРОКИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ, ПОРЯДОК УНИЧТОЖЕНИЯ

7.1. Хранение персональных данных в Банке осуществляется в форме, позволяющей определить Субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем/залогодателем по которому является Субъект ПДн.

7.2. В случае обработки персональных данных, осуществляемой без использования средств автоматизации, Банк обеспечивает раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях.

7.3. При определении сроков хранения ПДн Банк исходит из требований:

- законодательства о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;

- гражданского законодательства;

- законодательства о бухгалтерском учете;

- налогового законодательства;

- Трудового Кодекса Российской Федерации;

- иных нормативно - правовых актов, регулирующих деятельность Банка.

7.4.Условием прекращения обработки ПДн может являться:

Ø    истечение срока обработки ПДн, указанного Субъектом ПДн или его представителем в согласии на обработку ПДн;

Ø    истечение срока исковой давности;

Ø    достижение цели обработки ПДн;

Ø    получение отзыва согласия на обработку ПДн (в случае если правовые основания дальнейшей обработки ПДн отсутствуют);

Ø    по требованию о прекращении передачи ПДн, разрешенных Субъектом ПДн для распространения;

Ø    при выявлении неправомерной обработки ПДн Субъекта ПДн;

Ø    иных случаях, определенных законодательством Российской Федерации.

7.5. Банк прекращает обработку (осуществляет уничтожение или обезличивание) ПДн при наступлении условия прекращения обработки ПДн (п.7.4. настоящей Политики) в установленные законодательством Российской Федерации сроки если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является Субъект ПДн, или иным соглашением между Банком и Субъектом ПДн.

Уничтожение производится посредством осуществления действий, в результате которых становится невозможным восстановить содержание ПДн в ИСПДн и/или в результате которых уничтожаются материальные носители ПДн. По результатам проведенного уничтожения составляется акт об уничтожении ПДн и формируется запись в электронном журнале регистрации событий в ИСПДн, в соответствии с требованиями, установленными законодательством Российской Федерации/ надзорными органами, к документированию уничтожения ПДн, или, в случае утраты силы, признания недействующим указанных требований полностью или в части, в соответствии с положениями законодательства Российской Федерации. Порядок уничтожения ПДн определяется внутренним нормативным документом Банка - «Порядок уничтожения персональных данных в ООО КБ «ВНЕШФИНБАНК».

В случае отсутствия возможности уничтожения ПДн в течение сроков, указанных в ч.3-5.1 ст.21 Федерального закона №152-ФЗ, Банк осуществляет блокирование таких ПДн или обеспечивает их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению Банка) и обеспечивает уничтожение персональных данных в срок не более чем 6 (шесть) месяцев, если иной срок не установлен федеральными законами.

7.6. В случае решения Субъекта ПДн об отзыве согласия, Субъектом ПДн направляется Банку соответствующее заявление, подписанное Субъектом ПДн, содержащее ПДн Субъекта ПДн и данные документа, удостоверяющего личность. В случае если Субъект ПДн не указал в отзыве в явном виде ПДн и цели, для которых осуществляется отзыв согласия, Банк считает, что согласие отозвано для всех типов ПДн и целей.

7.7. ПДн, неиспользуемые в операционной деятельности Банка, и цель обработки которых не достигнута, могут быть переведены на архивное хранение с соблюдением всех необходимых требований, предусмотренных Федеральным законом от 22.10.2001 №125-ФЗ

"Об архивном деле в Российской Федерации", Положением Росархива №1 и Банка России №801-П от 12.07.2022 "Об утверждении Перечня документов, образующихся в процессе деятельности кредитных организаций, с указанием сроков их хранения" и иными нормативными актами в сфере организации хранения, комплектования, учета и использования архивных документов.

7.8. Архивирование документов, содержащих ПДн, осуществляется в установленном в Банке порядке. Обязательным условием архивирования ПДн является обеспечение их конфиденциальности и безопасности.

7.9. При осуществлении хранения ПДн Банк использует базы данных, находящиеся на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Федерального закона №152-ФЗ.

 

8. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ НА ДОСТУП К ЕГО ПДн

8.1. Субъект персональных данных имеет право:

8.1.1. на получение информации, касающейся обработки его персональных данных, за исключением случаев, предусмотренных ч.8 ст.14 Федерального закона № 152-ФЗ, в том числе содержащей:

- подтверждение факта обработки персональных данных Банком;

- правовые основания и цели обработки персональных данных;

- цели и применяемые Банком способы обработки персональных данных;

- наименование и место нахождения Банка, сведения о лицах (за исключением работников Банка), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Банком или на основании федерального закона;

- обрабатываемые персональные данные, относящиеся к соответствующему Субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен Федеральным законом №152-ФЗ;

- сроки обработки персональных данных, в том числе сроки их хранения;

- порядок осуществления Субъектом персональных данных прав, предусмотренных Федеральным законом №152-ФЗ;

- информацию о ранее осуществленной или о предполагаемой трансграничной передаче данных, в случае если Банк осуществляет трансграничную передачу данных;

- наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Банка, если обработка поручена или будет поручена такому лицу;

-информацию о способах исполнения Банком обязанностей, установленных ст.18.1 Федерального закона №152-ФЗ.

- иные сведения, предусмотренные Федеральным законом №152-ФЗ или другими федеральными законами.

8.1.2. Требовать от Банка уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

8.1.3. Обжаловать действия или бездействие Банка, как Оператора ПДн, в уполномоченный орган по защите прав Субъектов ПДн или в судебном порядке.

8.2. Порядок направления Субъектом персональных данных (его представителем) запросов на предоставление сведений определен требованиями Федерального закона №152-ФЗ. В частности, в соответствии с указанными требованиями запрос на получение информации в Банке должен содержать:

- серию, номер основного документа, удостоверяющего личность Субъекта персональных данных (его представителя), сведения о дате выдачи указанного документа и выдавшем его органе;

- сведения, подтверждающие участие Субъекта персональных данных в отношениях с Банком (номер договора, дата заключения договора, условное словесное обозначение и/или иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Банком;

- подпись Субъекта персональных данных (его представителя).

Запрос может быть направлен в форме электронного документа и подписан электронной подписью Субъекта ПДн в соответствии с действующим законодательством Российской Федерации.

8.3. Субъекты персональных данных несут ответственность за предоставление Банку достоверных сведений, а также за своевременное обновление предоставленных данных в случае каких-либо изменений.

8.4. Банк обязан сообщить Субъекту ПДн или его представителю информацию о наличии ПДн, относящихся к соответствующему Субъекту ПДн, а также предоставить возможность ознакомления с этими ПДн при обращении Субъекта ПДн или его представителя в сроки, определенные требованиями Федерального закона №152-ФЗ при условии, что запрос оформлен в соответствии с требованиями п.9.2 настоящей Политики. Банк предоставляет сведения Субъекту ПДн или его представителю в той форме, в которой направлены соответствующие обращения либо запрос, если иное не указано в обращении или запросе.

8.5. Банк вправе отказать в предоставлении информации Субъекту ПДн или его представителю при их обращении либо при получении запроса. Отказ возможен в следующих случаях если:

- право Субъекта ПДн на доступ к его ПДн может быть ограничено в соответствии с федеральными законами, в том числе, если:

- обработка ПДн осуществляется в соответствии с действующим законодательством Российской Федерации о противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма;

- доступ Субъекта ПДн к его персональным данным нарушает права и законные интересы третьих лиц;

- в иных случаях, предусмотренных частью 8 статьи 14 Федерального закона №152-ФЗ.

8.6. В случае реализации Субъектом ПДн своего права требования в части уточнения своих ПДн, их блокирования или уничтожения на основании того, что ПДн являются неполными, неточными или неактуальными, Банк в сроки, установленные законодательством, обязан внести в них необходимые изменения, осуществить блокирование или уничтожение.

9. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

9.1. Банк, его должностные лица и Работники несут гражданско-правовую, административную и иную ответственность за несоблюдение принципов, требований к защите и условий обработки ПДн физических лиц, а также за разглашение или незаконное использование персональных данных в соответствии с законодательством Российской Федерации.

9.2. В случае изменения законодательства Российской Федерации настоящая Политика до момента ее изменения Банком применяется в части, не противоречащей требованиям законодательства Российской Федерации.

 

 

 

 

 

 

 

 

 

Приложение

к Политике ООО КБ «ВНЕШФИНБАНК» в отношении обработки персональных данных

 

Перечень персональных данных, целей, сроков их обработки, способов их уничтожения в ООО КБ «ВНЕШФИНБАНК»

Цель обработки ПДн: Регулирование трудовых отношений и иных непосредственно связанных с ними отношений, в том числе выполнение Банком требований законодательства о государственной социальной помощи, трудового, пенсионного законодательства.
Субъекты ПДн	Категории и перечень обрабатываемых ПДн	Способ обработки	Сроки обработки и хранения	Порядок уничтожения
Работники и бывшие работники Банка; физические лица, у которых с Банком заключены договоры гражданско-правового характера.	Категория «Иные персональные данные»: Фамилия, имя, отчество (при наличии); пол; число, месяц, год и место рождения; гражданство; реквизиты (данные) документа, удостоверяющего личность; адрес места регистрации; адрес фактического проживания; сведения о временной регистрации; ИНН; СНИЛС; номер контактного телефона; сведения о трудовой деятельности (в том числе трудовой стаж, предыдущие места работы, доходы с предыдущих мест работы); сведения о семейном положении, сведения о ближайших родственниках, сведения о детях не достигших 18 лет; сведения об образовании/ квалификации, повышении квалификации, о наличии специальных знаний;   сведения об участии в качестве учредителя, соучредителя, акционера в организациях; сведения о воинском учете; сведения о занимаемой должности; номер банковского счета, табельный номер; адрес электронной почты, сведения о заработной плате и иных доходах; сведения в приказах по личному составу и материалах к ним, сведения о социальных льготах и о социальном статусе, подпись. Категория «Специальные персональные данные»: в случаях предусмотренных законодательством: сведения о судимости; сведения о состоянии здоровья/временной нетрудоспособности. Прочие персональные данные, необходимые для достижения цели обработки персональных данных, указанной в п.1 настоящего Приложения, сбор и получение которых осуществляется Банком при наличии и с учетом условий (правовых оснований) обработки персональных данных.	Смешанный, п.5.1-п.5.4 Политики.	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК».
Близкие родственники работников (в том числе бывших работников).	Категория «Иные персональные данные»: степень родства с работником; фамилия, имя, отчество; дата рождения; гражданство; место рождения; место работы; должность; адрес места проживания; сведения о детях не достигших возраста 18 лет (используются Банком данные в соответствии с законодательством). ПДн физически лиц связанных с работником (бывшем работником) обрабатываются Банком исключительно в связи с необходимостью организации, обеспечения и регулирования трудовых и непосредственно связанных с ними отношений.	Смешанный, п.5.1-п.5.4 Политики.	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК».
Кандидаты на замещение вакантных должностей в Банке.	Категория «Иные персональные данные» Фамилия, имя, отчество; пол; дата рождения; гражданство; номера контактных телефонов; сведения об образовании; сведения о квалификации и\или переподготовке; сведения о трудовой деятельности; адрес электронной почты; сведения об ожидаемом уровне заработной платы.	Без использования средств автоматизации п.5.1-п.5.4 Политики.	До принятия решения о приеме на работу кандидата, но не более 3 дней.	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК».
Цель обработки ПДн: осуществление/ сопровождение банковских операций и заключение/исполнение сделок в соответствии с действующим законодательством Российской Федерации, нормативных актов Банка России, Уставом Банка и выданными Банку лицензиями на совершение банковских и иных операций.
Субъекты ПДн	Перечень обрабатываемых ПДн	Способ обработки	Сроки обработки и хранения	Порядок уничтожения
Клиенты /потенциальные клиенты: физические лица, физические лица занимающиеся частной практикой, индивидуальные предприниматели, поручитель, залогодатель.	Категория «Иные персональные данные»: Фамилия, имя, отчество (при наличии), в том числе прежние, если менялись; пол; число, месяц, год и место рождения; гражданство; реквизиты (данные) документа, удостоверяющего личность; данные миграционной карты (при наличии); адрес места регистрации; адрес фактического проживания; сведения о временной регистрации; вид на жительство (документы, подтверждающие право иностранного гражданина на пребывание на территории РФ); ИНН; СНИЛС; ОГРНИП; номер контактного телефона; адрес электронной почты; сведения о работе (в том числе должность, место работы, стаж, данные трудовой книжки); сведения об образовании; сведения об имущественном положении (в том числе данные о праве собственности на недвижимость); сведения возбужденных дел банкротства; сведения о семейном положении (в том числе кол-во иждивенцев, наличие брачного контракта, детей), сведения/ данные о кредитной истории; сведения о собственном бизнесе/ доля участия в бизнесе; сведения о доходах и расходах (в том числе по удержаниям алиментов, налоговые обязательства); сведения о счетах (в том числе ссудных), иностранный идентификационный номер (при наличии); кодовое слово; данные документов, выданные органами опеки; данные документа, удостоверяющие право на наследство; подпись. Категория «Биометрические персональные данные» запись голоса; видеоизображение (при условии, что все указанные персональные данные позволяют установить (идентифицировать) личность Субъекта ПДн и используются Банком для такого установления личности (идентификации/аутентификации) в порядке, установленном Законодательством РФ). Прочие персональные данные, необходимые для достижения цели обработки персональных данных, указанной в п.2 настоящего Приложения, сбор и получение которых осуществляется Банком при наличии и с учетом условий (правовых оснований) обработки персональных данных.	Смешанный, п.5.1-п.5.4 Политики.	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК».
Физические лица -представители юридического лица	Категория «Иные персональные данные»: Фамилия, имя, отчество (при наличии); пол; число, месяц, год и место рождения; гражданство; реквизиты (данные) документа, удостоверяющего личность; адрес места регистрации; адрес фактического проживания; сведения о временной регистрации; ИНН; СНИЛС; номер контактного телефона, данные миграционной карты, вид на жительство, подпись. Прочие персональные данные, необходимые для достижения цели обработки персональных данных, указанной в п.2 настоящего Приложения, сбор и получение которых осуществляется Банком при наличии и с учетом условий (правовых оснований) обработки персональных данных.	Смешанный, п.5.1-п.5.4 Политики	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК».
Доверенное лицо клиента (представитель/распорядитель счета); бенефициар, должностное лицо клиента юридического лица (единоличный исполнительный орган, генеральный директор, управляющий т.п.)	Категория «Иные персональные данные»: Фамилия, имя, отчество (при наличии); пол; число, месяц, год и место рождения; гражданство; реквизиты (данные) документа, удостоверяющего личность; адрес места регистрации; адрес фактического проживания; сведения о временной регистрации; ИНН; СНИЛС; номер контактного телефона, данные миграционной карты, вид на жительство, сведения о налоговом резидентстве. Прочие персональные данные, необходимые для достижения цели обработки персональных данных, указанной в п.2 настоящего Приложения, сбор и получение которых осуществляется Банком при наличии и с учетом условий (правовых оснований) обработки персональных данных.	Смешанный, п.5.1-п.5.4 Политики	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК».
Цель обработки ПДн: Осуществление Банком административно - хозяйственной деятельности (заключение и дальнейшее сопровождение договорных отношений с контрагентами).
Субъекты ПДн	Категории и перечень обрабатываемых ПДн	Способ обработки	Сроки обработки и хранения	Порядок уничтожения
Контрагенты: физические лица, в том числе самозанятые; физические лица; занимающиеся частной практикой; индивидуальные предприниматели.	Категория «Иные персональные данные»: Фамилия, имя, отчество (при наличии); число, месяц, год и место рождения; реквизиты (данные) документа, удостоверяющего личность; адрес места регистрации; адрес фактического проживания; почтовый адрес; ИНН; номер контактного телефона, адрес электронной почты, ОГРНИП, подпись.	Смешанный п.5.1-п.5.4 Политики	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК».
должностные лица Банка, контрагентов - юридических лиц.	Категория «Иные персональные данные»: Фамилия, имя, отчество (при наличии), должность, подпись.	Смешанный п.5.1-п.5.4 Политики	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК».
Цель обработки ПДн: Рассмотрение обращений/ запросов Субъектов ПДн.
Субъекты ПДн	Категории и перечень обрабатываемых ПДн	Способ обработки	Сроки обработки и хранения	Порядок уничтожения
Клиенты/контрагенты-физические лица (потенциальные клиенты\контрагенты) представители клиентов/контрагентов, аффилированные лица контрагентов.	Категория «Иные персональные данные»: фамилия; имя; отчество (при наличии); дата рождения; данные документа, удостоверяющего личность; адрес; номера контактных телефонов, адрес электронной почты.	Смешанный п.5.1-п.5.4 Политики	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК».
Цель обработки ПДн: Предоставление отчетности/сведений государственным надзорным органам, Банку России в соответствии с требованиями действующего законодательства Российской Федерации.
Субъекты ПДн	Категории и перечень обрабатываемых ПДн	Способ обработки	Сроки обработки и хранения	Порядок уничтожения
Работники и бывшие работники Банка; физические лица, у которых с Банком заключены договоры гражданско-правового характера.	Категория «Иные персональные данные»: Фамилия, имя, отчество (при наличии); число, месяц, год рождения; гражданство; реквизиты (данные) документа, удостоверяющего личность; адрес места регистрации; адрес фактического проживания; ИНН; СНИЛС; номер контактного телефона; сведения о трудовой деятельности, ФИО, дата рождения ребенка, не достигшего 18 лет работника, доходы, удержания, вычеты. Прочие персональные данные, необходимые для достижения цели обработки персональных данных, указанной в п.5 настоящего Приложения, сбор и получение которых осуществляется Банком при наличии и с учетом условий (правовых оснований) обработки персональных данных.	Смешанный, п.5.1-п.5.4 Политики	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК».
Клиенты – физические лица	Категория «Иные персональные данные»: ИНН; Фамилия, имя, отчество, паспортные данные, №счета, дата рождения, гражданство.	Смешанный п.5.1-п.5.4 Политики	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК».
Аффилированные лица Банка	Категория «Иные персональные данные/ «Общедоступные персональные данные»: Фамилия, имя, отчество; должность.	Смешанный п.5.1-п.5.4 Политики	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК».
Цель обработки ПДн: Реализация процедур корпоративного управления и проведение антикоррупционных мероприятий
Субъекты ПДн	Категории и перечень обрабатываемых ПДн	Способ обработки	Сроки обработки и хранения	Порядок уничтожения
Члены органов управления Банка, участники Банка. кандидаты на назначение (избрание) в состав органов управления Банка, работники Банка.	Категория: иные персональные данные: фамилия; имя; отчество; контактные данные (номер телефона, адрес электронной почты); должность; место работы; адрес (в том числе адрес регистрации по месту жительства/пребывания; фактический адрес; рабочий адрес); дата рождения; подпись; сведения об образовании; сведения о работе; профессия; сведения о семейном положении; сведения о совершенных транзакциях; сведения о расходах; сведения о доходах; данные документов, удостоверяющих личность (сведения о смене ранее выданного документа, удостоверяющего личность; видеозапись (при наличии). Категория «Специальные персональные данные»: в случаях предусмотренных законодательством: сведения о судимости. прочие персональные данные, необходимые для достижения цели обработки персональных данных, указанной в п. 6 настоящего Приложения, сбор (получение) которых осуществляется при наличии и учетом условий (правовых оснований) обработки персональных данных.	Смешанный п.5.1-п.5.4 Политики	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК».
7.       Обеспечение соблюдения внутриобъектового режима/ охраны помещений и хранилищ, сохранности ценностей
Работники и бывшие работники Банка; клиенты- физические лица, посетители, представители клиентов и контрагентов.	Категория «Иные персональные данные»: Фамилия, имя, отчество, паспортные данные, должность, видеозапись (при наличии).	Смешанный п.5.1-п.5.4 Политики	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК
Участники Банка, кандидаты на замещение вакантных должностей в Банке.	Категория «Иные персональные данные»: Фамилия, имя, отчество, паспортные данные.	Смешанный п.5.1-п.5.4 Политики	п.5.5, Раздел 7 Политики, Порядок уничтожения персональных данных ООО КБ «ВНЕШФИНБАНК