ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. ТЕРМИНЫ, ОПРЕДЕЛЕНИЯ И СОКРАЩЕНИЯ
   • Персональные данные (ПД) – любая информация, относящаяся к прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
   • Оператор – ООО «Мерлион», самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных (ПД), а также определяющее цели обработки ПД, состав ПД, подлежащих обработке, действия (операции), совершаемые с ПД.
   • Интернет-сайт – сайт, размещенный в сети Интернет по адресу: https://starwind.com.ru/, а также иные сайты в сети Интернет, администратором и правообладателем которых является Оператор.
   • Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
   • Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
   • Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных).
   • Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
   • Обезличивание персональных данных – действия, в результате которых становится невозможным, без использования дополнительной информации, определить принадлежность персональных данных конкретному субъекту персональных данных.
   • Информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных ПД и обеспечивающих их обработку информационных технологий и технических средств.
2. ОБЩИЕ ПОЛОЖЕНИЯ
   1. Политика об обработке персональных данных в ООО «Мерлион» (далее – Политика) определяет принципы и условия обработки ПД, меры по защите ПД, а также обязанности Оператора при их обработке.
   2. Цель Политики – защита персональных данных субъектов персональных данных от несанкционированного доступа и разглашения. Персональные данные субъектов персональных данных являются конфиденциальной, охраняемой информацией.
   3. Политика разработана в соответствии с положениями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – закон № 152-ФЗ), а также иными подзаконными нормативно-правовыми актами в сфере ПД.
   4. Политика действует в отношении всех ПД, обрабатываемых Оператором, и является основой для организации работы по обработке ПД в компании Оператора.
   5. Политика вступает в силу с даты её утверждения приказом генерального директора Оператора и действует до её отмены или внесения изменений в соответствии с действующим законодательством.
   6. Все работники Организации должны быть ознакомлены с настоящей Политикой под роспись.
   7. Во исполнение требований ч. 2 ст. 18.1 закона № 152-ФЗ Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на Интернет-сайте.
3. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
   1. Обработка ПД Оператором осуществляется на основании следующих принципов:
      • обработка ПД осуществляется на законной и справедливой основе;
      • обработка ПД ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПД, несовместимая с целями сбора ПД;
      • не допускается объединение баз данных, содержащих ПД, обработка которых осуществляется в целях, несовместимых между собой;
      • обработке подлежат только ПД, которые отвечают целям их обработки;
      • содержание и объем обрабатываемых ПД должны соответствовать заявленным целям обработки. Обрабатываемые ПД не должны быть избыточными по отношению к заявленным целям их обработки;
      • при обработке ПД должны быть обеспечены точность ПД, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПД;
      • хранение ПД осуществляется в форме, позволяющей определить субъекта ПД, не дольше, чем этого требуют цели обработки ПД, если срок хранения ПД не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПД;
      • обрабатываемые ПД подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
4. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ, КАТЕГОРИИ И ПЕРЕЧЕНЬ ОБРАБАТЫВАЕМЫХ ДАННЫХ
   1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. В зависимости от конкретных целей обработки персональных данных такая обработка может включать в себя, в частности, совершение всех или некоторых из следующих действий (операций) с персональными данными: сбор (получение), запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
   2. Для каждой цели обработки персональных данных Оператором определены:
      • соответствующие категории и перечень обрабатываемых персональных данных;
      • категории Субъектов персональных данных, персональные данные которых обрабатываются Компанией;
      • способы и сроки обработки и хранения персональных данных;
      • порядок уничтожения персональных данных.
   3. Цели обработки персональных данных и соответствующие им категории и перечень обрабатываемых персональных данных, категории Субъектов персональных данных, способы обработки и перечень действий с ПД приведены в Приложении 1 к Политике, которое является его неотъемлемой частью.
   4. Оператор может разрабатывать отдельные локально-нормативные акты в отношении разных категорий субъектов персональных данных.
5. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
   1. Обрабатываемые Оператором ПД могут быть получены, как непосредственно от субъекта ПД, так и от иных третьих лиц, являющихся контрагентами Оператора. Если персональные данные возможно получить только у третьей стороны, то субъект персональных данных должен быть уведомлен об этом заранее и от него должно быть получено согласие. Должностное лицо Оператора должно сообщить субъекту персональных данных о целях, предполагаемых источниках и способах получения персональных данных, а также о характере подлежащих получению персональных данных и последствиях отказа дать письменное согласие на их получение.
   2. Оператор не имеет права получать и обрабатывать персональные данные субъектов персональных данных о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни. В случаях, непосредственно связанных с вопросами трудовых отношений, в соответствии со ст. 24 Конституции Российской Федерации Оператор вправе получать и обрабатывать данные о частной жизни работника только с его письменного согласия.
   3. Персональные данные соискателей могут быть получены следующими способами: непосредственно от соискателя (путем предоставления резюме, заполнения анкеты, участия в собеседовании); из общедоступных источников (например, из профессиональных социальных сетей); от третьих лиц (например, от рекомендателей, кадровых агентств с согласия соискателя).
   4. Оператор использует следующие способы обработки персональных данных: автоматизированная обработка (с использованием средств автоматизации) и неавтоматизированная обработка (без использования средств автоматизации), а также смешанная, в том числе путем осуществления следующих действий – сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
   5. Обработка персональных данных осуществляется с соблюдением требований законодательства Российской Федерации и Политики, а также положений локальных актов Оператора, регламентирующих вопросы обработки и защиты персональных данных.
   6. Автоматизированная обработка персональных данных должна осуществляться в информационных системах персональных данных Оператора в строгом соответствии с настоящей Политикой.
   7. Автоматизированная обработка персональных данных производится с помощью средств вычислительной техники, как установленных локально, так и объединённых в информационные системы персональных данных.
   8. Доступ к информационным системам персональных данных предоставляется уполномоченным работникам только для исполнения ими своих трудовых функций и должностных обязанностей.
   9. При автоматизированной обработке, персональные данные содержатся на машинных носителях персональных данных. Фиксация персональных данных на машинном носителе производится с использованием средств вычислительной техники (копирование персональных данных на любой съёмный или несъёмный машинный носитель, ввод персональных данных в базу данных и т.п.).
   10. Неавтоматизированная обработка персональных данных осуществляется Оператором таким образом, чтобы персональные данные обособлялись от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных, в специальных разделах или на полях форм (бланков) и иными способами.
   11. При неавтоматизированной обработке персональных данных, предполагающей использование типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных, Оператор обеспечивает выполнение следующих условий:
       1. типовая форма или связанные с ней документы (инструкция по её заполнению, карточки, реестры и журналы) должны содержать:
          • сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации;
          • реквизиты Оператора (наименование и адрес);
          • фамилию, имя, отчество (при наличии) и адрес субъекта персональных данных;
          • источник получения персональных данных;
          • сроки обработки персональных данных;
          • перечень действий с персональными данными, которые будут совершаться в процессе их обработки;
          • общее описание используемых Оператором способов обработки персональных данных;
       2. при необходимости получения письменного согласия на обработку персональных данных типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации;
       3. типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;
       4. типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.
   12. При сохранении персональных данных на материальных носителях (в т.ч. машинных носителях) не допускается сохранение на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных, должны быть приняты меры по обеспечению раздельной обработки персональных данных. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных следует использоваться отдельный материальный носитель.
   13. Оператор обеспечивает информирование лиц, осуществляющих обработку персональных данных без использования средств автоматизации (работники Оператора и другие лица, осуществляющие обработку персональных данных по поручению Оператора) о факте обработки ими персональных данных, обработка которых осуществляется Оператором без использования средств автоматизации, категориях обрабатываемых персональных данных, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также локальными нормативными документами Оператора.
   14. Оператор вправе принимать решения, порождающие юридические последствия в отношении субъекта персональных данных или иным образом затрагивающее его права и законные интересы, на основании исключительно автоматизированной обработки его персональных данных, только при наличии согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению соблюдения прав и законных интересов субъекта персональных данных. Обработка персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи производится Оператором только при наличии предварительного согласия субъекта персональных данных. Оператор обязано немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных в вышеуказанных целях.
6. ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА И СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
   1. Оператор вправе:
      • требовать от субъекта персональных данных предоставления персональных данных, необходимых для заключения договора, в том числе трудового и выполнения своих обязательств;
      • проверять достоверность предоставляемых персональных данных и запрашивать у субъекта персональных данных документы, подтверждающие достоверность предоставленных им персональных данных;
      • использовать полученные персональные данные в случаях, предусмотренных законодательством и локальными актами Оператора;
      • передавать персональные данные третьим лицам в случаях, предусмотренных законодательством Российской Федерации (в налоговые органы, органы статистики, Пенсионный фонд, Фонд социального страхования, военкоматы и т.д.), а также поручить обработку персональных данных третьим лицам при наличии соответствующих правовых оснований и соблюдении требований законодательства Российской Федерации;
      • самостоятельно устанавливать порядок обработки персональных данных, разрабатывать и утверждать локальные нормативные акты, регулирующие вопросы обработки и защиты персональных данных;
      • отказать в приеме на работу лицу, предоставившему недостоверные персональные данные;
      • реализовывать иные права, предусмотренные законодательством Российской Федерации.
   2. Оператор обязан:
      • осуществлять обработку персональных данных субъекта персональных данных в целях, определенных в Приложении 1 к Политике;
      • предоставлять субъекту ПД по его запросу информацию, касающуюся обработки его ПД, либо на законных основаниях предоставить отказ;
      • по требованию субъекта ПД уточнять обрабатываемые ПД, блокировать или удалять, если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
      • уведомлять субъекта ПД об обработке в том случае, если ПД были получены не от субъекта ПД;
      • разъяснять субъекту персональных данных последствия непредоставления или предоставления недостоверных персональных данных;
      • не получать и не обрабатывать персональные данные, касающиеся политических, религиозных и иных убеждений, а также частной жизни, за исключением случаев, предусмотренных законодательством Российской Федерации. В случаях, когда обработка таких данных непосредственно связана с вопросами трудовых отношений, Оператор вправе получать и обрабатывать данные о частной жизни субъектов персональных данных только на основании его письменного согласия;
      • уничтожить/обеспечить уничтожение персональных данных субъектов персональных данных по достижении цели их обработки в сроки, установленные законодательством;
      • принимать меры по защите персональных данных от неправомерного доступа, изменения, раскрытия или уничтожения.
   3. Субъект персональных данных обязан:
      • предоставлять Оператору или его уполномоченному представителю достоверные и полные персональные данные, необходимые для достижения целей, указанных в Приложении 1 к Политике;
      • в срок, не превышающий 5 рабочих дней, уведомлять Оператора об изменении своих персональных данных, которые могут повлиять на исполнение договора, в том числе трудового или реализацию прав и обязанностей Оператора и субъекта персональных данных;
      • соблюдать требования законодательства Российской Федерации, локальных нормативных актов Оператора в области защиты персональных данных.
   4. Субъект персональных данных имеет право:
      1. На информацию, касающуюся обработки его персональных данных Оператором, а именно:
         • подтверждение факта обработки персональных данных Оператором;
         • касающейся целей и применяемых Оператором способов обработки персональных данных;
         • наименование и местонахождение Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
         • перечень обрабатываемых персональных данных, относящихся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
         • сроки обработки персональных данных, в том числе сроки их хранения;
         • порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом «О персональных данных»;
         • информацию об осуществленной или о предполагаемой трансграничной передаче данных;
         • наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
         • иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.
      2. Получить доступ к своим персональным данным, обрабатываемым Оператором.
      3. Требовать от Оператора уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не необходимыми для заявленной цели обработки.
      4. Требовать прекращения обработки своих ПД.
      5. Отозвать свое согласие на обработку ПД.
      6. Для реализации и защиты своих прав и законных интересов субъект ПД или его представители имеют право обратиться к Оператору по адресу электронной почты: info@merlion.com, либо по адресу: 143401, Московская Область, г. Красногорск, б-р. Строителей, д. 4, к. 1, этаж 8, кабинет 819.
7. УЧЕТ, ХРАНЕНИЕ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
   1. Оператор осуществляет учет персональных данных, обрабатываемых в информационных системах персональных данных (ИСПДн) и на материальных носителях (включая бумажные).
   2. Хранение персональных данных осуществляется в условиях, обеспечивающих их безопасность и защиту от несанкционированного доступа, изменения, копирования, распространения, блокирования, уничтожения и иных неправомерных действий.
   3. Сроки хранения персональных данных определяются в соответствии с законодательством Российской Федерации в том числе, но не ограничиваясь Федеральным законом от 22.10.2004 №125-ФЗ «Об архивном деле в Российской Федерации», Приказом Росархива от 20.12.2019 №236 «Об утверждении Перечня типовых архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков хранения», договорами с субъектами персональных данных и внутренними актами Оператора и фиксируются в перечне документов, образующихся в деятельности организации, с указанием сроков их хранения.
   4. Уничтожение персональных данных осуществляется в случаях, предусмотренных Законом о персональных данных и иными нормативными правовыми актами Российской Федерации.
   5. Порядок учета, хранения и уничтожения персональных данных определен в Регламенте учета, хранения и уничтожения персональных данных Оператора.
8. ПОРЯДОК ОБНОВЛЕНИЯ И ИЗМЕНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ
   1. Оператор обеспечивает актуальность и достоверность обрабатываемых персональных данных субъектов персональных данных.
   2. Субъект персональных данных обязан своевременно, в срок, не превышающий 5 рабочих дней, уведомлять Оператора об изменении персональных данных, которые могут повлиять на исполнение трудового договора или реализацию прав и обязанностей Оператора (например, изменение фамилии, имени, отчества, адреса места жительства, паспортных данных и т.д.).
   3. Обновление или изменение персональных данных субъектов персональных данных осуществляется на основании письменного заявления субъекта персональных данных и/или представленных им документов, подтверждающих такие изменения (например, копия паспорта, свидетельства о браке, диплома и т.д.).
   4. Оператор, получив заявление об обновлении или изменении персональных данных субъекта персональных данных, обязан в течение 7 рабочих дней с момента получения заявления внести такие изменения.
   5. В случае выявления неточных или неполных персональных данных субъектов персональных данных Оператор вправе самостоятельно внести необходимые уточнения или дополнения на основании имеющихся у него документов (например, на основании копии паспорта субъекта персональных данных). В этом случае Оператор обязан уведомить субъекта персональных данных о внесенных изменениях.
   6. В целях обеспечения достоверности персональных данных Оператор вправе периодически проводить сверку персональных данных субъектов персональных данных с имеющимися у них документами (например, при проведении ежегодных отпусков, при оформлении кадровых документов и т.д.).
9. ПОРЯДОК ПЕРЕДАЧИ ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ
   1. Обработка ПД в компании Оператора осуществляется:
      • работниками Оператора;
      • другими лицами, осуществляющими обработку ПД по поручению Оператора.
   2. Обработка ПД другими лицами может осуществляться на основании соответствующего договора с Оператором, в котором содержится поручение на обработку ПД с согласия субъекта ПД, если иное не предусмотрено законом № 152-ФЗ.
   3. При передаче ПД третьей стороне должны выполняться следующие условия:
      • передача (предоставление доступа) ПД третьей стороне осуществляется на основании договора, условием которого является обеспечение третьей стороной конфиденциальности ПД и безопасности ПД при их обработке;
      • передача (предоставление доступа) ПД третьей стороне осуществляется на основании действующего законодательства РФ;
      • наличие согласие субъекта ПД на передачу его ПД третьей стороне, за исключением случаев, предусмотренных законодательством.
   4. Оператор вправе поручить обработку персональных данных другому лицу на основании договора с Оператором, в котором содержится поручение на обработку персональных данных с согласия субъекта персональных данных, если иное не предусмотрено законом № 152-ФЗ. В поручении должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цель их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, требования, предусмотренные частью 5 статьи 18 и статьей 18.1 закона № 152-ФЗ, обязанность по запросу Оператора в течение срока действия поручения, в том числе до обработки персональных данных, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения Оператора требований, обязанность обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 закона № 152-ФЗ, в том числе требование об уведомлении Оператора о случаях, предусмотренных частью 3.1 статьи 21 закона № 152-ФЗ.
10. ПОРЯДОК РАССМОТРЕНИЯ ОБРАЩЕНИЙ И/ИЛИ ЗАПРОСОВ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
    1. При рассмотрении обращений и/или запросов субъектов персональных данных Оператор руководствуется законодательством Российской Федерации.
    2. Запросы (обращения) субъектов персональных данных принимаются Оператором в следующих формах:
       • Письменной: направляются почтой по адресу: 143401, Московская Область, г. Красногорск, б-р. Строителей, д. 4, к. 1, этаж 8, кабинет 819.
       • Электронной: направляются на адрес электронной почты: info@merlion.com.
       • Лично: передаются сотруднику Оператора по адресу: 143401, Московская Область, г. Красногорск, б-р. Строителей, д. 4, к. 1, этаж 8, кабинет 819.
    3. Предоставление информации и/или принятие иных мер в связи с поступлением обращений и/или запросов производится в объеме и сроки, предусмотренные законодательством Российской Федерации. Установленный срок ответа на обращение и/или запрос о предоставлении информации, касающейся обработки персональных данных, может быть продлен на основании установленных ограничений с направлением в адрес субъекта персональных данных мотивированного уведомления, содержащего сведения о причинах продления срока предоставления запрашиваемой информации.

       Запрос/сообщение	Срок исполнения
       Информация о наличии/отсутствии ПД	10 рабочих дней с даты получения запроса от субъекта ПД. Срок может быть продлен не более чем на 5 рабочих дней при условии направления мотивированного уведомления субъекту ПД с указанием причин продления.
       Изменение/Актуализация ПД	7 рабочих дней со дня предоставления подтверждающих сведений субъектом ПД.
       Уничтожение незаконно полученных/избыточных ПД	7 рабочих дней со дня предоставления подтверждающих сведений субъектом ПД.
       Неправомерная обработка ПД	3 рабочих дня с даты выявления неправомерной обработки для прекращения обработки, 10 рабочих дней для уничтожения ПД.
       Отзыв согласия на обработку ПД	Незамедлительно прекратить обработку ПД, за исключением случаев, когда обработка может осуществляться без согласия субъекта (например, в силу закона или договора). Уничтожение ПД (или обеспечение прекращения обработки) в срок до 30 дней с даты поступления отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами (например, в случае исполнения требований законодательства).
       Предоставление информации уполномоченному органу (Роскомнадзору)	10 рабочих дней с даты получения запроса от Роскомнадзора. Возможно продление на 5 рабочих дней с мотивированным уведомлением.

    4. Оператор, получив обращение и/или запрос и убедившись в его законности, предоставляет ему сведения, указанные в запросе, в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, и/или принимает иные меры в зависимости от специфики (особенностей) обращения и/или запроса. Предоставляемые Оператором сведения не могут содержать персональные данные, принадлежащие другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
    5. Оператор вправе отказать в удовлетворении требований, указанных в обращении и/или запросе, путем направления ему мотивированного отказа, если у Оператора в соответствии с законодательством Российской Федерации имеются законные основания отказать в выполнении/удовлетворении поступивших требований.
    6. Запросы (обращения) субъектов персональных данных регистрируются в реестре/журнале учета обращений (запросов) субъектов персональных данных.
    7. Сроки предоставления информации или принятия мер в связи с поступлением обращений и/или запросов могут быть продлены до 6 месяцев при отсутствии у Оператора технической возможности уничтожить ПД в более короткие сроки.
    8. Детальный порядок реагирования на запросы (обращения) субъектов персональных данных утвержден Регламентом реагирования на запросы (обращения) субъектов персональных данных Оператора.
11. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ
    1. При обработке ПД Оператор принимает необходимые правовые, организационные и технические меры для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПД, а также от иных неправомерных действий в отношении ПД.
    2. Обеспечение безопасности ПД достигается, в частности:
       • назначением ответственного лица за организацию обработки ПД;
       • изданием документов, определяющих политику Оператора в отношении обработки ПД, локальных актов по вопросам обработки и защиты ПД, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений;
       • определением модели угроз безопасности персональным данным при их обработке в информационных системах персональных данных;
       • применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных субъектов, исполнение которых обеспечивает установленные Правительством РФ уровни защищенности персональных данных;
       • обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;
       • установлением правил доступа к персональным данным, обрабатываемым в информационных системах персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационных системах персональных данных;
       • осуществлением внутреннего контроля соответствия обработки персональных данных требованиям законов и нормативных правовых актов, требованиям к защите ПД, политике Оператора в отношении обработки ПД, локальным актам Оператора;
       • проведением оценки вреда, который может быть причинен субъектам ПД в случае нарушения требований законодательства Российской Федерации;
       • должностные инструкции ответственных лиц дополнены обязанностями по защите персональных данных;
       • работники Оператора, непосредственно осуществляющие обработку ПД, ознакомлены с положениями законодательства Российской Федерации о ПД, в том числе с требованиями к защите ПД, документами, определяющими политику Оператора в отношении обработки ПД, локальными актами Оператора по вопросам обработки ПД, проведено обучение работников.
    3. Уровни защищенности персональных данных при их обработке в информационных системах персональных данных Оператора, требования к защите персональных данных, обеспечивающих уровни защищенности персональных данных, определяются в зависимости от актуальных угроз безопасности персональным данным с учётом возможного вреда субъекту персональных данных, объёма и содержания обрабатываемых персональных данных, вида деятельности, при осуществлении которого обрабатываются персональные данные в соответствии с требованиями Постановлений Правительства Российской Федерации, подзаконных нормативных правовых актов ФСТЭК России, ФСБ России и Минцифры России, а также договорами между Оператором, операторами персональных данных и субъектами персональных данных.
    4. Использование, хранение и иная обработка биометрических персональных данных Оператором не осуществляется.
    5. Защита персональных данных при неавтоматизированной обработке осуществляется в соответствии с требованиями нормативных правовых актов РФ и локальных нормативных актов Оператора по работе с материальными носителями информации.
12. КОНФИДЕНЦИАЛЬНОСТЬ ПЕРСОНАЛЬНЫХ ДАННЫХ
    1. Информация, относящаяся к персональным данным, ставшая известной Оператору, является конфиденциальной информацией и охраняется законом.
    2. Оператор в процессе своей деятельности обеспечивает конфиденциальность обрабатываемых персональных данных, в частности Оператор обязуется не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено действующим законодательством Российской Федерации.
    3. Работники Оператора и иные лица, получившие доступ к обрабатываемым персональным данным, должны быть уведомлены о необходимости соблюдения конфиденциальности персональных данных и подписать обязательство о неразглашении конфиденциальной информации, а также быть предупреждены о возможной дисциплинарной, административной, гражданско-правовой и уголовной ответственности в случае нарушения норм и требований действующего законодательства Российской Федерации в области обработки персональных данных.
    4. Договоры Оператора с контрагентами должны содержать условия конфиденциальности передаваемых и получаемых персональных данных, в том числе с лицами, привлекаемыми для обработки персональных данных.
13. ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЕ ТРЕБОВАНИЙ ПО ОБРАБОТКЕ И ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
    1. Оператор и/или работники Оператора, виновные в нарушении требований законодательства РФ в области ПД, а также положений Политики, несут предусмотренную законодательством Российской Федерации ответственность.
    2. Работник Оператора несет ответственность за обеспечение конфиденциальности ПД субъектов ПД, ставших ему известными в связи с выполнением своих должностных обязанностей и в случае противоправного раскрытия (разглашения) им ПД в полном объеме возмещает причиненный Оператору ущерб.
    3. Оператор не несет ответственности за разглашение персональных данных работника, если такое разглашение произошло не по вине Оператора, а в результате действий третьих лиц или самого работника.
14. ОБРАБОТКА СПЕЦИАЛЬНЫХ КАТЕГОРИЙ ПЕРСОНАЛЬНЫХ ДАННЫХ
    1. Обработка специальных категорий данных осуществляется в порядке, установленном законом № 152-ФЗ, другими нормативными правовыми актами Российской Федерации в области защиты информации и персональных данных с учетом целей обработки персональных данных в соответствии с Уведомлением об обработке персональных данных, направленным Оператором в Роскомнадзор.
    2. У Оператора не допускается обработка следующих категорий персональных данных, касающихся:
       • расовой принадлежности;
       • политических взглядов;
       • философских убеждений;
       • интимной жизни;
       • национальной принадлежности;
       • религиозных убеждений.
    3. Перечень персональных данных, в том числе специальных категорий персональных данных, обрабатываемых Оператором, определяется в соответствии с законодательством Российской Федерации и локальными нормативными актами Оператора с учетом целей обработки персональных данных, указанных в Приложении № 1 к Политике и в соответствии с Уведомлением об обработке ПД, направленным Оператором в Роскомнадзор.
15. ОСОБЕННОСТИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ, РАЗРЕШЕННЫХ СУБЪЕКТОМ ПЕРСОНАЛЬНЫХ ДАННЫХ ДЛЯ РАСПРОСТРАНЕНИЯ
    1. Оператор в рамках своей деятельности может осуществлять обработку персональных данных, разрешённых субъектом персональных данных для распространения.
    2. Оператор, в соответствии с требованиями статьи 10.1 закона № 152-ФЗ осуществляет обработку персональных данных, разрешенных субъектом персональных данных для распространения только при наличии соответствующего согласия.
    3. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, должно оформляться отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Оператор обязуется обеспечить субъекту персональных данных возможность определить перечень персональных данных по каждой категории персональных данных, указанной в согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
    4. Форма и содержание согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения должны соответствовать требованиям, которые установлены уполномоченным органом по защите прав субъектов персональных данных в отношении такого согласия. Молчание или бездействие субъекта персональных данных ни при каких обстоятельствах не может считаться согласием на обработку персональных данных, разрешенных субъектом персональных данных для распространения.
    5. Согласие на обработку персональных данных, разрешенных субъектом персональных данных для распространения, может быть предоставлено Оператору:
       • непосредственно;
       • с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.

       Правила использования информационной системы уполномоченного органа по защите прав субъектов персональных данных, в том числе порядок взаимодействия субъекта персональных данных с Оператором, определяются уполномоченным органом по защите прав субъектов персональных данных.

    6. В согласии на обработку персональных данных, разрешенных субъектом персональных данных для распространения, субъект персональных данных вправе установить запреты на передачу (кроме предоставления доступа) этих персональных данных Оператором неограниченному кругу лиц, а также запреты на обработку или условия обработки (кроме получения доступа) этих персональных данных неограниченным кругом лиц.
    7. Оператор обязуется в срок не позднее трех рабочих дней с момента получения соответствующего согласия субъекта персональных данных опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных субъектом персональных данных для распространения.
    8. Оператор обязуется прекратить передачу (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, в случае поступления от субъекта персональных данных соответствующего требования. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению.
16. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ С ИСПОЛЬЗОВАНИЕМ ИНФОРМАЦИОННО-КОММУНИКАЦИОННОЙ СЕТИ «ИНТЕРНЕТ»
    1. Сбор персональных данных осуществляется через специальные формы на Интернет-ресурсах Оператора, партнеров и мобильных приложений с согласия пользователей.
    2. Сбор и иная обработка персональных данных пользователей Интернет ресурсов может осуществляться без их согласия в случаях, когда это происходит для исполнения гражданско-правового договора, заключенного между Оператором и пользователем, либо договора, где пользователь является выгодоприобретателем, а также в иных случаях, установленных законодательством Российской Федерации.
17. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

    Правовыми основаниями обработки персональных данных для достижения целей, указанных в Приложении №1 к Политике, являются:

    1. Выполнение функций, полномочий и обязанностей, возложенных на Оператор действующим законодательством Российской Федерации, регулирующими отношения, связанные с деятельностью Оператора:
       • Конституция Российской Федерации;
       • Трудовой кодекс Российской Федерации;
       • Гражданский кодекс Российской Федерации;
       • Налоговый кодекс Российской Федерации;
       • Федеральный закон от 07.07.2003 № 126-ФЗ «О связи»;
       • Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
       • Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
       • Федеральный закон от 29.12.2006 № 255-ФЗ «Об обязательном социальном страховании на случай временной нетрудоспособности и в связи с материнством»;
       • Федеральный закон от 24.07.1998 № 125-ФЗ «Об обязательном социальном страховании от несчастных случаев на производстве и профессиональных заболеваний»;
       • Федеральный закон от 29.11.2010 № 326-ФЗ «Об обязательном медицинском страховании в Российской Федерации»;
       • Федеральный закон от 25 декабря 2008 г. № 273-ФЗ «О противодействии коррупции»;
       • Федеральный закон от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма»;
       • Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей»;
       • Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»;
       • Федеральный закон от 08.02.1998 № 14-ФЗ «Об обществах с ограниченной ответственностью»;
       • Федеральный закон от 25.07.2002 № 115-ФЗ «О правовом положении иностранных граждан в Российской Федерации»;
       • Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»;
       • Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учете в системе обязательного пенсионного страхования»;
       • Федеральный закон от 12.08.1995 № 144-ФЗ «Об оперативно-розыскной деятельности»;
       • Постановление Правительства РФ от 27.11.2006 № 719 «Об утверждении Положения о воинском учете»;
       • иные нормативные правовые акты Российской Федерации, субъектов Российской Федерации и органов местного самоуправления.
    2. Обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем.
    3. Обработка персональных данных необходима для осуществления прав и законных интересов Оператора или третьих лиц, если при этом не нарушаются права и свободы субъекта персональных данных, в т.ч. в соответствии с локальными нормативными актами и иными внутренними документами Оператора.
    4. Обработка персональных данных осуществляется с согласия субъекта персональных данных (или его законного представителя) на обработку его персональных данных.
    5. Обработка персональных данных осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах.
    6. Обработка персональных данных необходима для исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с действующим законодательством Российской Федерации об исполнительном производстве.
    7. Обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно.
    8. Обработка персональных данных по поручению третьих лиц, при которой третье лицо, самостоятельный оператор персональных данных обеспечивает надлежащее правовое основание для обработки персональных данных.
18. ОБЕЗЛИЧИВАНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
    1. Оператор по запросу федерального органа исполнительной власти, осуществляющего функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий обязан обезличить и предоставить персональные данные, полученные в результате обезличивания.
    2. При обезличивании персональных данных Оператор обеспечивает:
       1. использование методов обезличивания персональных данных, за исключением случаев, указанных в пункте 9.1 части 1 статьи 6 закона № 152-ФЗ, предусмотренных Приказом Роскомнадзора от 19.06.2025 № 140;
       2. определение перед началом осуществления действий по обезличиванию персональных данных состава персональных данных, подлежащих обезличиванию, субъектов, персональные данные которых подлежат обезличиванию;
       3. оценку достаточности выбранного метода (методов) обезличивания персональных данных для достижения целей обработки персональных данных, полученных в результате обезличивания, на основании категорий субъектов, персональные данные которых подлежат обезличиванию, категорий персональных данных, подлежащих обезличиванию, и правовых оснований обработки персональных данных, подлежащих обезличиванию;
       4. невозможность без использования дополнительной информации определения принадлежности персональных данных, полученных в результате обезличивания, субъекту персональных данных путем применения методов обезличивания персональных данных, предусмотренных Приказом Роскомнадзора от 19.06.2025 № 140;
       5. использование информационных систем и (или) программ для электронных вычислительных машин, которые предназначены и (или) используются для обезличивания персональных данных, в которых обеспечиваются безопасность и конфиденциальность персональных данных, подлежащих обезличиванию и персональных данных, полученных в результате обезличивания, в случае обезличивания персональных данных с использованием средств автоматизации;
       6. исключение совместного хранения массива персональных данных, подлежащих обезличиванию, и персональных данных, полученных в результате обезличивания;
       7. учет осуществляемых действий по обезличиванию персональных данных, действий (операций), совершаемых с персональными данными, полученными в результате обезличивания, в определенной оператором форме, позволяющей обеспечить подтверждение осуществленных оператором действий, по обезличиванию персональных данных, действий (операций), совершаемых с персональными данными, полученными в результате обезличивания.
    3. Деятельность по обезличиванию персональных данных обеспечивается Оператором в том числе путем:
       1. принятия локальных актов, определяющих порядок обработки персональных данных, подлежащих обезличиванию, осуществления деятельности по обезличиванию персональных данных, оценки достаточности применяемого метода (методов) обезличивания персональных данных, обработки персональных данных, полученных в результате обезличивания персональных данных;
       2. исключения доступа третьих лиц к принятым Оператором локальным актам или информации об используемом методе (методах) обезличивания персональных данных, используемых информационных системах и (или) программах для электронных вычислительных машин для обезличивания персональных данных, а равно иной информации о процедуре проведения обезличивания персональных данных;
       3. принятия локального акта, устанавливающего правила изменения состава или семантики персональных данных путем удаления, искажения и (или) изменения атрибутов персональных данных, в случае использования метода обезличивания персональных данных путем изменения состава или семантики персональных данных;
       4. принятия локального акта, устанавливающего правила перемешивания персональных данных, предусматривающие алгоритм перестановки каждого отдельного значения атрибута персональных данных и (или) групп значений атрибутов персональных данных на заданное оператором количество позиций, в случае использования метода обезличивания персональных данных путем перемешивания персональных данных;
       5. принятия локального акта, устанавливающего правила разбиения массива персональных данных, подлежащих обезличиванию, и определения места хранения его частей, в случае использования метода обезличивания персональных данных путем декомпозиции персональных данных;
       6. обеспечения хранения локальных актов, предусмотренных п. 18.3.3.–18.3.5. отдельно от персональных данных, полученных в результате обезличивания с использованием соответствующего метода (методов) обезличивания персональных данных и исключения доступа к ним третьих лиц;
       7. выделения при использовании методов обезличивания персональных данных, а именно путем введения идентификаторов персональных данных, изменения состава или семантики персональных данных, перемешивания персональных данных, декомпозиции персональных данных, субъектов персональных данных, атрибуты персональных данных которых подлежат обобщению, определения правил вычисления значений, на которые будет осуществляться замена исходных атрибутов персональных данных субъектов персональных данных, и способов их группировки по полученным значениям атрибутов персональных данных.
19. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
    1. Оператор имеет право вносить изменения и дополнения в Политику. Все изменения и дополнения вносятся на основании приказа (распоряжения) генерального директора Оператора и вступают в силу с момента их утверждения, если иной срок не указан в приказе (распоряжении).
    2. При внесении изменений в Политику Оператор обязан ознакомить с ними всех работников, на которых распространяет свое действие Политика, под подпись.
    3. Политика, а также иные локальные нормативные акты Оператора, регулирующие вопросы обработки и защиты персональных данных, размещаются в общедоступном месте (например, на информационном стенде в отделе кадров, на внутреннем портале Оператора).
    4. Все вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.
20. ПРИЛОЖЕНИЯ

    Приложение 1. Перечень целей обработки персональных данных и соответствующие им категории и перечень персональных данных, категории субъектов, персональные данные которых обрабатываются.

Дата публикации: 23.04.2026
Дата вступления в силу: 23.04.2026

Приложение 1 к Политике

Об обработке персональных данных в ООО «Мерлион»

Перечень целей обработки персональных данных и соответствующие им категории и перечень персональных данных, категории субъектов, персональные данные которых обрабатываются, способы обработки и перечень действий с персональными данными

Настоящим Приложением определяются цели обработки персональных данных (далее – ПД) ООО «Мерлион», категории и перечень обрабатываемых ПД, категории субъектов ПД, способы, сроки обработки и хранения ПД, порядок их уничтожения при достижении целей их обработки или наступления иных законных оснований (далее – Приложение).

Представленный в настоящем Приложении перечень ПД сформирован с учетом требований Закона № 152-ФЗ для предоставления информации о ПД, обработка которых допускается в рамках определенных в Приложении целей обработки ПД. При этом конкретный перечень ПД определяется соответствующим договором, согласием на обработку ПД, требованиями законодательства Российской Федерации с учетом особенностей процесса и/или продукта, услуг Оператора.

Сроки обработки и хранения ПД, а также порядок уничтожения ПД при достижении целей их обработки или при наступлении иных законных оснований для каждой цели, указанной в настоящем Приложении, определяются в порядке, предусмотренным разделом 7 Политики.