Политика защиты и обработки персональных данных

Утверждена Приказом

генерального директора АО «ВАИЖК

№ 6 от «22» января 2025 г.

1. Общие положения

1.1. Настоящая политика защиты и обработки персональных данных (далее — Политика) определяет цели, содержание и порядок обработки персональных данных, меры, предпринимаемые Акционерным обществом «Волгоградское агентство ипотечного жилищного кредитования» (далее — Оператор или АО «ВАИЖК») для защиты персональных данных, которые Оператор может получить от физических лиц субъектов персональных данных (далее Субъект) при:

• осуществлении кадрового учета, включая соискание Субъектом вакантных должностей Оператора и заключении между Оператором и Субъектом трудовых договоров;

• подготовке и заключении между Оператором и Субъектом гражданско-правовых договоров;

• возникновении иных случаев взаимодействия Оператора и Субъекта.

1.2. Основные понятия:

• персональные данные (ПД) — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

• оператор — АО «ВАИЖК», самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку ПД, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными;

• клиент — физическое лицо, заключившее с Оператором кредитный договор, договора залога недвижимого имущества (ипотеки), иной вид договора, в том числе и желающее заключить один или несколько договоров с Оператором;

• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;

• автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;

• распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц;

• предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;

• блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для их уточнения);

• уничтожение персональных данных — действия, в результате которых становится невозможным восстановление содержания персональных данных в информационной системе и (или) уничтожаются материальные носители персональных данных;

• обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному Субъекту;

• информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;

1.3. Права и обязанности Оператора и Субъектов персональных данных.

1.3.1. Распространение персональных данных Оператором не допускается.

1.3.2. Субъект персональных данных имеет право на получение от Оператора сведений о факте обработки персональных данных Оператором, способах, порядке, сроках, объёме, правовых основаниях и целях обработки персональных данных, а также требовать немедленно прекратить обработку его ПД в порядке, предусмотренном Федеральным законом № 152-ФЗ «О персональных данных» и настоящей Политикой.

1.3.3. Оператор вправе поручить обработку персональных данных третьим лицам, на основании заключаемого с этими лицами договора. Лица, осуществляющие обработку персональных данных по поручению Оператора, обязуются соблюдать принципы и правила обработки и защиты, предусмотренные Федеральным законом № 152-ФЗ «О персональных данных» и настоящей Политикой. Для каждого лица определены перечень действий (операций) с персональными данными, которые будут им совершаться, цели обработки, установлена обязанность такого лица соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке, а также указаны требования к их защите.

1.3.4. Права и обязанности Оператора и Субъекта персональных данных, не определенные в настоящей Политике, определяются главами 3 и 4 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1.4. Обработка персональных данных осуществляется Оператором и его сотрудниками с соблюдением принципов и условий, предусмотренных настоящей Политикой и законодательством РФ.

1.5. К настоящей Политике имеет свободный доступ любой Субъект персональных данных.

2. Цели сбора и обработки персональных данных

 2.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

2.2. Персональный данные обрабатываются Оператором в следующих целях, в том числе определенных Уставом АО «ВАИЖК»:

• подготовки, заключения, исполнения и прекращения договоров займа, договоров залога недвижимости (ипотеки) и оказания услуг, а также любых иных видов договоров с клиентами и контрагентами Оператора;

• предоставления необходимой информации (консультаций) о кредитных продуктах, оказываемых услугах в области кредитования, проводимых рекламных мероприятиях заинтересованным лицам;

• регулирования трудовых отношений с работниками Оператора (трудоустройство, контроль количества и качества выполняемой работы, ведение кадрового и бухгалтерского учета, заполнение и передача в уполномоченные органы требуемых форм отчетности, организация постановки на индивидуальный (персонифицированный) учет работников в системах пенсионного страхования и обязательного социального страхования, обеспечение сохранности имущества Оператора);

• предоставления работникам Оператора дополнительных гарантий и компенсаций, в том числе добровольного медицинского страхования;

• обеспечение соблюдения законодательных и иных нормативных правовых актов РФ, локальных нормативных актов Оператора;

• исполнения судебных актов, актов других государственных органов или должностных лиц;

• реализации прав и законных интересов Оператора в рамках ведения видов деятельности, предусмотренных Уставом и иными локальными нормативными актами Оператора, или третьих лиц в рамках исполнения заключенных с ними Оператором договоров либо достижения общественно значимых целей;

• организация доступа контрагентов и сотрудников Оператора на объекты Оператора;

3. Правовые основания обработки персональных данных

3.1. При осуществлении обработки персональных данных Оператор действует, руководствуясь действующим законодательством Российской Федерации, в том числе:

• Гражданским кодексом РФ;

• Налоговым кодексом РФ;

• Трудовым кодексом РФ;

• Федеральным законом от 07.02.1992 № 2300-1 «О защите прав потребителей»;

• Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

• Федеральным законом от 26.12.1995 № 218-ФЗ «Об акционерных обществах»;

• Федеральным законом от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники при осуществлении расчетов в РФ»;

• Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе»;

• Федеральным законом от 26.07.2006 № 135-ФЗ «О защите конкуренции»;

3.2. Гражданско-правовыми договорами, заключаемыми между Оператором и контрагентами Оператора;

3.3. Согласиями Субъектов на обработку персональных данных;

3.4. Трудовыми договорами или иными соглашениями между Оператором и его работниками;

3.5. Настоящей Политикой;

3.6. Уставом Оператора;

3.7. иными правовыми документами и актами, относящимися к защите и обработке персональных данных.

4. Категории Субъектов персональных данных, объём и категории, обрабатываемых персональных данных

4.1. К категориям Субъектов персональных данных относятся:

• Работники Оператора, бывшие работники, кандидаты на замещение вакантных должностей, а также близкие родственники работников;

• клиенты (заемщики, залогодатели) и контрагенты оператора (физические лица, в том числе индивидуальные предприниматели, плательщики налога на профессиональный доход [самозанятые]);

• представители / сотрудники клиентов (заемщиков, залогодателей) и контрагентов Оператора (юридических лиц);

• иные Субъекты персональных данных, взаимодействующие с Оператором.

4.2. В целях, указанных в пункте 2 настоящей Политики, обрабатываются следующие категории персональных данных:

4.2.1. для работников Оператора, бывших работников, кандидатов на замещение вакантных должностей, а также близких родственников работников:

• фамилия, имя, отчество;

• пол;

• число, месяц, год рождения;

• номер контактного телефона или сведения о других способах связи;

• адрес регистрации по месту жительства (пребывания) и фактического проживания;

• паспортные данные;

• банковские реквизиты;

• место рождения;

• социальное положение (профессия, семейное положение, наличие детей);

• сведения о доходах по предыдущему месту работы;

• сведения об удержаниях;

• информация о гражданстве;

• реквизиты страхового свидетельства государственного пенсионного страхования (СНИЛС);

• идентификационный номер налогоплательщика;

• сведения о трудовой деятельности;

• сведения о воинском учете и реквизиты документов воинского учета;

• медицинские заключения при необходимости в соответствии с требованиями законодательства РФ;

• сведения о наличии инвалидности;

• информация о наличии или отсутствии судимости при необходимости в соответствии с требованиями законодательства РФ;

• сведения об образовании, квалификации, о профессиональной переподготовке и повышении квалификации.

4.2.2. для клиентов и контрагентов (физических лиц), представителей клиентов и контрагентов Оператора (юридических лиц), оформляющих обращения и заявки на услуги:

• фамилия, имя, отчество;

• число, месяц, год рождения;

• гражданство;
• пол;

• контактные номера телефонов, электронная почта или иные контактные данные;

• адрес места жительства и /или фактического проживания;

• данные документов, удостоверяющих личность;

• банковские реквизиты;

• сведения о трудовой деятельности;

• сведения о сведения о доходах;

• иные данные, самостоятельно предоставленные Субъектами в адрес Оператора;

4.3. Отдельные категории персональных данных могут запрашиваться и обрабатываться в следующих случаях:

• необходимость осуществить консультацию для последующего оказания услуг (ФИО, номер телефона);

• идентификация личности при консультировании о кредитных услугах и оказании услуг, заключении гражданско-правовых договоров; исполнения требований действующего законодательства РФ (данные документов, удостоверяющих личность);

• осуществление возвратов и излишне перечисленных средств по кредитным и иным договорам, начисления вознаграждений (банковские реквизиты);

• организации доступа на объекты Оператора и его контрагентов (сведения о транспортных средствах, паспортные и биометрические данные);

• предоставления информации об услугах, маркетинговых и рекламных мероприятиях заинтересованным лицам (электронная почта или иные контактные данные);

• проведения собеседований с соискателями, наличия трудовых договорных отношений (персональные данные, указанные в пунктах 4.2.1).

• использования веб-сайтов и других онлайн сервисов Оператора (технические сведения о пользовательских устройствах и идентификаторы, в т. ч. файлы cookies, информация о пользовательском местоположении, сведения о приобретенных товарах (услугах), собираемые при помощи специальных технологий или сервисов «Яндекс.Метрика» и аналогичных);

5. Условия и порядок обработки персональных данных

5.1. Обработка персональных данных осуществляется сотрудниками Оператора и включает в себя следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

5.2. Обработка персональных данных осуществляется путём:

• предоставления данных Субъектом персональных данных на бумажном носителе;

• получения оригиналов необходимых документов и их копировании;

• внесения сведений в учетные формы (на бумажных и электронных носителях);

• формирования персональных данных в ходе заключения и исполнения кредитных договоров, договоров ипотеки, иных договоров и соглашений с клиентами и с контрагентами Оператора;

• формирования персональных данных в ходе осуществления кадрового учета;

• сбором ПДн специальными сервисами сбора и анализа метрических данных «Яндекс.Метрика» и аналогичных.

5.3. Информация может вноситься как в автоматическом, так и в ручном режиме.

5.4. Сбор и обработка персональных данных осуществляется только с согласия Субъекта персональных данных, за исключением случаев, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными действующими законами и правовыми актами РФ.

5.5. Согласие Субъекта персональных данных может быть получено:

• в письменном виде, с обязательным указанием реквизитов, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;

• принятием Субъектом ПД условий и политик при совершении действий на сайте Оператора;

• иными законными способами, при которых полностью соблюдаются права Субъекта ПД.

5.6. Форма получения согласия на обработку ПД должна соответствовать Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных», приказу Роскомнадзора от 24.02.2021 № 18 «Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения» и иным правовым актам РФ.

5.7. Сбор персональных данных, получаемых Оператором специальными технологиями или сервисами сбора и анализа метрических данных «Яндекс.Метрика» и аналогичных осуществляется с обязательным уведомлением Субъектов персональных данных о сборе таких данных, невозможности использования веб-сайтов и других онлайн сервисов Оператора без сбора этих персональных данных или разъяснениями технических способов отказаться от сбора таких данных и последствиях такого отказа. Использование Оператором сервисов «Яндекс.Метрика» и аналогичных происходит на основании и с соблюдением соглашений, оферт и договоров с юридическими лицами, предоставляющими услуги по использованию таких сервисов.

5.8. В случае возникновения необходимости получения персональных данных у третьей стороны, следует известить об этом Субъекта заранее, получить согласие и сообщить ему о целях, предполагаемых источниках и способах получения персональных данных.

5.9. Запрещается получать, обрабатывать и приобщать к личным делам сотрудников Оператора персональные данные, не предусмотренные пунктом 4 настоящей Политики, в том числе касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, личной жизни.

5.10. Оператор вправе передавать персональные данные органам дознания и следствия, судам, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством Российской Федерации.

5.11. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в том числе:

• разработана настоящая Политика;

• принимаются локальные нормативные акты и иные документы, регулирующие отношения в сфере обработки и защиты персональных данных;

• сотрудники Оператора, работающие с персональными данными, ознакомлены с порядком работы с ними, в том числе требованиями к защите персональных данных;

• проводятся регулярные консультации для сотрудников Оператора по вопросам сбора и обработки персональных данных;

• назначает лиц, ответственных за обработку и защиту персональных данных;

• организует учет документов, содержащих персональные данные;

• иные меры в соответствии с законодательством РФ.

5.14. Условия прекращения обработки персональными данными:

• ликвидация Оператора;

• реорганизация Оператора, влекущая прекращение его деятельности;

• отпадение правовых оснований обработки персональных данных и/или достижение целей обработки персональных данных.

5.15. Лицо, ответственное за организацию обработки персональных данных назначается руководителем Оператора.

5.16. Ответственный за обработку персональных данных в своей работе руководствуется законодательством Российской Федерации в области персональных данных и настоящей Политикой.

5.17. Ответственный за обработку персональных данных обязан:

• организовывать принятие правовых, организационных и технических мер для обеспечения защиты персональных данных, обрабатываемых Оператором от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных;

• осуществлять внутренний контроль за соблюдением сотрудниками Оператора требований законодательства Российской Федерации в области работы с персональными данными;

• доводить до сведения сотрудников Оператора положения законодательства Российской Федерации в области персональных данных, локальных актов по их обработке, требований к их защите;

• организовывать прием и обработку обращений и запросов Субъектов персональных данных или их представителей, а также осуществлять контроль за приемом и обработкой таких обращений и запросов;

• в случае нарушения требований к защите персональных данных принимать необходимые меры по восстановлению нарушенных прав Субъектов персональных данных.

5.18. Ответственный за обработку персональных данных вправе:

• иметь доступ к информации, касающейся обработки персональных данных, включающей цели обработки персональных данных, категории обрабатываемых персональных данных, категории субъектов, персональных данных которых обрабатываются, правовые основания обработки персональных данных, перечень действий с персональных данных, общее описание используемых способов обработки персональных данных, описание мер, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств, дату начала обработки персональных данных, срок или условия прекращения обработки персональных данных, об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации;

• привлекать к реализации мер, направленных на обеспечение безопасности персональных данных, иных сотрудников Оператора с возложением на них соответствующих обязанностей и закреплением ответственности.

6. Актуализация, исправление, удаление и уничтожение персональных данных, ответы на запросы субъектов на доступ к персональным данным

6.1. В случае подтверждения факта неточности персональных данных они подлежат актуализации; в случае неправомерности их обработки, их обработка должна быть прекращена.

6.2. Оператором осуществляется выявление документов, содержащих персональные данные, подлежащих уничтожению. Вопрос об уничтожении выделенных документов, содержащих персональные данные, принимается руководителем Оператора.

6.3. Оператором определяется подрядная организация, имеющая необходимое оборудование для обеспечения установленного порядка уничтожения документов. Руководитель Оператора назначает ответственного за сопровождение документов, содержащих персональные данные, до производственной базы подрядчика и контроль процедуры уничтожения документов.

6.4. По окончании процедуры уничтожения подрядчиком и ответственным лицом составляется соответствующий Акт об уничтожении документов, содержащих персональные данные.

6.5. Субъекты персональных данных, имеют право на получение информации, касающейся обработки их персональных данных, в том числе содержащей:

• подтверждение факта обработки персональных данных Оператором;

• правовые основания и цели обработки персональных данных;

• применяемые способы обработки персональных данных;

• сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора или на основании федерального закона;

• обрабатываемые персональные данные, относящиеся к конкретному Субъекту, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;

• сроки обработки персональных данных, в том числе сроки их хранения Оператором;

• порядок осуществления Субъектом прав, предусмотренных законодательством Российской Федерации в области обработки и защиты персональных данных;

• наименование организации или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такой организации или лицу;

• иные сведения, предусмотренные законодательством Российской Федерации в области обработки и защиты персональных данных.

6.6. Субъекты персональных данных вправе требовать от Оператора уточнения их персональных данных, их блокирования или уничтожения в случае, если персональных данных являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

6.7. Сведения, указанные в подпунктах пункта 6.5 настоящей Политики, должны быть предоставлены Субъекту персональных данных Оператором в доступной форме и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для их раскрытия.

6.8. Сведения, указанные в подпунктах пункта 6.5 настоящей Политики, предоставляются субъекту персональных данных или его представителю уполномоченным должностным лицом Оператора, осуществляющего обработку соответствующих персональных данных при обращении либо при получении запроса субъекта персональных данных или его представителя. Запрос должен содержать:

• номер основного документа, удостоверяющего личность Субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;

• сведения, подтверждающие участие Субъекта персональных данных в правоотношениях Оператором (документ, подтверждающий прием документов на возможность замещения вакантных должностей, заключение кредитного договора, рассмотрения заявки на выдачу кредита либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором), подпись Субъекта персональных данных или его представителя. Запрос может быть направлен в письменной или электронной форме.

6.9. Право Субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с федеральными законами, в том числе если доступ Субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.

Получить разъяснения по вопросам обработки персональных данных, в том числе, уточнить персональные данные и отозвать свое согласие на обработку персональных данных можно, направив официальный запрос в АО «ВАИЖК» по Почте России по адресу: 400001, г. Волгоград, улица им Канунникова, д. 23, с запросом, указанном в пункте 6.8 настоящей Политики.