Положение о хранении и обработке персональных данных

1. Оператор персональных данных

Общество с ограниченной ответственностью «Эльдорадо»

• ИНН: 7726468257
• КПП: 772601001
• ОГРН: 1207700340341
• Адрес: 117587, г. Москва, вн. тер. г. Муниципальный Округ Чертаново Северное, ул. Кировоградская, д. 9, к. 1, помещ. 50/1
• E-mail: eldoradozip@mail.ru
• Телефон: +7 977 800-25-67

KPS Global — торговая марка. Оператором персональных данных и стороной договора выступает ООО «Эльдорадо».

2. Категории субъектов и состав персональных данных

Представители, руководители и бенефициарные владельцы контрагентов

ФИО, паспортные данные (серия, номер, дата и орган выдачи, дата рождения, адрес регистрации), должность, контактные данные, сведения из документов, представленных для проверки контрагента.

Работники Общества

Данные, предусмотренные трудовым законодательством Российской Федерации.

Специальные категории и биометрические ПД

Специальные категории ПД (ст. 10 152-ФЗ) и биометрические ПД (ст. 11 152-ФЗ) не обрабатываются; при случайном получении — уничтожаются без обработки.

3. Цели и правовые основания обработки

• Проверка контрагентов (KYC/AML), в том числе во исполнение Федерального закона № 115-ФЗ — п. 2 ч. 1 ст. 6 152-ФЗ (исполнение требований закона).
• Заключение, исполнение и сопровождение агентских договоров и договоров поставки — п. 5 ч. 1 ст. 6 152-ФЗ (договор с субъектом ПД или в его интересах) либо согласие субъекта.
• Кадровый, бухгалтерский и налоговый учёт — требования законодательства Российской Федерации.

Согласие на обработку ПД оформляется отдельным документом (требование, действующее с 01.09.2025); включение согласия в текст договора или оферты не допускается.

Обработка избыточных данных запрещена. Данные, не относящиеся к заявленным целям, не запрашиваются, а при получении — уничтожаются.

4. Организация обработки

Приказом Генерального директора назначается лицо, ответственное за организацию обработки ПД, и утверждается перечень работников, допущенных к ПД. Допущенные работники подписывают обязательство о неразглашении ПД.

Общество ведёт:

• журнал учёта обращений субъектов ПД;
• журнал учёта машинных носителей;
• журнал (реестр) фактов уничтожения ПД;
• журнал инцидентов.

Уведомление об обработке ПД подано в Роскомнадзор до начала обработки (ст. 22 152-ФЗ). Изменения сведений направляются в Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменений.

5. Порядок приёма персональных данных

Документы с ПД поступают от контрагентов по каналам электронной почты и мессенджеров. Ответственный работник в течение одного рабочего дня переносит их в корпоративную CRM/ERP-систему, после чего удаляет вложения и сообщения из переписки.

Использование электронной почты и мессенджеров как места постоянного хранения ПД, а также пересылка ПД между работниками через мессенджеры запрещены.

Приём документов на бумажных носителях фиксируется; носители хранятся в запираемых шкафах с ограниченным доступом.

6. Хранение персональных данных

Первичная запись, систематизация, накопление, хранение и уточнение ПД граждан Российской Федерации осуществляются в базе данных, размещённой на сервере на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Адрес размещения базы данных указывается в уведомлении, направляемом в Роскомнадзор.

Резервные копии баз данных с ПД граждан Российской Федерации также размещаются на территории Российской Федерации.

Сроки хранения

• ПД по действующим договорам — срок договора + 3 года (срок исковой давности)
• Договоры, акты, счета, первичные документы с ПД — 5 лет
• Досье проверки контрагентов (115-ФЗ) — 5 лет с даты прекращения отношений
• Согласия на обработку ПД — срок обработки + 3 года
• Кадровые документы работников — сроки по Приказу Росархива № 236
• ПД, цель обработки которых достигнута — уничтожение в течение 30 дней

7. Защита персональных данных

• Определён уровень защищённости ИСПДн (ПП № 1119); реализованы меры Приказа ФСТЭК России № 21
• Разграничение прав доступа по ролям; персональные учётные записи; двухфакторная аутентификация для административного доступа
• Шифрование каналов передачи (TLS) и хранилища паспортных данных (at-rest)
• Регулярное резервное копирование с шифрованием; копии баз данных с ПД граждан РФ — на территории РФ
• Журналирование доступа к ИСПДн (хранение логов — не менее 6 месяцев); антивирусная защита; своевременное обновление ПО
• Ежегодный пересмотр прав доступа и внутренняя проверка выполнения требований настоящего Положения

8. Уничтожение персональных данных

Основания уничтожения: достижение цели обработки; отзыв согласия; истечение срока хранения; предписание Роскомнадзора; требование субъекта ПД в предусмотренных законом случаях.

Срок уничтожения — 30 дней с момента возникновения основания (ст. 21 152-ФЗ).

Уничтожение подтверждается актом и выгрузкой из журнала регистрации событий ИСПДн (Приказ Роскомнадзора № 179). Уничтожаются все копии, включая резервные.

Бумажные носители уничтожаются способом, исключающим восстановление (шредирование).

9. Действия при инциденте (утечке)

Работник, обнаруживший инцидент, немедленно сообщает ответственному за организацию обработки ПД.

Оператор уведомляет Роскомнадзор:

• в течение 24 часов — о факте инцидента;
• в течение 72 часов — о результатах внутреннего расследования (причины, виновные лица, принятые меры).

Инцидент фиксируется в журнале инцидентов; проводится оценка вреда субъектам ПД и корректировка мер защиты.

10. Права субъектов персональных данных

Субъект персональных данных вправе:

• получать сведения об обработке своих ПД;
• требовать уточнения, блокирования, уничтожения ПД;
• отозвать согласие на обработку ПД;
• обжаловать действия Оператора в Роскомнадзор или суд.

Обращения принимаются по адресу Оператора или на e-mail: eldoradozip@mail.ru.

Срок ответа — 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней с уведомлением заявителя.

Политика обработки ПД предоставляется любому обратившемуся лицу по запросу.

11. Ответственность

Работники несут дисциплинарную, материальную, административную и уголовную ответственность за нарушение требований настоящего Положения.

Нарушение порядка обработки влечёт ответственность Общества по ст. 13.11 КоАП РФ (в редакции с 30.05.2025), включая штрафы за утечку от 3 млн ₽ и оборотные штрафы 1–3% выручки при повторной утечке, а также уголовную ответственность по ст. 272.1 УК РФ.

12. Заключительные положения

Контроль исполнения Положения возложен на ответственного за организацию обработки ПД. Внутренняя проверка — не реже одного раза в год.

Положение пересматривается при изменении законодательства, состава ИСПДн или процессов обработки.