ПОЛОЖЕННЯ про порядок обробки та захисту персональних даних споживачів фінансових послуг Товариства з обмеженою відповідальністю «Кредитні рішення Моней24»

м. Тернопіль, 2022

1. ЗАГАЛЬНІ ПОЛОЖЕННЯ

1.1. Положення про порядок обробки та захисту персональних даних споживачів фінансових послуг Товариства з обмеженою відповідальністю «Кредитні рішення Моней24» (далі – Положення) розроблено відповідно до вимог чинного законодавства України з урахуванням вимог:

− Конституції України;

− Господарського кодексу України;

− Цивільного кодексу України;

− Закону України «Про захист персональних даних»;

− Закону України «Про інформацію»;

− Закону України «Про споживче кредитування»;

− наказу Уповноваженого Верховної Ради України з прав людини від 08.01.2014 № 1/02-14 “Про затвердження Типового порядку обробки персональних даних» та з урахуванням положень Регламенту Європейського Парламенту і Ради (ЄС) 2016/679 від 27 квітня 2016 року про захист фізичних осіб у зв'язку з опрацюванням персональних даних і про вільний рух таких даних, та про скасування Директиви 95/46/ЄС (Загальний регламент про захист даних);

− Типового порядку обробки персональних даних, затвердженого Наказом Уповноваженого Верховної Ради України з прав людини 08.01.2014р. №1/02-14.

1.2. Положення визначає вимоги Товариства з обмеженою відповідальністю «Кредитні рішення Моней24» (далі – Товариство) до обробки та порядку забезпечення захисту персональних даних суб’єктів персональних даних на всіх етапах їх обробки, у тому числі за допомогою організаційних і технічних заходів.

1.3. Положення розповсюджується на невизначене коло осіб – суб’єктів персональних даних, які вступають або можуть вступати у будь–які відносини з Товариством.

1.4. Положення визначає перелік заходів, спрямованих на безпеку персональних даних, з урахуванням вимог законодавства у сферах захисту персональних даних, інформаційної безпеки.

1.6. Це Положення обов’язкове для застосування відповідальним виконавцем та всіма працівниками, які безпосередньо здійснюють обробку та/або мають доступ до персональних даних у зв’язку з виконанням своїх обов’язків.

2. ВИЗНАЧЕННЯ ТЕРМІНІВ

2.1. Автоматизовані системи – системи автоматизованого бухгалтерського та управлінського обліку, системи електронного документообігу та управління проектами, інформаційно-телекомунікаційні системи (в т.ч. програмні продукти для створення/управління електронними базами даних) автоматизовані системи управління кадрами (людськими ресурсами), що офіційно використовуються Товариством, а також інші програмні продукти (Excel, Word, тощо).

2.2. База персональних даних - іменована сукупність упорядкованих персональних даних в електронній формі та/або у формі картотек персональних даних.

2.3. Володілець персональних даних - фізична або юридична особа, яка визначає мету обробки персональних даних, встановлює склад цих даних та процедури їх обробки, якщо інше не визначено законом.

2.4. Відповідальний виконавець – особа, яка відповідно до внутрішніх документів Товариства безпосередньо здійснює обробку персональних даних, в тому числі, формує та веде відповідні бази персональних даних, отримує та зберігає згоди суб'єктів персональних даних на обробку персональних даних тощо.

2.5. Згода суб’єкта персональних даних - добровільне волевиявлення фізичної особи (за умови її поінформованості) щодо надання дозволу на обробку її персональних даних відповідно до сформульованої мети їх обробки, висловлене у письмовій формі або у формі, що дає змогу зробити висновок про надання згоди. У сфері електронної комерції згода суб’єкта персональних даних може бути надана під час реєстрації в інформаційно-телекомунікаційній системі суб’єкта електронної комерції шляхом проставлення відмітки про надання дозволу на обробку своїх персональних даних відповідно до сформульованої мети їх обробки, за умови, що така система не створює можливостей для обробки персональних даних до моменту проставлення відмітки.

2.6. Знеособлення персональних даних - вилучення відомостей, які дають змогу прямо чи опосередковано ідентифікувати особу.

2.7. Інформаційна система (далі - ІС) – сукупність інформаційних ресурсів, середовища передачі даних, обслуговуючого персоналу і організаційних заходів, які використовуються Товариством для задоволення своїх інформаційних потреб.

2.8. Інформація – будь-які відомості та/або дані, які можуть бути збережені на матеріальних носіях або відображені в електронному вигляді.

2.9. Клієнт – суб’єкт персональних даних (фізична особа або представник такої особи), який виступає споживачем фінансових послуг, що надаються Товариством та персональні дані якого обробляються Товариством.

2.10. Конфіденційна інформація – інформація, щодо якої встановлено режим конфіденційності. До конфіденційної інформації відноситься інформація про фізичну особу, а також інформація, доступ до якої обмежено фізичною або юридичною особою, крім суб'єктів владних повноважень. Конфіденційна інформація може поширюватися за бажанням (згодою) відповідної особи у визначеному нею порядку відповідно до передбачених нею умов, а також в інших випадках, визначених законом.

2.11. Контрагент – суб’єкт персональних даних (фізична особа, фізична особа – підприємець, представник юридичної особи), який діє у цивільно-правових та господарсько-правових відносинах з Товариством

2.12. Користувач - особа, що залучається Товариством для виконання відповідних функцій або працівник Товариства, що використовує інформаційні ресурси ІС Товариства для виконання посадових обов’язків.

2.13. Обробка персональних даних - будь-яка дія або сукупність дій, таких як збирання, реєстрація, накопичення, зберігання, адаптування, зміна, поновлення, використання і поширення (розповсюдження, реалізація, передача), знеособлення, знищення персональних даних, у тому числі з використанням інформаційних (автоматизованих) систем.

2.14. Персональні дані - відомості чи сукупність відомостей про фізичну особу, яка ідентифікована або може бути конкретно ідентифікована.

2.15. Портал – веб-сайт, який використовується Товариством, на якому споживачі ідентифікується шляхом створення особистого кабінету (надалі – Особистий кабінет) та який, в тому числі, забезпечує спілкування та обмін інформацією між споживачем та Товариством.

2.16. Працівник - фізична особа, яка знаходяться у трудових відносинах з Товариством або має намір вступити в трудові відносини (надає свої персональні дані з метою працевлаштування, в якості відповіді на інформації Товариства) або виконує касові операції для Товариства на підставі укладеного з іншим суб’єктом господарювання договору про надання послуг з надання персоналу.

2.17. Розпорядник персональних даних - фізична чи юридична особа, якій володільцем персональних даних або законом надано право обробляти ці дані від імені володільця.

2.18. Суб’єкт персональних даних - фізична особа, персональні дані якої обробляються.

2.19. Третя особа - будь-яка особа, за винятком суб’єкта персональних даних, володільця чи розпорядника персональних даних та Уповноваженого Верховної Ради України з прав людини, якій володільцем чи розпорядником персональних даних здійснюється передача персональних даних.

2.20. Інші терміни у Положенні визначаються відповідно до Закону України «Про захист персональних даних» та чинного законодавства України.

3. МЕТА ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ

3.1. Товариство здійснює обробку персональних даних з метою:

− здійснення Товариством своєї фінансового-господарської діяльності, надання Товариством послуг та провадження іншої діяльності, що визначена Статутом Товариства та/або передбачена чинним законодавством України;

− укладення, зміни, припинення, виконання умов договорів (правочинів), що були/будуть укладені Товариством (у т.ч. реалізації та захисту прав сторін за укладеними договорами (правочинами);

− здійснення автоматизованої обробки даних клієнтів, інших контрагентів з метою оцінки різних аспектів поведінки, економічних, соціальних та інших інтересів/уподобань цих осіб, побудови стратегій розвитку, розробки та пропозиції продуктів та послуг Товариства у відношенні до Товариства та третіх осіб, які передають персональні дані в роботу;

− направлення фізичним особам (споживачам, боржникам) інформаційних повідомлень, в тому числі рекламно-інформаційного характеру;

− пропонування та/або надання повного переліку послуг Товариством та/або третіми особами, у тому числі шляхом здійснення прямих контактів із суб’єктом персональних даних за допомогою засобів зв’язку;

− забезпечення якості обслуговування клієнтів та безпеки в діяльності Товариства;

− виконання обов’язків Товариства, які передбачені законодавством;

− захисту законних інтересів Товариства або третіх осіб, яким Товариством передаються персональні дані, крім випадків, коли потреби захисту основоположних прав і свобод фізичних осіб у зв'язку з обробкою їх даних переважають такі інтереси;

− захисту Товариством своїх прав та інтересів при реалізації відносин, які регулюються Цивільним кодексом України, Господарським кодексом України, Законами України «Про банки і банківську діяльність», «Про товариства з обмеженою та додатковою відповідальністю», «Про господарські товариства», «Про державну реєстрацію юридичних осіб та фізичних осіб-підприємців», «Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, або фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення», «Про платіжні системи та переказ коштів в Україні», «Про організацію формування та обігу кредитних історій», «Про споживче кредитування», тощо;

− виконання вимог відносин у сфері бухгалтерського і податкового обліку (відповідно до Податкового кодексу України, Законів України «Про бухгалтерський облік та фінансову звітність в Україні»);

− створення Особистого кабінету споживачів та використання Порталу, та, відповідно, для надання споживачам доступу до Порталу та надання спеціальних опцій/послуг, які Товариство надає через Портал для:

− ідентифікації споживачів (Клієнтів):

підтвердження номеру телефону Клієнта;

зняття/одержання фотографії Користувача з метою ідентифікації;

обробки даних платіжної картки (платіжних карток) Користувача з метою їх включення до заявки для використання в розрахунках, що здійснюються уповноваженим постачальником послуг;

для оцінки кредитоспроможності (платоспроможності) Клієнтів на основі даних та інформації, наданої Клієнтом самостійно чи отриманої через уповноважених третіх осіб (включаючи кредитні бюро тощо), протягом переддоговірного періоду та виконання договорів з надання послуг.

− створення внутрішньої статистики (кредитної історії) Клієнта;

− використання у бюлетенях та інформації про продукцію/послуги Товариства, відповідно, для розсилання споживачам бюлетенів, рекламних оголошень (якщо такі є) та іншої комерційної інформації про продукцію/послуги Товариства, які можуть стосуватися споживача;

− участі Користувача в акціях Товариства;

− реалізації інших повноважень, виконання функцій, обов’язків, що передбачені чинним законодавством України або не суперечать йому, зокрема для виконання внутрішніх документів Товариства, рішень органів державної влади, судових рішень, рішень органів управління Товариством.

3.2. Мета обробки Товариством персональних даних суб’єктів персональних даних може змінюватися внаслідок зміни умов укладених договорів або ділових відносин, змісту діяльності Товариства, у тому числі у зв'язку із зміною законодавства України.

3.3. Зберігання Персональних даних з метою виконання вимог законодавства України щодо порядку зберігання документів, не вважається несумісною обробкою та здійснюється Товариством за умови забезпечення належного захисту Персональних даних.

4. ОБРОБКА ПЕРСОНАЛЬНИХ ДАНИХ

4.1.Персональні дані, що обробляються Товариством, відносяться до конфіденційної інформації

4.2.Товариство є володільцем персональних даних, а у випадках, передбачених чинним законодавством України, та/або на підставі укладених договорів, Товариство є розпорядником персональних даних.

4.3.Порядок обробки персональних даних в Товаристві визначається цим Положенням на підставі чинного законодавства України.

4.4.Первинними джерелами відомостей про фізичну особу є: видані на її ім’я документи, підписані нею документи, відомості, які особа надає про себе.

4.5.Процеси (підпроцеси, процедури) обробки персональних даних є частиною бізнес-процесів Товариства. Процеси обробки персональних даних можуть бути автоматизованими або неавтоматизованими.

4.6.Товариство обробляє персональні дані, які можуть бути об’єднані в бази персональних даних.

4.7.Товариство може доручити обробку персональних даних розпоряднику персональних даних відповідно до договору, укладеного в письмовій формі.

Розпорядник персональних даних може обробляти персональні дані лише з метою і в обсягах, визначених у договорі.

4.8.Товариство не обробляє персональні дані про расове або етнічне походження, політичні, релігійні або світоглядні переконання, членство в політичних партіях та професійних профспілках, засудження до кримінального покарання, а також даних, що стосуються статевого життя, біометричних або генетичних даних.

4.9.В усіх випадках, не врегульованих цим Положенням, необхідно керуватися чинним законодавством України.

5. ВИМОГИ ДО ОБРОБКИ ПЕРСОНАЛЬНИХ ДАНИХ

5.1.В основу визначення мети обробки персональних даних закладено принцип законності їх обробки.

5.2.Обробка персональних даних здійснюється Товариством відкрито і прозоро із застосуванням засобів та у спосіб, що відповідають визначеним цілям такої обробки.

5.3.Персональні дані, що обробляються Товариством мають бути точними, достовірними та оновлюватися за потребою, визначеною метою їх обробки.

5.4.Склад та зміст персональних даних, що обробляються Товариством, мають бути відповідними, адекватними та ненадмірними стосовно визначеної мети їх обробки.

5.5.Cтрок обробки персональних даних встановлюється Товариством залежно від категорії суб’єктів персональних даних, мети обробки персональних даних та визначається чинним законодавством України.

5.6. Підставами для обробки персональних даних є:

згода суб’єкта персональних даних на обробку його персональних даних;
дозвіл на обробку персональних даних, наданий володільцю персональних даних відповідно до закону виключно для здійснення його повноважень;
укладення та виконання правочину, стороною якого є суб’єкт персональних даних або який укладено на користь суб’єкта персональних даних чи для здійснення заходів, що передують укладенню правочину на вимогу суб’єкта персональних даних;
захист життєво важливих інтересів суб’єкта персональних даних;
необхідність виконання обов’язку володільця персональних даних, який передбачений законом.

6. КАТЕГОРІЇ СУБ'ЄКТІВ ПЕРСОНАЛЬНИХ ДАНИХ

ТА СКЛАД ПЕРСОНАЛЬНИХ ДАНИХ

6.1. Товариство здійснює обробку персональних даних таких категорій суб’єктів персональних даних:

6.1.1. клієнти (фізичні особи та представники таких осіб);

6.1.2. контрагенти (суб’єкти, які перебувають у цивільно-правових та господарсько-правових відносинах з Товариством - представники юридичної особи, фізичні особи-підприємці, фізичні особи без статусу господарюючого суб’єкта);

6.1.3. працівники.

6.2. Персональні дані суб’єктів категорії Клієнти обробляються для цілей надання фінансових послуг Товариством та виконання вимог законодавства України, в тому числі, в сфері фінансового моніторингу.

6.2.1. Склад персональних даних обробку яких здійснює Товариство в категорії Клієнти (зокрема, але не виключно):

- прізвище, ім’я та по батькові (за наявності) суб’єкта;

- дані документа, що посвідчує особу, зокрема, копії документів в паперовому та\або електронному вигляді, що засвідчуються особою, як такі, що відповідають оригіналу, із зазначенням дати отримання (копіювання) таких копій документів;

- громадянство або відсутність відношення до громадянства;

- зразок особистого підпису; - місце реєстрації, місце постійного проживання або тимчасового перебування;

- реєстраційний номер облікової картки платника податків або дані про відмову в отриманні такого номеру;

- контактні особи (прізвища, ім'я, по батькові таких осіб, їх дата народження, номери телефонів, адреса електронної поштової скриньки);

- зображення (фото, скановані копії документів, відео) та звукозапис при наданні фінансових послуг;

- номера телефонів, адреса електронної поштової скриньки тощо;

- дані, які вимагаються законодавством в сфері здійснення фінансового моніторингу, з тих, що не наведені вище;

- інші відомості, мета обробки яких співпадає з метою обробки персональних даних, та які будуть надані суб’єктом самостійно або отримані Товариством в процесі ведення Товариством своєї діяльності, в тому числі, але не виключно шляхом надання фінансових послуг.

6.3. Персональні дані суб’єктів, що входять до категорії Контрагенти обробляються для цілей ефективного виконання умов правочинів, що укладаються Товариством з суб’єктами вказаної Категорії та для дотримання умов чинного законодавства України.

6.3.1. Склад персональних даних обробку яких здійснює Товариство в категорії Контрагенти (зокрема, але не виключно):

- прізвище, ім’я та по батькові суб’єкта (представника суб’єкта);

- дані документу, що посвідчує особу, зокрема, копії документів в паперовому та\або електронному вигляді, що засвідчуються особою, як такі, що відповідають оригіналу, із зазначенням дати отримання (копіювання) таких копій документів;

- зразок особистого підпису; - дані про реєстрацію суб’єкта в якості фізичної особи - підприємця;

- місце реєстрації, місце постійного проживання або тимчасового перебування; - реєстраційний номер облікової картки платника податків або дані про відмову в отриманні такого номеру;

- контактні особи, для здійснення комунікацій в рамках виконання умов укладених правочинів (прізвища, ім’я, по батькові таких осіб, номери телефонів, адреса електронної поштової скриньки);

- номери телефонів, адресу електронної поштової скриньки тощо;

- банківські реквізити;

- інші відомості, мета обробки яких співпадає з метою обробки персональних даних вказаної категорії, та які будуть надані суб’єктом самостійно або отримані Товариством в процесі ведення Товариством своєї діяльності.

6.4. Персональні дані суб’єктів категорії «Працівники» обробляються, для врегулювання та оформлення трудових відносин між Працівником та Товариством, інших правовідносин з дотриманням вимог чинного законодавства України.

6.4.1. Склад ПД, обробку яких здійснює Товариство в категорії «Працівники» (взокрема, але не виключно):

- прізвище, ім’я та по батькові (за наявності) суб’єкта; - дані документу, що посвідчує особу;

- громадянство або відсутність відношення до громадянства;

- зразок особистого підпису;

- вік;

- стать;

- дата і місце народження;

- місце реєстрації, місце постійного проживання або тимчасового перебування;

- реєстраційний номер облікової картки платника податків або дані про відмову в отриманні такого номеру;

- сімейний стан;

- склад сім’ї та кількість утриманців, прізвища, ім’я, по батькові таких осіб, їх стать, вік, місце реєстрації та проживання, контактні дані;

- професію, спеціалізацію, кваліфікаційний клас;

- робочий стаж та місця роботи;

- відношення до військового обов’язку;

- освіту (включаючи вчені звання, курси підвищення кваліфікації тощо), володіння мовами;

- наявність прав керування транспортними засобами та стаж керування;

- займані посади; - зображення (фото, відео) та звукозапис, зроблені роботодавцем під час виконання трудових обов’язків;

- номери телефонів, адресу електронної поштової скриньки тощо;

- адресу розташування робочого місця;

- розмір основної та додаткової заробітної плати, премії, бонуси, інші доходи;

- реквізити банківських рахунків;

- дані, які вимагаються законодавством в сфері здійснення фінансового моніторингу, з тих, що не наведені вище;

7. ВИКОРИСТАННЯ ПЕРСОНАЛЬНИХ ДАНИХ

7.1.Використання персональних даних передбачає будь-які дії Товариства щодо обробки цих даних, дії щодо їх захисту, а також дії щодо надання часткового або повного права обробки персональних даних іншим суб’єктам відносин, пов’язаних із персональними даними, що здійснюються на підставі укладеного з суб’єктом персональних даних договору та/або за згодою суб’єкта персональних даних, або відповідно до вимог Закону.

7.2.Для належного використання персональних даних в Товаристві створені умови для їх захисту.

8. ЗБИРАННЯ ПЕРСОНАЛЬНИХ ДАНИХ

8.1.Збирання персональних даних є складовою процесу їх обробки, що передбачає дії з підбору чи впорядкування відомостей про фізичну особу.

8.2.Суб’єкт персональних даних повідомляється про володільця персональних даних, склад та зміст зібраних персональних даних, свої права, визначені чинним законодавством України та мету збору персональних даних.

8.3.Отримання згоди суб’єкта персональних даних та повідомлення його про обробку персональних даних не виконуються, якщо персональні дані були зібрані із загальнодоступних джерел.

9. ПОРЯДОК ДОСТУПУ ДО ПЕРСОНАЛЬНИХ ДАНИХ СУБ'ЄКТІВ ВІДНОСИН, ПОВ'ЯЗАНИХ ІЗ ПЕРСОНАЛЬНИМИ ДАНИМИ

9.1. Порядок доступу до персональних даних третіх осіб визначається статтею 16 Закону.

9.2. Порядок доступу до персональних даних третіх осіб визначається умовами укладеного з суб’єктом персональних даних договором та/або згоди суб'єкта персональних даних, наданої Товариству на обробку цих даних.

9.3. Доступ до ПД третій особі не надається, якщо зазначена особа відмовляється взяти на себе зобов'язання щодо забезпечення виконання вимог Закону або неспроможна їх забезпечити.

9.4. Суб'єкт відносин, пов'язаних з персональними даними, подає Товариству запит щодо доступу до персональних даних (далі - запит), в якому зазначається:

- прізвище, ім'я та по батькові, місце проживання (місце перебування) і реквізити документа, що посвідчує фізичну особу, яка подає запит (для фізичної особи - заявника);

- найменування, місцезнаходження юридичної особи, яка подає запит, посада, прізвище, ім'я та по батькові особи, яка засвідчує запит;

- підтвердження того, що зміст запиту відповідає повноваженням юридичної особи (для юридичної особи - заявника);

- прізвище, ім'я та по батькові, а також інші відомості, що дають змогу ідентифікувати фізичну особу, стосовно якої робиться запит;

- відомості про базу персональних даних, стосовно якої подається запит, чи відомості про володільця чи розпорядника цієї бази;

- перелік персональних даних, що запитуються;

- мета запиту.

9.5. Строк вивчення запиту на предмет його задоволення не може перевищувати тридцяти календарних днів з дня його надходження.

9.6. Відстрочення доступу до персональних даних третіх осіб допускається у разі, якщо необхідні дані не можуть бути надані протягом тридцяти календарних днів з дня надходження запиту. При цьому загальний термін вирішення питань, порушених у запиті, не може перевищувати сорока п'яти календарних днів.

9.7. Відмова у доступі до персональних даних допускається, якщо доступ до них заборонено згідно із законом.

9.8. Товариство безоплатно надає суб’єкту персональних даних інформацію про обробку його персональних даних, крім випадків, установлених законодавством.

9.9. Суб’єкт персональних даних має право на отримання своїх персональних даних, які він надав Товариству, в структурованому, загальноприйнятому форматі, що легко зчитується машиною, та має право на передавання таких даних іншому володільцю/розпоряднику.

10. ВИДАЛЕННЯ АБО ЗНИЩЕННЯ ПЕРСОНАЛЬНИХ ДАНИХ

10.1. Персональні дані видаляються або знищуються в порядку, встановленому відповідно до вимог чинного законодавства.

10.2. Персональні дані підлягають видаленню або знищенню у разі:

- закінчення строку зберігання даних, визначеного угодою, укладеною з суб’єктом персональних даних або згодою суб’єкта персональних даних на обробку цих даних, якщо інше не передбачено законом;

- припинення правовідносин між суб’єктом персональних даних та Товариством, якщо інше не передбачено законодавством;

- видання відповідного припису Уповноваженого або визначених ним посадових осіб секретаріату Уповноваженого;

- набрання законної сили рішенням суду щодо видалення або знищення персональних даних.

10.3. Відомості про особу, які не відповідають дійсності, мають бути негайно змінені або знищені.

10.4. Видалення та знищення персональних даних здійснюється у спосіб, що виключає можливість їх поновлення.

11. ПОШИРЕННЯ ПЕРСОНАЛЬНИХ ДАНИХ

11.1. Поширення ПД передбачає дії щодо передачі відомостей про фізичну особу за згодою суб’єкта персональних даних.

11.2. Поширення персональних даних без згоди суб’єкта персональних даних або уповноваженої ним особи дозволяється у випадках, визначених законодавством, і лише (якщо це необхідно) в інтересах національної безпеки, економічного добробуту та прав людини.

10.3. Виконання вимог встановленого режиму захисту персональних даних забезпечує сторона, що поширює ці дані.

10.4. Сторона, якій передаються персональні дані, повинна попередньо вжити заходів щодо забезпечення вимог чинного законодавства.

10.5. Передача персональних даних іноземним суб’єктам відносин, пов’язаних із персональними даними, здійснюється лише за умови забезпечення відповідною державою належного захисту персональних даних у випадках, встановлених законом або міжнародним договором України.

10.6. Персональні дані не можуть поширюватися з іншою метою, ніж та, з якою вони були зібрані.

10.7.Персональні дані можуть передаватися іноземним суб’єктам відносин, пов’язаних з персональними даними, також у разі:

- надання суб’єктом персональних даних однозначної згоди на таку передачу;

- необхідності укладення чи виконання правочину між володільцем персональних даних та третьою особою – суб’єктом персональних даних на користь суб’єкта персональних даних;

- необхідності захисту життєво важливих інтересів суб’єктів персональних даних;

- необхідності захисту суспільного інтересу, встановлення, виконання та забезпечення правової вимоги;

- надання володільцем персональних даних відповідних гарантій щодо невтручання в особисте і сімейне життя суб’єкта персональних даних.

11. ПЕРЕДАЧА ПЕРСОНАЛЬНИХ ДАНИХ

11.1. Товариство може передавати персональні дані суб’єктів персональних даних, що входять до Категорій «Клієнти», «Контрагенти» та «Працівники» таким третім особам (в тому числі, але не виключно):

- розпорядникам (підприємствам, установам і організаціям усіх форм власності, органам державної влади чи органам місцевого самоврядування, фізичним особам - підприємцям, яким Товариством або чинним законодавством надано або буде надано право обробляти персональні дані);

- третім особам, що залучені Товариством та/або приймають участь під час надання Товариством послуг з переказу коштів, банкам, операторам платіжної інфраструктури, учасникам платіжних систем, кліринговим установам, платіжним організаціям платіжних систем, Національному банку України;

- архівним установам та іншим особам, що надають Товариству послуги зберігання інформації та документів (пов'язані з цим послуги);

- учасникам, афілійованим особам Товариства, особам, що мають істотну участь в Товаристві та/або здійснюють контроль над Товариством;

- організаціям, які надають послуги процесингу Товариству та інші послуги (зокрема, фінансові);

- іншим приватним особам та організаціям для забезпечення виконання останніми своїх функцій або надання послуг Товариству відповідно до укладених між такими особами (організаціями) та Товариством правочинів.

11.2. Про передачу персональних даних третій особі Товариство протягом десяти робочих днів повідомляє суб’єкта персональних даних, крім випадків:

- передачі персональних даних за запитами при виконанні завдань оперативно-розшукової чи контррозвідувальної діяльності, боротьби з тероризмом;

- виконання органами державної влади та органами місцевого самоврядування своїх повноважень, передбачених законом;

- можливість передачі персональних даних третім особам передбачена умовами укладеного Товариством та суб’єктом персональних даних правочину.

12. ЗАХИСТ ПЕРСОНАЛЬНИХ ДАНИХ

12.1. Товариство вживає заходів щодо забезпечення захисту персональних даних на всіх етапах їх обробки за допомогою організаційних та технічних заходів.

12.2. Захист персональних даних передбачає заходи, спрямовані на запобігання їх випадковим втратам або знищенню, незаконній обробці, у тому числі незаконному знищенню чи доступу до персональних даних.

12.3. Товариство використовує системні і програмно-технічні засоби та засоби зв'язку, які запобігають втратам, крадіжкам, несанкціонованому знищенню, викривленню, підробленню, копіюванню, відтворенню і поширенню інформації, зокрема, і в сфері захисту персональних даних та відповідають вимогам міжнародних та національних стандартів.

12.4. Товариство забезпечує архівацію персональних даних, які циркулюють в програмних комплексах та інформаційних ресурсах Товариства.

Носії з архівними персональними даними зберігаються у сховищі.

12.5. Товариство обробляє персональні дані в складі інформаційної (автоматизованої) системи, у якій забезпечується захист персональних даних відповідно до вимог Закону.

Норми технічного захисту інформації у Товаристві відповідають вимогам законодавства України щодо захисту інформації.

12.6. Функціонування системних, програмно-технічних засобів та засобів зв'язку забезпечує дублювання роботи всіх систем та елементів для забезпечення збереження інформації та забезпечення неможливості її знищення з будь-яких обставин засобами, передбаченими Товариством.

12.7. Програмні продукти, що використовуються Товариством в процесі обробки персональних даних для досягнення мети їх обробки мають вбудовані механізми захисту інформації від несанкціонованого доступу для забезпечення ідентифікації та аутентифікації користувачів, цілісності електронних документів, реєстрації дій користувачів, управління доступом користувачів до інформації та окремих функцій, що надаються продуктом, та/або має змогу використовувати зазначені механізми захисту системного програмного забезпечення, а також можливість інтегруватися в комплексну систему захисту інформації автоматизованої системи, у якій цей продукт використовується.

12.8. Працівники допускаються до обробки персональних даних лише після їх авторизації. Доступ осіб, які не пройшли процедуру ідентифікації та/або автентифікації, блокується.

12.9. Працівники, які мають доступ до персональних даних, дають письмове зобов'язання про нерозголошення персональних даних, які їм було довірено або які стали їм відомі у зв'язку з виконанням професійних чи службових або трудових обов'язків.

12.10. Датою надання права доступу до персональних даних вважається дата надання зобов’язання відповідним працівником. Датою позбавлення права доступу до персональних даних вважається дата звільнення працівника, дата переведення на посаду, виконання обов’язків на якій не пов’язане з обробкою персональних даних. У разі звільнення працівника, який мав доступ до персональних даних, або переведення його на іншу посаду, що не передбачає роботу з персональними даними суб’єктів, вживаються заходи щодо унеможливлення доступу такої особи до персональних даних, а документи та інші носії, що містять персональні дані суб’єктів, передаються іншому працівнику.

12.11. В інформаційній (автоматизованій) системі, де обробляються персональні дані, може здійснюватися реєстрація, зокрема:

результатів ідентифікації та/або автентифікації працівників Товариства;

дій з обробки персональних даних;

факту встановлення ознаки "Підтвердження надання згоди на обробку персональних даних у базі персональних даних" за допомогою управляючих елементів веб-ресурсів володільця або розпорядника бази персональних даних, інтерфейсів користувача програмного забезпечення;

результатів перевірки цілісності засобів захисту персональних даних.

13. ОБРОБКА ТА ЗАХИСТ ПЕРСОНАЛЬНИХ ДАНИХ ПРИ ВРЕГУЛЮВАННІ ПРОСТРОЧЕНОЇ ЗАБОРГОВАНОСТІ

13.1. Під час здійснення діяльності з врегулювання простроченої заборгованості, працівникам Товариства забороняється здійснювати обробку персональних даних третіх осіб (у значенні, передбаченому Законом України «Про споживче кредитування»), у тому числі близьких осіб Клієнта (боржника, споживача), які не надали згоди на обробку їхніх даних, а також таких даних про споживача, його близьких осіб, представника, спадкоємця, поручителя або майнового поручителя, третіх осіб, взаємодія з якими передбачена договором про споживчий кредит та які надали згоду на таку взаємодію:

1) щодо графіка його роботи;

2) щодо місця та часу відпочинку;

3) щодо поїздок у межах та за межі України;

4) щодо місця та часу зустрічі з рідними, друзями та іншими особами;

5) щодо інформації, розміщеної в соціальних мережах;

6) щодо стану здоров’я;

7) щодо політичних поглядів та релігійних переконань;

8) щодо членства у партіях та громадських об’єднаннях;

9) фото та відеоматеріалів із зображенням споживача, його близьких осіб, представника, спадкоємця, поручителя або майнового поручителя, третіх осіб, взаємодія з якими передбачена договором про споживчий кредит та які надали згоду на таку взаємодію (крім випадків створення, зберігання, використання таких фото та/або відеоматеріалів для виконання передбачених законодавством обов’язків, а також випадків створення, зберігання, використання таких фото- та/або відеоматеріалів на підставі письмової згоди споживача, його близьких осіб, представника, спадкоємця, поручителя або майнового поручите