Политика защиты данных

Политика защиты данных компании Façade Creations Ltd

Введение

Компания Façade Creations Ltd обязуется защищать конфиденциальность и безопасность персональных данных в соответствии с Общим регламентом защиты данных Великобритании (GDPR) и Законом о защите данных 2018 года , а также всеми другими применимыми законами о защите данных. Мы также соблюдаем соответствующие положения Закона о компаниях 2006 года , в частности, в отношении надлежащего ведения учета и безопасности корпоративных документов. Настоящая политика описывает, как Façade Creations собирает, использует, хранит и защищает персональные данные в соответствии с нашей деятельностью как компании, специализирующейся на проектировании фасадов на заказ . Она охватывает персональные данные, касающиеся наших сотрудников, клиентов, поставщиков, пользователей веб-сайта и других заинтересованных сторон, и объясняет права физических лиц в отношении их данных.

Контроллер данных

Компания Façade Creations Ltd является «контроллером данных», ответственным за определение того, как и почему обрабатываются персональные данные в нашей организации. По любым вопросам, запросам или проблемам, касающимся персональных данных или данной политики, пожалуйста, свяжитесь с нашим представителем по защите данных:

• Электронная почта: info@facadecreations.co.uk
• Почтовый адрес: Façade Creations Ltd, 124 City Road, London, England, EC1V 2NX find-and-update.company-information.service.gov.uk

Роли и обязанности

В компании Façade Creations полная ответственность за соблюдение требований по защите данных лежит на нашем директоре Хашиме Чокси , который контролирует и обеспечивает выполнение настоящей Политики защиты данных. В настоящее время мы не назначили официального сотрудника по защите данных (DPO), поскольку это не требуется по закону, учитывая характер и масштабы нашей обработки данных. Однако обязанности по защите данных выполняются внутри компании высшим руководством. Все сотрудники проходят базовое обучение по GDPR и защите данных в рамках вводного и последующего обучения. От сотрудников ожидается понимание и соблюдение данной политики, а также сообщение руководству о любых потенциальных проблемах с защитой данных. Для обеспечения соответствия требованиям и устранения любых пробелов проводятся раздел «Проверки и обновления»

Определения

В целях настоящей политики применяются следующие определения:

• Персональные данные: любая информация, относящаяся к идентифицированному или поддающемуся идентификации физическому лицу (известному как «субъект данных»). Сюда входят очевидные идентификаторы, такие как имя человека, контактные данные (электронная почта, телефон, адрес), а также идентификаторы, такие как идентификационный номер сотрудника, IP-адрес или любая информация, которая может быть связана с конкретным лицом.
• Обработка: Любая операция, выполняемая с персональными данными, будь то автоматизированная или ручная. Обработка включает сбор, запись, организацию, хранение, изменение, извлечение, использование, раскрытие, передачу, объединение, ограничение, удаление или уничтожение персональных данных.
• Субъект данных: физическое лицо, к которому относятся персональные данные. Например, наши сотрудники, клиенты и пользователи веб-сайта могут являться субъектами данных в соответствии с данной политикой.
• Контролер данных: организация, определяющая цели и способы обработки персональных данных (в данном случае, Façade Creations Ltd).
• Обработчик данных: третья сторона (за исключением наших собственных сотрудников), которая обрабатывает персональные данные от имени Контролера данных на основании инструкций Контролера данных. (Например, поставщик облачных услуг, размещающий наши данные, может выступать в качестве обработчика данных.)

Сбор и обработка данных

Мы собираем и обрабатываем персональные данные только для конкретных, четко определенных и законных целей, необходимых для ведения нашей деятельности. Ниже представлен обзор типов обрабатываемых нами персональных данных, а также целей и правовых оснований для обработки каждого типа:

1. Данные о сотрудниках (HR) – Цель: Подбор, трудоустройство и управление персоналом, а также выполнение юридических обязательств работодателя. Это включает обработку данных для управления персоналом, расчета заработной платы, предоставления льгот, оценки эффективности работы и соблюдения требований охраны труда и техники безопасности на рабочем месте.
   Категории данных: Личные данные сотрудников (имя, контактная информация, дата рождения, номер национального страхования), материалы заявлений о приеме на работу и трудовые записи (резюме, рекомендации, трудовые договоры, должности и даты работы), реквизиты для расчета заработной платы и банковские реквизиты для выплаты заработной платы, а также любые необходимые сертификаты или документы, подтверждающие право на работу. Мы также можем хранить записи об обучении, оценке эффективности работы и дисциплинарных взысканиях по мере необходимости.
   Правовое основание: Договорная необходимость (для выполнения трудового договора, например, выплата заработной платы); Юридическое обязательство (для соблюдения трудового законодательства, налоговых требований и требований к ведению установленной законом документации, такой как записи о заработной плате HMRC и требования Закона о компаниях 2006 года); и Законные интересы (для эффективного управления персоналом и обеспечения непрерывности бизнеса, с учетом баланса этих интересов с правами сотрудников).
2. Данные о клиентах и ​​проектах – Цель: Управление отношениями с нашими клиентами и предоставление услуг по проектированию и установке фасадов. Это включает в себя ответы на запросы, предоставление смет, заключение договоров, выполнение проектов и соблюдение юридических и договорных обязательств (например, правил охраны труда и техники безопасности, строительных норм и правил).
   Категории данных: Контактные данные клиентов (имена, должности, адреса предприятий, номера телефонов, адреса электронной почты); информация о проекте, предоставленная клиентами (требования проекта, спецификации, адреса объектов); записи переписки с клиентами; и договорные и финансовые данные (сметы, договоры, счета-фактуры, платежные ведомости).
   Правовая основа: Договорная необходимость (принятие мер по запросу клиента до заключения договора и выполнение наших договоров на проектирование, поставку и установку фасадов); Юридическое обязательство (соблюдение законов, таких как строительные нормы и правила, налоговое законодательство, касающиеся сделок с клиентами); и Законные интересы (обеспечение эффективного управления проектами, поддержание отношений с клиентами и общение с клиентами в контексте нашей деятельности – например, предоставление обновлений по проекту – способами, которые клиенты могли бы разумно ожидать). В отдельных случаях мы также можем полагаться на согласие – например, если потенциальный клиент подписывается на получение маркетинговых рассылок (см. раздел «Маркетинговые коммуникации» ниже).
3. Данные поставщиков и подрядчиков – Цель: Управление закупками товаров и услуг, координация работы с нашими субподрядчиками и поставщиками, а также выполнение наших обязательств по оплате и документированию этих транзакций. Это включает данные, касающиеся наших поставщиков, субподрядчиков, консультантов и других третьих лиц, с которыми мы работаем над проектами.
   Категории данных: Контактные данные поставщиков или подрядчиков (имя контактного лица, название компании, адрес, электронная почта, телефон); контракты и соглашения; банковская и платежная информация (номера счетов, коды сортировки или IBAN, НДС или номера компаний), необходимая для осуществления платежей; и соответствующие квалификационные данные или сведения о страховании (например, подтверждение страхования профессиональной ответственности или сертификаты, если это требуется в рамках нашей процедуры проверки подрядчиков).
   Правовая основа: Договорная необходимость (для заключения и исполнения контрактов с нашими поставщиками и субподрядчиками, например, оформление заказов на покупку, оплата счетов); Юридическое обязательство (например, хранение записей о транзакциях для целей налогообложения и аудита, соблюдение законов о борьбе с мошенничеством или взяточничеством, где это применимо); а также законные интересы (например, проверка поставщиков на качество и надежность, обеспечение эффективности цепочки поставок проекта и поддержание непрерывности бизнеса). Эти интересы уравновешиваются с любыми последствиями для конфиденциальности, и, как правило, данные, которые мы собираем в этом контексте, ориентированы на бизнес и не являются чрезмерно личными.
4. Данные для маркетинговых коммуникаций – Цель: Отправка обновлений, новостей или маркетинговых сообщений о наших услугах лицам, давшим согласие на получение такой информации. Это помогает нам продвигать наш бизнес и информировать заинтересованные стороны о наших предложениях (например, о новых решениях для фасадов, примерах реализованных проектов или мероприятиях).
   Категории данных: Имена и контактные данные (например, адрес электронной почты и название компании) клиентов или потенциальных клиентов, выразивших заинтересованность в наших услугах или подписавшихся на нашу рассылку. Мы также можем записывать предпочтения в отношении коммуникаций (например, данные о согласии на получение рассылки, предпочтительный способ связи) и историю взаимодействия (например, показатели открытия электронных писем или посещаемость мероприятий, в агрегированном виде).
   ​​Правовая основа: Согласие – Мы полагаемся на явное согласие на получение всех маркетинговых сообщений по электронной почте. Лица добавляются в наш маркетинговый список рассылки только в том случае, если они дали нам явное согласие (например, отметив галочкой соответствующее поле в форме или подписавшись через наш веб-сайт). Мы не отправляем массовые маркетинговые электронные письма без согласия. Субъекты данных имеют право отозвать свое согласие в любое время. В каждом отправляемом нами маркетинговом письме есть для отписки , и вы также можете в любое время связаться с нами, чтобы вас удалили из маркетинговых списков. Мы оперативно удовлетворим запросы на отказ от подписки.
5. Данные пользователей веб-сайта и файлы cookie – Цель: Для обеспечения работы и улучшения нашего веб-сайта и понимания того, как пользователи взаимодействуют с ним. Когда вы посещаете наш веб-сайт (www.facadecreations.co.uk), мы собираем определенные данные с помощью файлов cookie и аналогичных технологий для обеспечения функциональности и аналитики.
   Категории данных: Мы используем файлы cookie для обеспечения основной функциональности сайта (например, управление сессиями, которое запоминает ваши предпочтения или поддерживает вашу авторизацию, если это применимо) и для базовой аналитики. Данные аналитики (например, через Google Analytics) обычно агрегируются и анонимизируются, что помогает нам отслеживать трафик веб-сайта и модели использования без прямой идентификации отдельных посетителей. Мы не собираем личную информацию с помощью аналитических файлов cookie и не используем файлы cookie в рекламных целях. Если на нашем веб-сайте есть контактные формы или формы запроса, предоставленные вами личные данные (например, имя, адрес электронной почты, номер телефона и подробности запроса) будут использоваться только для ответа на ваш запрос (в рамках раздела «Данные клиента» выше) и обрабатываться в соответствии с настоящей политикой.
   Правовое основание: Законные интересы – В наших интересах обеспечить бесперебойную работу нашего веб-сайта и понимать его использование для улучшения, соблюдая при этом конфиденциальность пользователей (аналитические данные анонимизированы). Мы также полагаемся на согласие, если это требуется по закону (при первом посещении мы отображаем уведомление о файлах cookie, запрашивая согласие на использование необязательных файлов cookie). Вы можете отключить необязательные файлы cookie в настройках своего браузера в любое время; однако обратите внимание, что это может повлиять на некоторые функции сайта.

Обмен и передача данных

Мы рассматриваем персональные данные как конфиденциальную информацию и не передаем их третьим лицам, за исключением случаев, когда это необходимо для достижения цели, для которой данные были собраны, или когда это требуется по закону. В случаях, когда передача данных необходима, мы применяем принцип минимизации данных, передавая только необходимую информацию. Основные случаи, когда мы можем передавать персональные данные, включают:

• Субподрядчики и поставщики: Мы предоставляем нашим субподрядчикам, субконсультантам и поставщикам необходимые данные для выполнения проекта. Например, мы можем предоставить субподрядчику информацию о доступе на строительную площадку или имена работников для обеспечения безопасности труда, или поделиться контактной информацией клиента с партнером по доставке для координации отгрузки. Во всех случаях третьим сторонам предоставляются только данные, необходимые для выполнения конкретной задачи, и ожидается, что они будут обращаться с ними безопасно.
• Профессиональные консультанты: Мы можем делиться данными с нашими страховщиками , бухгалтерами , юристами или другими профессиональными консультантами. Например, страховщик может получить подробную информацию о страховом случае, содержащую персональные данные, или наши бухгалтеры могут ознакомиться с информацией о выплатах сотрудникам и подрядчикам при проведении расчетов заработной платы или финансовых аудитов. Эти стороны связаны либо профессиональной конфиденциальностью, либо договорными соглашениями о защите данных.
• Консультанты и деловые партнеры: Если мы привлекаем внешних консультантов или партнеров по совместному предприятию для работы над проектом, нам может потребоваться обмен определенными данными (например, контактными данными проектной команды, профилями соответствующего опыта) для облегчения сотрудничества. Такой обмен будет регулироваться соглашениями о неразглашении и соглашениями об обработке данных, в зависимости от обстоятельств.
• Нормативно-правовые требования: Мы будем раскрывать персональные данные государственным органам, регулирующим органам, правоохранительным органам или судам, если это требуется по закону. Например, нам может потребоваться предоставить информацию Налоговой и таможенной службе Великобритании (HMRC) для целей налогообложения, Управлению комиссара по информации (ICO), если они проводят расследование по жалобе, или для выполнения постановления суда или повестки. Во всех случаях мы проверим законность запроса и передадим только те данные, которые необходимы по закону.

Компания Façade Creations не продает персональные данные третьим лицам в маркетинговых или иных целях.

Международные переводы: Будучи компанией, базирующейся в Великобритании, мы в основном храним и обрабатываем данные на территории Великобритании. Однако мы используем некоторые авторитетные облачные сервисы (например, Microsoft 365 для электронной почты и хранения документов, инструменты Google Xero для бухгалтерского учета), что может включать хранение данных на серверах за пределами Великобритании. Всякий раз, когда персональные данные передаются за пределы Великобритании (или Европейской экономической зоны) — например, в центры обработки данных в США или других странах — мы обеспечиваем наличие правовых гарантий. Эти гарантии могут включать стандартные договорные положения (SCC) или полагаться на решение правительства Великобритании о достаточности защиты данных, и мы гарантируем, что наши поставщики услуг сертифицированы или имеют договорные обязательства по соблюдению стандартов защиты данных, эквивалентных GDPR. Мы тщательно проверяем сторонних поставщиков на соответствие требованиям защиты данных и используем только международно признанные компании с надежными методами обеспечения безопасности. Наша цель — обеспечить одинаковый уровень защиты независимо от места их обработки.

Безопасность данных

Компания Façade Creations принимает соответствующие технические и организационные меры безопасности для защиты персональных данных от несанкционированного доступа, потери, уничтожения или изменения. Мы постоянно пересматриваем и совершенствуем наши методы обеспечения безопасности в соответствии со стандартами отрасли. Ключевые меры, которые мы применяем, включают:

• Надежное хранение: Персональные данные в электронном виде хранятся в защищенных системах с контролируемым доступом. Мы используем шифрование для конфиденциальных данных как в состоянии покоя, так и при передаче (например, наши базы данных и ноутбуки используют шифрование дисков). Серверы защищены паролем и брандмауэром, а облачное хранилище (например, SharePoint/OneDrive в Microsoft 365) зашифровано и контролируется. Бумажные документы, содержащие персональные данные, хранятся в запертых шкафах или защищенных офисных помещениях с ограниченным доступом.
• Контроль доступа: Мы строго ограничиваем доступ к персональным данным только уполномоченному персоналу, которому они необходимы для выполнения своих должностных обязанностей. Различные уровни доступа предоставляются в зависимости от роли (принцип минимальных привилегий). Например, данные отдела кадров доступны только уполномоченным сотрудникам отдела кадров и руководству; данные проекта доступны проектной группе и соответствующим администраторам. Все сотрудники обязаны использовать надежные, уникальные пароли для доступа к корпоративным системам, а для удаленного доступа, где это возможно, включена многофакторная аутентификация.
• Безопасная связь: При передаче персональных данных третьим лицам (например, при отправке информации о заработной плате нашему бухгалтеру или обмене данными проекта с субподрядчиком) мы используем защищенные каналы. Электронные письма по умолчанию отправляются через зашифрованные TLS-соединения, а для файлов, содержащих особо конфиденциальные данные, мы используем защиту паролем или шифрование. Мы не рекомендуем использовать незащищенные каналы для любой передачи персональной информации.
• Физическая безопасность: Наши офисы защищены от несанкционированного доступа – доступ в офисы и хранилища документов ограничен для сотрудников (с использованием ключей или карт доступа), а посетителей сопровождают. Документы или устройства, содержащие персональные данные, не оставляются без присмотра в общественных местах. Мы также используем шредер для утилизации любых бумажных документов, содержащих персональные данные, и придерживаемся политики чистоты рабочих мест, чтобы минимизировать доступ к конфиденциальной документации.
• Безопасность устройств и ИТ: Все ноутбуки и устройства компании оснащены актуальным антивирусным/антишпионским программным обеспечением и регулярно обновляются до последних версий. Мы поддерживаем процесс управления ИТ-активами для отслеживания устройств компании и обеспечения их безопасной утилизации при выводе из эксплуатации. Портативные накопители или USB-носители с личными данными шифруются или, по возможности, их использование избегается.
• Услуги сторонних поставщиков: Для поддержки нашего бизнеса мы используем проверенных поставщиков облачных и ИТ-услуг (таких как Microsoft и Xero). Прежде чем заключать договор с каким-либо поставщиком, который будет обрабатывать персональные данные, мы оцениваем его сертификаты безопасности и политику конфиденциальности, чтобы убедиться в соответствии стандартам GDPR. Мы заключаем с такими поставщиками соглашения об обработке данных, чтобы гарантировать, что они обязуются защищать данные от нашего имени.
• Мониторинг и тестирование: Мы регулярно проводим аудиты безопасности и оценку рисков наших систем. Права доступа сотрудников периодически пересматриваются, чтобы гарантировать сохранение только необходимого доступа. Мы также обеспечиваем постоянное обучение персонала передовым методам кибербезопасности (например, распознаванию фишинговых атак и защите информации).

Внедряя вышеуказанные меры, мы стремимся поддерживать высокий уровень безопасности и снижать риск утечки данных или несанкционированного разглашения информации.

Сохранение данных

Мы храним персональные данные только до тех пор, пока это необходимо для достижения целей, для которых они были собраны, а также для выполнения любых юридических, бухгалтерских или отчетных требований. Сроки хранения определяются в зависимости от типа данных и применимых правовых/нормативных обязательств. Наши общие правила хранения данных следующие:

• Кадровые данные сотрудников: Мы храним персональные данные сотрудников до 6 лет после прекращения трудовых отношений в соответствии с установленными в Великобритании сроками исковой давности по трудовым спорам и требованиями налоговой службы (HMRC). Это включает хранение основных идентификационных данных, трудовых договоров и записей о заработной плате в течение шести лет после увольнения. Некоторые записи могут храниться дольше, если это необходимо (например, информация о пенсионной схеме или записи о травмах могут храниться дольше в соответствии со специальными правилами), но мы не будем хранить полные кадровые файлы бессрочно.
• Финансовая документация: Финансовая документация, которая может содержать персональные данные (например, счета-фактуры, платежные ведомости, отчеты о расходах), хранится в течение 6 лет после окончания финансового года в соответствии с налоговыми правилами HMRC и Закона о компаниях 2006 года к ведению документации. Это гарантирует наличие документации в случае аудита или финансовых проверок. По истечении 6 лет такая документация надежно уничтожается, если только более длительный срок хранения не требуется по закону для конкретных документов.
• Проектная и клиентская документация: Документы, относящиеся к проекту (включая переписку с клиентом, контракты, планы проекта и т. д.), хранятся в течение всего срока реализации проекта и, как правило, от 6 до 10 лет после его завершения. Точный срок зависит от договорных обязательств и соображений ответственности – например, в контрактах часто указывается, что определенные документы должны храниться в течение нескольких лет. В строительной отрасли распространен срок от 6 до 12 лет (12 лет, если документ засекречен). Мы приняли 10 лет в качестве общего ориентира для основных проектных документов, чтобы охватить потенциальные периоды ответственности за скрытые дефекты. Эти файлы надежно архивируются и доступны только при необходимости для справочных целей или по юридическим причинам.
• Запросы и данные потенциальных клиентов: Если человек отправляет запрос, но не заключает с нами договор, мы будем хранить переписку по запросу и его контактные данные в течение 2 лет с момента последнего взаимодействия. Это необходимо для того, чтобы мы могли отслеживать потенциальных клиентов или понимать прошлые контакты. По истечении 2 лет бездействия (или немедленно по запросу) мы удаляем или анонимизируем данные запроса. Для лиц, давших согласие на получение маркетинговых сообщений, мы будем хранить их данные до тех пор, пока они не отпишутся или не отзовут свое согласие, после чего мы незамедлительно удалим их из наших активных списков рассылки (при этом сохраняя список исключений, чтобы гарантировать соблюдение запросов на прекращение контактов).
• Другие категории: Видеозаписи с камер видеонаблюдения (если мы когда-либо будем использовать камеры видеонаблюдения на наших объектах) обычно хранятся в течение короткого периода (например, 30 дней), если только они не потребуются для проведения расследования. Данные о кандидатах (соискателях), которых мы не принимаем на работу, обычно хранятся до 6 месяцев, если только кандидат не даст согласие на более длительный срок хранения для будущих вакансий.

Во всех случаях по истечении срока хранения мы либо надежно удаляем персональные данные, либо анонимизируем их (так, чтобы их больше нельзя было связать с конкретным человеком). Надежное удаление может включать в себя безвозвратное уничтожение электронных файлов с использованием соответствующих программных средств и измельчение физических документов. Мы поддерживаем график хранения данных и периодически пересматриваем хранящиеся у нас данные, чтобы убедиться, что мы не храним персональные данные дольше, чем это необходимо.

Индивидуальные права

В соответствии с британским регламентом GDPR, субъекты данных (лица, чьи данные мы храним) обладают рядом прав. Компания Façade Creations уважает и поддерживает эти права. Вкратце, физические лица имеют право на:

• Право доступа: Вы можете запросить подтверждение того, обрабатываем ли мы ваши персональные данные, и если да, то запросить копию хранящихся у нас ваших персональных данных, а также информацию о том, как мы их используем. Это обычно называется «Запрос на доступ к данным субъекта». Мы предоставим информацию в краткой и прозрачной форме, как правило, в течение одного месяца с момента получения действительного запроса.
• Право на исправление: Если какие-либо ваши персональные данные, которые мы храним, являются неточными или неполными, вы имеете право потребовать от нас их исправления или обновления. После проверки мы незамедлительно исправим неточности.
• Право на удаление: Вы имеете право запросить удаление ваших персональных данных при определенных обстоятельствах – например, если данные больше не нужны для целей, для которых они были собраны, или если вы отзываете согласие, и у нас нет других законных оснований для их обработки. Это иногда называют «правом быть забытым». Обратите внимание, что это право не является абсолютным; нам может потребоваться сохранить определенную информацию, если у нас есть юридическое обязательство или веские законные основания для этого (мы сообщим вам, если это так).
• Право на ограничение обработки: Вы можете попросить нас ограничить обработку ваших данных при определенных условиях. Например, если вы оспариваете точность данных или возражаете против нашей обработки (см. ниже), вы можете запросить ограничение на время решения вопроса. При ограничении обработки мы продолжим хранить ваши данные, но не будем использовать или передавать их третьим лицам, за исключением ограниченных случаев (например, с вашего согласия или в случае предъявления юридических претензий).
• Право на возражение: В случаях, когда мы обрабатываем ваши персональные данные на основании законных интересов , вы имеете право возразить против такой обработки. Если вы подадите возражение, мы прекратим обработку соответствующих данных, если только мы не сможем продемонстрировать убедительные законные основания для обработки, которые перевешивают ваши права, или если обработка осуществляется для установления, осуществления или защиты юридических претензий. Вы также имеете безусловное право возражать против использования ваших персональных данных в целях прямого маркетинга – в случае вашего возражения мы немедленно прекратим такое использование.
• Право на переносимость данных: Если вы предоставили нам данные, и их обработка осуществляется автоматизированными средствами на основании вашего согласия или для исполнения договора, вы имеете право запросить копию этих данных в общепринятом машиночитаемом формате и/или передать их другому контроллеру данных (если это технически возможно). Это право в первую очередь распространяется на данные, которые вы предоставили самостоятельно. Мы окажем посильную помощь в таких запросах.

Для осуществления любого из этих прав, пожалуйста, свяжитесь с нами по адресу info@facadecreations.co.uk, подробно описав свой запрос. Нам может потребоваться подтвердить вашу личность, чтобы убедиться, что мы не передадим данные не тому лицу, и в некоторых случаях мы можем запросить уточнение объема вашего запроса (например, если вы неоднократно взаимодействовали с нами). Мы ответим на все обоснованные запросы как можно скорее, но не позднее одного месяца с момента получения. Если нам потребуется больше времени (до двух месяцев для сложных запросов), мы сообщим вам о продлении срока и причинах этого. Как правило, мы не взимаем плату за обработку запросов, за исключением случаев, когда запрос явно необоснован или чрезмерен, в этом случае мы можем взимать разумную плату или отказать в запросе (предоставив обоснование).

Процедура действий при утечке данных

Несмотря на наши надежные меры безопасности, утечка данных (инцидент, приводящий к случайному или незаконному уничтожению, потере, изменению, несанкционированному разглашению или доступу к персональным данным) все еще потенциально может произойти. Компания Façade Creations разработала четкий план реагирования на утечки данных , чтобы обеспечить быстрое и эффективное реагирование на такие инциденты. Наша процедура выглядит следующим образом:

1. Выявление и локализация: Сотрудники обучены немедленно сообщать руководству о любых предполагаемых утечках данных (например, о пропаже устройства, подозрительной активности системы или ошибочной отправке электронного письма не тому получателю). После сообщения или обнаружения потенциальной утечки мы оперативно принимаем меры по локализации – например, изолируем скомпрометированную систему, отзываем ошибочно отправленные электронные письма или изменяем учетные данные доступа для предотвращения дальнейшего несанкционированного доступа. Мы также ведем журнал инцидента, фиксируя время и предпринятые действия.
2. Оценка: Ответственная группа (возглавляемая высшим руководством и ИТ-специалистами, включая нашего руководителя по защите данных) проведет расследование и оценит масштабы и серьезность утечки данных. Мы определим, какие персональные данные затронуты, сколько человек пострадало, каковы потенциальные последствия для этих лиц, а также были ли данные восстановлены или все еще находятся в открытом доступе. Эта оценка рисков проводится оперативно, поскольку она определяет наши дальнейшие шаги по уведомлению.
3. Уведомление: Если нарушение может представлять угрозу для прав и свобод отдельных лиц (например, риск кражи личных данных, финансовые потери, личная безопасность или другой существенный вред), мы комиссара по информации Великобритании (ICO) в течение 72 часов с момента обнаружения нарушения, как того требует закон. Наше уведомление в ICO будет содержать подробную информацию о характере нарушения, категориях и приблизительном количестве затронутых лиц и записей, вероятных последствиях, а также мерах, принятых или предложенных для его устранения. Если 72-часовой срок истечет, а мы не соберем всю эту информацию, мы отправим первоначальное уведомление и предоставим более подробную информацию по мере ее поступления. Кроме того, если нарушение может представлять высокий риск для пострадавших лиц (например, утечка конфиденциальной информации, которая может привести к мошенничеству или причинению вреда), мы также незамедлительно и четко проинформируем этих лиц о произошедшем и о любых шагах, которые они должны предпринять для своей защиты. Мы предоставим пострадавшим лицам рекомендации по смягчению любых негативных последствий (например, сброс паролей, отслеживание подозрительной активности и т. д.). Если утечка данных не представляет существенных рисков (например, если данные были зашифрованы или быстро восстановлены), нам может не потребоваться уведомлять отдельных лиц, но мы все равно документируем инцидент внутри компании.
4. Анализ и предотвращение: После устранения непосредственных последствий инцидента мы проведем анализ после нарушения, чтобы полностью понять его причину и выявить области для улучшения. Мы предпримем все необходимые меры для предотвращения подобных инцидентов в будущем, такие как пересмотр процедур, усиление мер безопасности или предоставление дополнительного обучения персоналу. Все нарушения и инциденты, близкие к инцидентам, регистрируются в нашем внутреннем реестре нарушений вместе с подробной информацией о наших действиях и результатах в соответствии с нашими обязательствами по обеспечению подотчетности.

Мы рассматриваем любое нарушение безопасности данных как серьезное дело. Следуя этой процедуре, мы стремимся минимизировать вред, причиняемый отдельным лицам, и извлекать уроки из инцидентов для постоянного усиления мер по защите данных.

Обзор и обновления

Мы регулярно пересматриваем , чтобы она соответствовала изменениям в законодательстве и особенностям нашей деятельности. Как минимум, политика пересматривается ежегодно . Пересмотр также инициируется в случае существенных изменений – например, при внедрении новых видов обработки данных, при изменении нормативных актов или при получении важных замечаний по результатам аудита защиты данных или расследования нарушений.

Изменения в политике будут утверждаться руководством компании. Директор (Хашим Чокси) отвечает за официальное утверждение любых изменений и за контроль за соблюдением данной политики во всей организации. При внесении изменений пересмотренная политика будет размещена на нашем веб-сайте , и дата «последнего обновления» будет соответствующим образом скорректирована. В случае существенных изменений мы также можем напрямую уведомить сотрудников или других затронутых лиц (например, по электронной почте или внутренней служебной записке), особенно если изменения затрагивают порядок обработки их данных или их права.

Мы также проводим периодические аудиты защиты данных и проверки соответствия (внутри компании или с помощью внешних консультантов), чтобы убедиться, что наша фактическая практика соответствует данной политике. Любые выводы таких аудитов будут использованы для улучшения наших процессов и могут привести к обновлению политики или дополнительному обучению.

Регулярно пересматривая и обновляя свою политику и практику, компания Façade Creations подтверждает свою приверженность высоким стандартам защиты данных и заблаговременно адаптируется к новым изменениям.

ICO и жалобы

Мы хотим, чтобы люди были уверены в том, как мы обрабатываем персональные данные. Если у вас есть какие-либо опасения или жалобы по поводу нашей практики защиты данных, мы рекомендуем вам связаться с нами напрямую, чтобы мы могли решить эту проблему. Кроме того, вы имеете право подать жалобу в надзорный орган Великобритании по защите данных, которым является комиссара по информации (ICO) . С ICO можно связаться через их веб-сайт (ico.org.uk) или по телефону.

В наших уведомлениях о конфиденциальности (например, на нашем веб-сайте и в договорных положениях о защите данных) мы указываем информацию о праве физических лиц обращаться в ICO. Мы будем в полной мере сотрудничать с ICO в случае любого расследования. Конечно, мы надеемся разрешить любые вопросы, работая с вами напрямую – ваше доверие для нас чрезвычайно важно.

Связаться с нами

Если у вас возникли вопросы по поводу данной Политики защиты данных или вы хотите воспользоваться какими-либо из своих прав в отношении защиты данных, пожалуйста, свяжитесь с нами:

Электронная почта: info@facadecreations.co.uk
Почтовый адрес: Запросы по защите данных – Façade Creations Ltd, 124 City Road, London, EC1V 2NX, United Kingdom

Мы будем рады вам помочь и постараемся оперативно отвечать на все обоснованные запросы.

Façade Creations Ltd – зарегистрирована в Англии и Уэльсе (регистрационный номер компании 16267073).

Последнее обновление: октябрь 2025 г.