Приложение
к приказу ОБЩЕСТВА С ОГРАНИЧЕННОЙ ОТВЕТСТВЕННОСТЬЮ "БРИФАКТОРИДЖ ФИНАНС"
от 12.01.2026 № 26ПР152-01/1
Положение о сроках хранения, порядке отзыва согласий и уничтожении персональных данных
в ОБЩЕСТВЕ С ОГРАНИЧЕННОЙ ОТВЕТСТВЕННОСТЬЮ "БРИФАКТОРИДЖ ФИНАНС"
1. Общие положения
1.1. Настоящее Положение разработано в соответствии с:
- Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (статьи 6, 9, 19, 21);
- Федеральным законом от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путём, и финансированию терроризма»;
- Трудовым кодексом Российской Федерации;
- Налоговым кодексом Российской Федерации;
- Федеральным законом от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»;
- Перечнем типовых управленческих архивных документов, утверждённым приказом Росархива от 20.12.2019 № 236;
- Политикой обработки персональных данных Оператора.
1.2. В случае внесения изменений в законодательство Российской Федерации, в том числе в нормативные правовые акты федеральных органов исполнительной власти (Роскомнадзора, Росархива и иных), которыми устанавливаются или изменяются сроки хранения, обработки, блокирования или уничтожения персональных данных, отличные от сроков, указанных в настоящем Положении, Общество применяет сроки, установленные действующим законодательством Российской Федерации. Положения настоящего Положения, устанавливающие конкретные сроки, применяются в части, не противоречащей действующему законодательству Российской Федерации. Несовпадение сроков, указанных в настоящем Положении, со сроками, установленными вновь принятыми нормативными правовыми актами, не является нарушением со стороны Общества при условии, что Общество фактически руководствуется сроками, установленными действующим законодательством.
1.3. Положение определяет:
- сроки хранения персональных данных по категориям субъектов и видам данных;
- порядок отзыва согласий на обработку, передачу, хранение электронных образов и распространение персональных данных;
- сроки прекращения обработки после отзыва;
- порядок уничтожения персональных данных по истечении сроков хранения или после отзыва согласия.
1.4. Положение опубликовано на сайте Оператора по адресу: https://brifactoridge.ru/regulation_pd и доступно каждому субъекту персональных данных до подписания согласия.
1.5. В Положении используются наименования субъектов: работник, уволенный работник, родственник работника, родственник уволенного работника, соискатель, клиент, контрагент, представитель контрагента, выгодоприобретатель, посетитель сайта.
1.6. Принцип определения правового основания обработки персональных данных.
1.6.1. Обработка персональных данных осуществляется Оператором при наличии соответствующего правового основания, предусмотренного Федеральным законом № 152-ФЗ и иными применимыми нормативными правовыми актами Российской Федерации. Согласие субъекта персональных данных не является универсальным и единственным основанием обработки.
1.6.2. В зависимости от цели и характера обработки правовым основанием могут являться, в частности:
а) необходимость обработки для исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект персональных данных;
б) необходимость исполнения обязанностей Оператора, установленных федеральным законом;
в) необходимость осуществления прав и законных интересов Оператора или третьих лиц при условии соблюдения прав и свобод субъекта персональных данных;
г) согласие субъекта персональных данных — в случаях, когда иное самостоятельное правовое основание отсутствует либо когда получение согласия предусмотрено законодательством Российской Федерации.
1.6.3. Для персональных данных лиц, не являющихся стороной договора с Оператором, правовое основание обработки определяется с учетом фактической роли такого лица, цели обработки и источника получения персональных данных. Само по себе отсутствие договорных отношений с Оператором не означает необходимости получения согласия во всех случаях.
1.6.4. Обработка персональных данных ограничивается составом данных, операциями с ними и сроком, которые необходимы для соответствующей цели и предусмотренного законом правового основания.
1.6.5. Отзыв согласия прекращает обработку только в той части, в которой обработка основывалась исключительно на отозванном согласии. При наличии иного самостоятельного правового основания обработка продолжается в соответствующей необходимой части в порядке, установленном настоящим Положением.
1.7. Локализация и размещение персональных данных.
1.7.1. При сборе персональных данных граждан Российской Федерации Оператор обеспечивает соблюдение требований законодательства Российской Федерации о локализации обработки персональных данных, включая требования части 5 статьи 18 Федерального закона № 152-ФЗ.
1.7.2. Основная информационная база, используемая Оператором для записи, систематизации, накопления, хранения, уточнения и извлечения персональных данных граждан Российской Федерации, должна размещаться на территории Российской Федерации, если иное прямо не допускается законодательством Российской Федерации.
1.7.3. Использование облачных информационных систем, программных продуктов и иных информационных ресурсов допускается только после документированной проверки их соответствия требованиям законодательства Российской Федерации о персональных данных, включая требования к месту размещения соответствующих баз данных.
1.7.4. Передача персональных данных поставщику информационной или иной технологической услуги не означает автоматически передачу данных самостоятельному оператору. Если соответствующее лицо осуществляет обработку персональных данных по поручению Оператора, отношения с ним оформляются с соблюдением требований Федерального закона № 152-ФЗ к поручению обработки персональных данных.
1.7.5. До подключения новой информационной системы, облачного сервиса или иного технологического решения, предназначенного для обработки персональных данных, ответственное лицо проверяет место размещения базы данных, правовой статус получателя персональных данных, наличие договора или иного правового основания обработки, а также возможность выполнения требований законодательства Российской Федерации о локализации.
2. Сроки хранения персональных данных
2.1. Принцип определения срока
2.1.1. Сроки хранения, обработки и уничтожения персональных данных, установленные настоящим Положением, применяются постольку, поскольку не противоречат действующему законодательству Российской Федерации. При изменении законодательства Российской Федерации применяются сроки, установленные действующим законодательством, без необходимости внесения соответствующих изменений в настоящее Положение.
2.1.2. Срок хранения персональных данных определяется исходя из конкретной цели обработки, применимого правового основания и требований законодательства Российской Федерации. Само по себе наличие персональных данных в информационной системе Оператора не является самостоятельным основанием для их хранения в течение установленного настоящим Положением срока.
2.1.3. Для каждой категории персональных данных и документов Оператор определяет применимый срок хранения с учетом:
а) обязательного срока хранения, прямо установленного федеральным законом или иным нормативным правовым актом Российской Федерации;
б) срока, необходимого для исполнения договора или осуществления прав и законных интересов Оператора или третьих лиц;
в) срока, необходимого для защиты прав Оператора, в том числе с учетом возможного предъявления требований и участия в судебных или иных процедурах;
г) срока хранения соответствующего документа, установленного законодательством об архивном деле, бухгалтерском учете, налогах, трудовых отношениях, ПОД/ФТ и иными применимыми нормативными актами.
Если для конкретной категории персональных данных законодательством Российской Федерации установлен обязательный срок хранения, применяется такой срок в отношении соответствующих данных и документов.
В отношении персональных данных, для которых обязательный срок хранения законодательством не установлен, хранение продолжается только в течение периода, необходимого для достижения соответствующей цели обработки либо осуществления соответствующего правового основания. По достижении цели и при отсутствии иного правового основания дальнейшее хранение прекращается, а персональные данные подлежат уничтожению в порядке, установленном разделом 4 настоящего Положения.
2.2. Сроки хранения по категориям субъектов
2.2.1. Работник (включая уволенного):
| Категория данных / документов | Срок хранения | Основание |
| Трудовой договор, дополнительные соглашения | 50 лет (если оформлен после 2003 г.) / 75 лет (до 2003 г.) | Перечень № 236, ст. 22.1, ст. 23 |
| Приказы о приёме, переводе, увольнении | 50 лет / 75 лет (аналогично) | Перечень № 236 |
| Личная карточка (Т-2) | 50 лет / 75 лет | Перечень № 236 |
| Трудовая книжка (бумажная) | 50 лет / 75 лет | Перечень № 236 |
| Сведения о трудовой деятельности (СТД-Р, ЕФС-1) | 50 лет | Перечень № 236 |
| Лицевые счета по зарплате | 50 лет | Перечень № 236, ст. 393 |
| Копии документов об образовании (дипломы, аттестаты, сертификаты) | в течение срока, установленного для соответствующего кадрового документа, если копия включена в кадровое дело и её хранение необходимо для подтверждения квалификации; при отсутствии самостоятельного нормативного основания — до достижения цели обработки либо в иной срок, установленный законодательством. | Перечень № 236, ст. 656 |
| Воинский учёт (карточка форма 10) | 50 лет / 75 лет | Перечень № 236, ст. 44 |
| Данные паспорта, СНИЛС, ИНН | В составе личного дела — 50 лет / 75 лет | Перечень № 236 |
| Сведения о браке, детях (для гарантий) | В составе личного дела — 50 лет / 75 лет | Перечень № 236 |
| Данные о здоровье (медосмотр) | 3 года (после увольнения) | Перечень № 236, ст. 633; ст. 220 ТК РФ |
| Материалы проверки по охране труда | 45 лет | Перечень № 236, ст. 631 |
2.2.2. Соискатель:
| Категория данных | Срок хранения | Основание |
| Резюме, анкета (при отказе в приёме) | 6 месяцев с даты отказа | Практика РКН; ст. 64 ТК РФ (срок для обращения в суд) |
| Резюме, анкета (при зачислении в резерв) | До отзыва согласия или 3 года | Практика РКН |
| Документы, подтверждающие квалификацию | 6 месяцев / до отзыва | Практика РКН |
| Результаты оценки (тесты, отзывы) | 6 месяцев / до отзыва | Практика РКН |
2.2.3. Клиент:
| Категория данных / документов | Срок хранения | Основание |
| Договор и дополнительные соглашения | 5 лет после истечения срока действия / расторжения | Перечень № 236, ст. 27 (при сроке договора ≤ 10 лет) или ст. 25 (постоянно, если ≥ 10 лет) |
| Документы и сведения, подлежащие хранению в соответствии с законодательством о ПОД/ФТ | Не менее срока, установленного Федеральным законом № 115-ФЗ и принятыми в соответствии с ним нормативными актами, — в отношении документов и сведений, на которые распространяется соответствующая обязанность | Федеральный закон № 115-ФЗ и нормативные акты, принятые в соответствии с ним |
| Бухгалтерские документы (счета, акты) | 5 лет (для налоговых целей) | П. 1 ст. 23, ст. 29 НК РФ |
| Документы по исполнению обязательств | 5 лет (срок исковой давности) | Ст. 196 ГК РФ |
| Сведения о задолженности | 5 лет после погашения или списания | Ст. 196 ГК РФ, НК РФ |
| Переписка по договору | 5 лет | Перечень № 236, ст. 162 |
2.2.4. Контрагент (включая представителя контрагента и выгодоприобретателя):
| Категория данных / документов | Срок хранения | Основание |
| Договор | 5 лет после истечения срока / расторжения | Перечень № 236, ст. 27 |
| Документы и сведения, подлежащие хранению в соответствии с законодательством о ПОД/ФТ | Не менее срока, установленного Федеральным законом № 115-ФЗ и принятыми в соответствии с ним нормативными актами, — в отношении документов и сведений, на которые распространяется соответствующая обязанность | Федеральный закон № 115-ФЗ и нормативные акты, принятые в соответствии с ним |
| Доверенность представителя | До истечения срока доверенности + 5 лет | Перечень № 236, ст. 27 |
| Данные для пропускного режима (представитель контрагента) | До прекращения отношений + 5 лет | Ст. 196 ГК РФ |
| Сведения о бенефициарной структуре (выгодоприобретатель) | 5 лет после прекращения отношений | П. 1 ст. 7 Закона № 115-ФЗ |
2.2.5. Посетитель сайта:
| Категория данных | Срок хранения | Основание |
| Контактные данные (из формы обратной связи) | До отзыва согласия | Ст. 9 Закона № 152-ФЗ |
2.2.6. Внедоговорный Субъект (участник) факторинговой операции (сделки):
| Категория данных / документов | Срок хранения | Основание |
| Идентификационные сведения представителей Дебитора, Поставщика, Клиента Фактора-корреспондента и иных лиц, участвующих в идентификации, KYC/комплаенс-процедурах | В течение срока, необходимого для достижения целей обработки, но не менее срока, в течение которого соответствующие документы и сведения подлежат хранению в соответствии с законодательством о ПОД/ФТ либо иным применимым законодательством | ст. 5, ст. 6, ст. 7, ст. 18, ст. 21 Закона № 152-ФЗ; Федеральный закон № 115-ФЗ — в применимой части |
| Документы и сведения, полученные в целях идентификации и оценки риска при осуществлении операций, подпадающих под требования законодательства о ПОД/ФТ | Не менее срока, установленного законодательством о ПОД/ФТ для соответствующего документа или сведений | Федеральный закон № 115-ФЗ |
| Электронные образы документов, содержащих персональные данные, включенные в материалы факторинговой операции | В течение срока хранения соответствующего документа или материалов операции, если хранение образа необходимо для подтверждения совершенной операции, идентификации либо исполнения требований законодательства | ст. 5, 6, 19, 21 Закона № 152-ФЗ; применимые нормы законодательства о ПОД/ФТ |
| Технические журналы, реестры, уведомления, сведения об акцептах, электронном взаимодействии и подтверждении полномочий | В течение срока хранения соответствующего электронного документа или операции, если такие сведения необходимы для подтверждения факта совершения операции и защиты прав Организации | ст. 5, 6, 19, 21 Закона № 152-ФЗ |
2.3. Электронные образы документов
2.3.1. Электронные образы (скан-копии) документов хранятся в течение тех же сроков, что и бумажные оригиналы, если закон требует хранения оригинала. Срок хранения оригинала определяется по таблицам
раздела 2.2.
2.3.2. Если электронный образ создан для оперативного использования (копия паспорта клиента в CRM), а оригинал хранится в бухгалтерии — срок хранения образа не превышает срок действия согласия на обработку.
2.3.3. После отзыва согласия на хранение электронных образов (Бланк 3) Оператор удаляет образы, не подлежащие обязательному хранению по законодательству, в течение 30 календарных дней. Образы, подлежащие обязательному хранению, сохраняются до истечения установленных сроков.
2.3.4. Электронные образы персональных данных и документы, содержащие персональные данные, размещаются и обрабатываются в информационных системах с соблюдением требований законодательства Российской Федерации о локализации персональных данных. Срок хранения электронного образа определяется не только сроком действия согласия, но также наличием самостоятельного правового основания и установленного законом или настоящим Положением срока хранения.
2.4. Сроки хранения согласий (Бланки 1–4)
2.4.1. Сами подписанные согласия (Бланки 1–4) хранятся:
| Документ | Срок хранения | Основание |
| Бланк 1 (согласие на обработку) | 5 лет после прекращения действия | Перечень № 236, ст. 163 (согласия на обработку ПДн) |
| Бланк 2 (Согласие на предоставление персональных данных третьим лицам в случаях, когда такое согласие требуется законом (согласие на передачу)) | 5 лет после прекращения действия | Перечень № 236, ст. 163 |
| Бланк 3 (согласие на хранение образов) | 5 лет после прекращения действия | Перечень № 236, ст. 163 |
| Бланк 4 (согласие на распространение) | 5 лет после прекращения действия | Перечень № 236, ст. 163 |
| Заявление об отзыве согласия | 5 лет с даты получения | Перечень № 236, ст. 163 |
| Журнал учёта согласий | 5 лет после последней записи | Перечень № 236, ст. 163 |
2.4.2. Хранение согласий и заявлений об отзыве — в месте, обеспечивающем сохранность и ограниченный доступ. Доступ — только специалистов, перечень которых определён в соответствующем локальном нормативном акте Организации.
2.5. Особенности обработки персональных данных, полученных от третьих лиц.
2.5.1. Персональные данные могут поступать к Оператору не непосредственно от субъекта персональных данных, а от Клиента, контрагента, представителя, иного участника сделки, государственного органа, информационной системы или иного источника, если получение и последующая обработка таких данных имеют предусмотренное законодательством Российской Федерации правовое основание.
2.5.2. При получении персональных данных не от субъекта Оператор определяет:
а) источник получения персональных данных;
б) категорию субъекта и его роль в соответствующих отношениях;
в) цель и необходимый объем обработки;
г) применимое правовое основание обработки;
д) необходимость предоставления субъекту информации, предусмотренной частью 3 статьи 18 Федерального закона № 152-ФЗ, либо наличие предусмотренного законом исключения.
2.5.3. Если персональные данные получены на основании федерального закона либо в связи с договором, стороной, выгодоприобретателем или поручителем по которому является субъект персональных данных, информация, предусмотренная частью 3 статьи 18 Федерального закона № 152-ФЗ, предоставляется субъекту в случаях и порядке, установленных указанным Федеральным законом, с учетом предусмотренных им исключений.
2.5.4. Наличие предусмотренного законодательством основания, освобождающего Оператора от предоставления субъекту информации в порядке части 3 статьи 18 Федерального закона № 152-ФЗ, не заменяет и не отменяет необходимости иметь самостоятельное правовое основание для обработки персональных данных.
2.5.5. Если персональные данные получены от Клиента или иного третьего лица, Оператор вправе запросить у лица, передающего персональные данные, сведения, подтверждающие законность их передачи Оператору, в том числе сведения о соответствующем правовом основании и, при необходимости, о выполнении обязанностей по информированию субъектов персональных данных.
2.5.6. Если законодательством Российской Федерации не предусмотрено иное, Оператор не возлагает на Клиента обязанность получать согласие субъекта персональных данных в случаях, когда обработка Оператором осуществляется на самостоятельном основании, предусмотренном Федеральным законом № 152-ФЗ или иным федеральным законом.
3. Порядок отзыва согласий
3.1. Способ отзыва
3.1.1. Субъект персональных данных вправе отозвать согласие в любой момент. Способ — письменное заявление, направленное в адрес Оператора.
3.1.2. Заявление об отзыве подаётся:
- лично — по адресу Оператора (юридический адрес места нахожднеия). Сотрудник Оператора принимает заявление, регистрирует в Журнале учёта заявлений об отзыве и выдаёт копию с отметкой о принятии;
- по почте — заказным письмом с уведомлением о вручении по адресу Оператора (юридический адрес места нахожднеия). Отзыв считается полученным с даты получения письма Оператором;
- электронно — на адрес электронной почты Оператора при условии, что заявление подписано усиленной квалифицированной электронной подписью субъекта.
3.1.3. Форма заявления — свободная. Допускается заполнение по образцу, размещённому на сайте Оператора. Отсутствие заявления по образцу не является основанием для отказа в принятии отзыва.
3.1.4. Оператор не вправе требовать от субъекта пояснений причин отзыва.
3.2. Содержание заявления об отзыве
3.2.1. Заявление должно содержать:
- ФИО субъекта;
- данные документа, удостоверяющего личность (вид, серия, номер);
- вид отзываемого согласия (Бланк 1 / 2 / 3 / 4) — при наличии. Если вид не указан, отзыв распространяется на все действующие согласия данного субъекта;
- подпись субъекта и дату.
3.2.2. При подаче заявления лично — субъект предъявляет документ, удостоверяющий личность. При подаче по почте — копия документа прилагается.
3.3. Регистрация и обработка отзыва
3.3.1. Поступившее заявление регистрируется в Журнале учёта заявлений об отзыве в день получения. Журнал ведётся по форме:
| Поле | Описание |
| № | Порядковый номер |
| Дата получения | Дата фактического поступления заявления |
| ФИО субъекта | Полные данные |
| Категория субъекта | Работник / соискатель / клиент / контрагент / представитель контрагента / выгодоприобретатель / посетитель сайта |
| Вид отзываемого согласия | Бланк 1 / 2 / 3 / 4 / все |
| Срок прекращения обработки | Расчётная дата (дата получения + срок по разделу 3.4) |
| Фактическая дата прекращения | Заполняется после выполнения действий по прекращению |
| Исполнитель | ФИО специалиста, ответственного за выполнение |
3.3.2. В течение 3 рабочих дней с даты получения заявления специалист, ответственный за обработку ПДн:
- вносит запись в Журнал учёта согласий — изменяет статус на «отозван»;
- определяет перечень действий по прекращению обработки (раздел 3.4);
- уведомляет специалистов, ответственных за хранение данных в соответствующих информационных системах и на бумажных носителях.
3.4. Сроки и порядок прекращения обработки после отзыва
3.4.1. Сроки прекращения обработки по видам согласий:
| Отозванное согласие | Срок прекращения* | Что делается |
| Бланк 1 (обработка) | 30 календарных дней с даты получения заявления | Прекращение всех действий, составляющих обработку, не обусловленных законом. Данные, подлежащие обязательному хранению, блокируются (не используются, но хранятся). |
| Бланк 2 (передача) | 30 календарных дней с даты получения заявления | Прекращение передачи указанному получателю. Оператор уведомляет получателя о прекращении обработки. |
| Бланк 3 (электронные образы) | 30 календарных дней с даты получения заявления | Удаление электронных образов, не подлежащих обязательному хранению. Образы, подлежащие обязательному хранению, блокируются. |
| Бланк 4 (распространение) | 10 рабочих дней с даты получения заявления | Удаление персональных данных из канала распространения (сайт, соцсети, печатные материалы). |
* прекращение обработки — без неоправданной задержки после установления отсутствия правового основания;
уничтожение — в сроки, предусмотренные законодательством и применимым порядком уничтожения.
3.4.2. Взаимодействие согласий при отзыве:
| Отозванное согласие | Автоматическое прекращение | Не прекращается |
| Бланк 1 | Бланк 2 (передача) | Бланк 3, Бланк 4 — прекращаются только отдельным отзывом (но основание для обработки, не обусловленной законом, отпадает) |
| Бланк 2 | — | Бланк 1, 3, 4 |
| Бланк 3 | — | Бланк 1, 2, 4 |
| Бланк 4 | — | Бланк 1, 2, 3 |
3.4.3. Если субъект отзывает согласие без указания вида (отзыв всех) — прекращаются все действующие согласия данного субъекта. Сроки прекращения считаются отдельно для каждого вида.
3.4.4. Продолжение обработки после отзыва — при наличии оснований, предусмотренных пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона № 152-ФЗ. В этом случае данные не уничтожаются, а блокируются (передача и использование прекращаются, хранение продолжается до истечения срока. Соответствующие действия по обработке осуществляются исключительно в пределах того правового основания и той цели, которые сохраняются после отзыва согласи.).
3.5. Типовые основания для продолжения обработки без согласия
3.5.1. Отзыв субъектом персональных данных согласия не влечет прекращения обработки персональных данных в той части, в которой у Оператора сохраняется иное предусмотренное законодательством Российской Федерации правовое основание обработки, в том числе предусмотренное пунктами 2–11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона № 152-ФЗ.
В частности, обработка после отзыва согласия может продолжаться, если она необходима:
| Основание | Условие применения | Примеры обрабатываемых данных |
| п. 2 ч. 1 ст. 6 Федерального закона № 152-ФЗ | для исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект | данные работника, клиента и иных лиц — в части, необходимой для исполнения соответствующего договора |
| п. 3 ч. 1 ст. 6 Федерального закона № 152-ФЗ | для исполнения обязанностей Оператора, установленных законодательством Российской Федерации | сведения и документы, обработка и хранение которых необходимы для исполнения требований налогового, бухгалтерского, трудового, архивного законодательства, законодательства о ПОД/ФТ и иных обязательных требований |
| п. 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ | для участия в производстве по делу, исполнения судебного акта, акта иного органа или должностного лица | документы и сведения, необходимые для судебной и претензионной работы |
| п. 7 ч. 1 ст. 6 Федерального закона № 152-ФЗ | для осуществления прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта | сведения о представителях, подписантах, контактных лицах, иных участниках сделок — в объеме, необходимом для проверки сделки, защиты прав Оператора, исполнения приобретенных требований, предотвращения злоупотреблений и управления рисками |
| иное применимое основание, предусмотренное Федеральным законом № 152-ФЗ или иным федеральным законом | при наличии предусмотренных законом условий | соответствующие данные и документы в пределах установленной законом цели |
Продолжение обработки допускается только в отношении тех персональных данных и тех операций с ними, которые необходимы для соответствующей цели и правового основания обработки.
3.5.2. Специалист, ответственный за организацию обработки персональных данных, при поступлении отзыва определяет для каждого вида обработки сохраняющееся правовое основание, цель, состав персональных данных и необходимый срок их дальнейшего хранения. При отсутствии самостоятельного правового основания обработка прекращается, а персональные данные подлежат уничтожению в порядке, установленном разделом 4 настоящего Положения.
3.6. Уведомление получателей при отзыве Бланка 2
3.6.1. При отзыве согласия на передачу (Бланк 2) Оператор в течение 10 рабочих дней уведомляет получателя о прекращении обработки переданных данных. Уведомление направляется письменно.
3.6.2. Если получатель — обработчик по поручению, он обязан прекратить обработку и вернуть или уничтожить данные в срок, установленный договором-поручением (не более 30 календарных дней).
3.6.3. Если получатель — самостоятельный оператор, Оператор уведомляет его о прекращении передачи, но не контролирует дальнейшую обработку.
3.7. Получение персональных данных не от субъекта
3.7.1. Если персональные данные получены Организацией не непосредственно от субъекта персональных данных, в том числе от Клиента, Поставщика, Дебитора, Фактора-корреспондента либо иного участника факторинговой операции, Организация определяет порядок информирования субъекта с учетом требований статьи 18 Федерального закона № 152-ФЗ.
3.7.2. Если персональные данные получены Организацией на основании федерального закона либо в связи с исполнением договора, стороной, выгодоприобретателем или поручителем по которому является соответствующий субъект, информирование осуществляется с учетом предусмотренных законодательством исключений.
3.7.3. Для внедоговорных участников факторинговых операций, персональные данные которых обрабатываются в целях выполнения обязанностей Организации по законодательству о противодействии легализации (отмыванию) доходов и финансированию терроризма, применяется соответствующее правовое основание обработки и установленный законом порядок информирования, включая предусмотренные частью 4 статьи 18 Федерального закона № 152-ФЗ исключения.
3.7.4. Ответственный за организацию обработки персональных данных документально фиксирует правовое основание обработки и применимость либо неприменимость обязанности по информированию субъекта.
4. Порядок уничтожения персональных данных
4.1. Основания для уничтожения
4.1.1. Персональные данные уничтожаются при наступлении одного из событий:
| Основание | Когда | Что уничтожается |
| Истечение срока хранения | По датам раздела 2.2 | Все данные субъекта, срок хранения которых истёк |
| Отзыв согласия + нет оснований для продолжения | После отзыва (раздел 3) | Данные, не подлежащие обязательному хранению |
| Прекращение деятельности Оператора | Ликвидация | Все данные (по законодательству о ликвидации) |
| Достижение цели обработки | Цель достигнута | Данные, не подлежащие хранению по иной цели |
| Исправление / обновление | Замена данных | Старые (недостоверные) данные |
4.2.1. Уничтожение бумажных носителей производится комиссией, назначенной приказом Оператора. Состав комиссии — не менее 2 человек.
4.2.2. Способы уничтожения:
- шредирование (пропуск через шредер с уровнем секретности не ниже P-4);
- резка вручную (при отсутствии шредера) — с фрагментацией не более 2 × 2 см;
- сжигание (при большом объёме — в специализированной организации).
4.2.3. Результат уничтожения оформляется Актом об уничтожении бумажных носителей. Акт содержит:
- дату уничтожения;
- перечень уничтоженных документов (в объеме, необходимом для идентификации уничтоженного массива документов);
- способ уничтожения;
- подписи членов комиссии.
4.3. Порядок уничтожения электронных данных
4.3.1. Уничтожение электронных данных производится специалистом, ответственным за ИТ, по заданию специалиста, ответственного за обработку ПДн.
4.3.2. Способы уничтожения:
- удаление файлов из всех мест хранения (из активных информационных систем и иных доступных мест хранения; резервные копии обрабатываются в соответствии с установленным циклом перезаписи/удаления, при этом данные не используются для иных целей до истечения соответствующего цикла, если иное не предусмотрено законодательством);
- очистка корзины / файлового менеджера;
- при необходимости — гарантированное удаление (перезапись секторов, использование утилит безопасного удаления).
4.3.3. Уничтожение персональных данных, размещенных в информационных системах и сервисах, используемых Оператором по договору с поставщиком технологической услуги, осуществляется с учетом правового статуса такого поставщика.
Если поставщик осуществляет обработку персональных данных по поручению Оператора, Оператор направляет ему задание на уничтожение соответствующих данных либо обеспечивает их уничтожение иным предусмотренным договором способом. Поставщик обязан подтвердить выполнение соответствующего действия в порядке, установленном договором.
Использование информационной системы или облачного сервиса для обработки персональных данных допускается при соблюдении требований законодательства Российской Федерации о локализации персональных данных.
4.3.4. Результат уничтожения оформляется Актом об уничтожении электронных персональных данных. Акт содержит:
- дату уничтожения;
- перечень уничтоженных данных (с указанием ФИО субъектов, категорий данных, мест хранения);
- способ уничтожения;
- подтверждение удаления из облачных сервисов (скриншот, ответ поставщика);
- подпись исполнителя и специалиста, ответственного за обработку ПДн.
4.4. Блокирование перед уничтожением
4.4.1. При необходимости, определяемой ответственным за обработку ПДн, до уничтожения может осуществляться временное блокирование — доступ к ним прекращается для всех пользователей, кроме специалиста, ответственного за обработку ПДн, и исполнителя уничтожения.
4.4.2. Срок блокирования — не более 30 календарных дней (для проверки корректности оснований и отсутствия ошибок). По истечении — уничтожение по акту.
4.5. Хранение актов об уничтожении
4.5.1. Акты об уничтожении (бумажных и электронных) хранятся 5 лет с даты уничтожения (Перечень № 236, ст. 164).
5. Порядок отзыва и удаления данных, опубликованных в канале распространения (Бланк 4)
5.1. При отзыве согласия на распространение (Бланк 4) Оператор удаляет персональные данные из канала распространения в течение 10 рабочих дней с даты получения заявления.
5.2. Каналы распространения и порядок удаления:
| Канал | Порядок удаления |
| Сайт Оператора | Удаление страницы / данных силами веб-мастера. Подтверждение — скриншот до и после. |
| Социальные сети | Удаление поста / записи силами SMM-специалиста. Подтверждение — скриншот. |
| Отраслевой каталог / справочник | Обращение к владельцу каталога с требованием удаления. Срок — 10 рабочих дней с момента обращения. |
| Печатные материалы | Изъятие тиража из обращения (при технической возможности). Если тираж распространён — удаление из электронных версий. |
5.3. Оператор не несёт ответственности за копирование (сохранение) опубликованных персональных данных третьими лицами до момента удаления из канала.
5.4. Удаление из канала распространения не прекращает обработку в иных информационных системах — для этого отзывается Бланк 1.
5.5. При наличии нескольких Бланков 4 (на разные каналы) отзыв одного не прекращает распространение в остальных каналах.
6. Уведомление субъекта о результатах отзыва
6.1. После выполнения всех действий по прекращению обработки (или уничтожению) Оператор уведомляет субъекта в течение 5 рабочих дней с даты завершения.
6.2. Способ уведомления — по выбору субъекта:
- письменно (по адресу, указанному в заявлении об отзыве);
- по электронной почте (на адрес, указанный в заявлении).
6.3. Уведомление содержит:
- подтверждение прекращения обработки / уничтожения данных;
- перечень данных, обработка которых продолжается (с указанием оснований);
- срок, до которого продолжается хранение (при применимости).
6.4. Отсутствие субъекта по указанному адресу (письмо возвращено) — уведомление считается направленным надлежащим образом. Оператор сохраняет копию в Журнале учёта заявлений об отзыве.
7. Ответственность
7.1. За несвоевременное прекращение обработки или уничтожение персональных данных ответственность несёт специалист, ответственный за обработку ПДн, в соответствии с трудовым законодательством и законодательством о персональных данных.
7.2. За нарушение сроков удаления данных из канала распространения (Бланк 4) ответственность несёт специалист, ответственный за публикацию (веб-мастер, SMM-специалист).
7.3. Оператор несёт административную ответственность за нарушения Закона № 152-ФЗ в соответствии со статьями 13.11 и 13.13 КоАП РФ.
8. Заключительные положения
8.1. Положение вступает в силу с даты утверждения и действует до замены его новой редакцией.
8.2. Изменения в Положение вносятся приказом Оператора. Актуальная редакция публикуется на сайте Оператора по адресу: https://brifactoridge.ru/regulation_pd в день вступления изменений в силу.
8.3. Если срок хранения, установленный настоящим Положением, короче срока, установленного законодательством (например, при появлении новых нормативных актов), применяется законодательный срок.
8.4. В случае, если законодательством Российской Федерации будут установлены требования к обработке персональных данных, не урегулированные настоящим Положением, Общество применяет такие требования непосредственно на основании законодательства Российской Федерации вплоть до внесения соответствующих изменений в настоящее Положение.