Политика конфиденциальности

I. ПРЕАМБУЛА

При обработке персональных данных в рамках организации применяются принципы, предусмотренные международными актами — Всеобщей декларацией прав человека, Конвенцией о защите прав человека и основных свобод, Конвенцией о защите физических лиц при автоматизированной обработке персональных данных, Директивой 95/46/ЕС Европейского парламента и Совета о защите физических лиц в отношении обработки персональных данных и свободном движении таких данных, а также национальными актами — Конституцией Республики Молдова, Законом о защите персональных данных, Законом о доступе к информации, Требованиями по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утверждёнными Постановлением Правительства №1123 от 14 декабря 2010 года, Положением о Реестре учёта операторов персональных данных, утверждённым Постановлением Правительства №296 от 15 мая 2012 года, и другими профильными законодательными и нормативными актами.

II. ВВЕДЕНИЕ

Компания «Business Market» SRL имеет зарегистрированный юридический адрес в г. Яловены, ул. Григоре Виеру, №18, Республика Молдова. Одновременно получение корреспонденции и расположение администрации осуществляется по адресу: мун. Кишинёв, ул. Александру чел Бун, №108, Республика Молдова.

Настоящая Политика утверждена компанией «Business Market» SRL, которая осуществляет свою деятельность в соответствии с действующим законодательством Республики Молдова.

Настоящая Политика утверждена, в том числе, с целью обеспечения соответствия компании «Business Market» SRL требованиям Постановления Правительства Республики Молдова №1123 от 14 декабря 2010 года «Об утверждении Требований по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» и Закона Республики Молдова №133 от 08.07.2011 года «О защите персональных данных».

III. ОБЩИЕ ПОНЯТИЯ

В настоящей Политике безопасности определяются и используются следующие понятия:

персональные данные — любая информация об идентифицированном или идентифицируемом физическом лице (далее — субъект данных). Идентифицируемым физическим лицом является лицо, которое может быть идентифицировано прямо или косвенно, в частности посредством идентификатора, такого как имя, идентификационный номер, данные о местонахождении, онлайн-идентификатор или один либо несколько элементов, характерных для его физической, физиологической, генетической, психической, экономической, культурной или социальной идентичности;

обработка — любое действие или совокупность действий, выполняемых с персональными данными или наборами персональных данных, с использованием или без использования автоматизированных средств, включая сбор, регистрацию, организацию, структурирование, хранение, адаптацию или изменение, извлечение, консультацию, использование, раскрытие посредством передачи, распространение или предоставление иным способом, сопоставление или объединение, ограничение обработки, удаление или уничтожение;

ограничение обработки — маркировка хранящихся персональных данных с целью ограничения их дальнейшей обработки;

создание профиля — любая форма автоматизированной обработки персональных данных, заключающаяся в использовании персональных данных для оценки определённых личных аспектов физического лица, в частности для анализа или прогнозирования таких аспектов, как эффективность работы, экономическое положение, здоровье, личные предпочтения, интересы, надёжность, поведение, место нахождения физического лица или его перемещения;

псевдонимизация — обработка персональных данных таким образом, чтобы они не могли быть отнесены к конкретному субъекту данных без использования дополнительной информации, при условии, что эта дополнительная информация хранится отдельно и является объектом технических и организационных мер, обеспечивающих невозможность отнесения соответствующих персональных данных к идентифицированному или идентифицируемому физическому лицу;

система учёта данных — любой структурированный набор персональных данных, доступ к которому осуществляется согласно определённым критериям, независимо от того, является ли он централизованным, децентрализованным или распределённым по функциональным либо географическим критериям;

оператор — физическое или юридическое лицо, государственный орган, агентство или другая организация, которая самостоятельно или совместно с другими определяет цели и способы обработки персональных данных. В случае если цели и способы обработки установлены нормативными актами, оператор или специальные критерии его определения устанавливаются соответствующими нормативными актами;

лицо, уполномоченное оператором — физическое или юридическое лицо, государственный орган, агентство или другая организация, которая обрабатывает персональные данные от имени оператора;

местонахождение — место фактического и реального осуществления деятельности в рамках стабильных условий;

получатель — физическое или юридическое лицо, государственный орган, агентство или другая организация, которым раскрываются персональные данные, независимо от того, является ли оно третьей стороной. Государственные органы, которым персональные данные могут быть переданы в рамках конкретного расследования в соответствии с нормативными актами, не считаются получателями; обработка таких данных государственными органами осуществляется в соответствии с применимыми нормами защиты данных и целями обработки;

третья сторона — физическое или юридическое лицо, государственный орган, агентство или организация, отличные от субъекта данных, оператора, уполномоченного лица оператора и лиц, которые под непосредственным руководством оператора или уполномоченного лица имеют право осуществлять обработку персональных данных;

согласие — любое свободное, конкретное, информированное и однозначное выражение воли субъекта данных, посредством которого он принимает обработку относящихся к нему персональных данных путём заявления или однозначного действия;

нарушение безопасности персональных данных — нарушение безопасности, которое случайно или незаконно приводит к уничтожению, потере, изменению или несанкционированному раскрытию переданных, хранящихся либо иным образом обрабатываемых персональных данных или к несанкционированному доступу к ним.

генетические данные — персональные данные, относящиеся к унаследованным или приобретённым генетическим характеристикам физического лица, которые предоставляют уникальную информацию о физиологии или здоровье данного лица и которые получены, в частности, в результате анализа образца биологического материала, взятого у соответствующего лица;

биометрические данные — персональные данные, полученные в результате применения специальных методов обработки, относящиеся к физическим, физиологическим или поведенческим характеристикам физического лица, которые позволяют или подтверждают уникальную идентификацию данного лица, например изображения лица или дактилоскопические данные;

данные о здоровье — персональные данные, связанные с физическим или психическим здоровьем физического лица, включая предоставление медицинских услуг, раскрывающих информацию о состоянии здоровья данного лица;

национальный идентификационный номер — номер, посредством которого физическое лицо идентифицируется в определённых системах учёта и который имеет общее применение, например: государственный идентификационный номер, серия и номер удостоверения личности, номер паспорта, водительского удостоверения;

представитель — физическое или юридическое лицо с местонахождением в Республике Молдова, назначенное оператором или уполномоченным лицом оператора в письменной форме на основании статьи 27, которое представляет оператора или уполномоченное лицо оператора в отношении обязанностей, предусмотренных настоящим законом;

предприятие — физическое или юридическое лицо, осуществляющее экономическую деятельность независимо от его организационно-правовой формы, включая товарищества или объединения, которые регулярно осуществляют экономическую деятельность;

группа предприятий — предприятие, осуществляющее контроль, и предприятия, находящиеся под его контролем;

обязательные корпоративные правила — правила в области защиты персональных данных, которые должны соблюдаться оператором или уполномоченным лицом оператора с местонахождением на территории Республики Молдова в отношении передачи или совокупности передач персональных данных оператору или уполномоченному лицу оператора в одном или нескольких государствах в рамках группы предприятий либо группы предприятий, участвующих в совместной экономической деятельности;

общий оборот — показатель, определённый в соответствии со статьёй 4 Закона о конкуренции №183/2012;

услуги информационного общества — услуги, определённые статьёй 4 Закона №284/2004 об услугах информационного общества;

прямой маркетинг — распространение посредством телефона, почты или любых других средств прямой коммуникации рекламных или маркетинговых сообщений (для продвижения товаров или услуг), адресованных конкретным лицам;

международная организация — организация и её подчинённые органы, регулируемые нормами международного публичного права, либо любой другой орган, созданный на основании соглашения между двумя или более государствами или в соответствии с таким соглашением;

персональные данные — любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу (субъекту персональных данных). Идентифицируемое лицо — это лицо, которое может быть идентифицировано прямо или косвенно посредством идентификационного номера либо одного или нескольких элементов, характерных для его физической, физиологической, психической, экономической, культурной или социальной идентичности;

специальные категории персональных данных — данные, раскрывающие расовое или этническое происхождение лица, его политические, религиозные или философские убеждения, социальную принадлежность, данные о состоянии здоровья или сексуальной жизни, а также данные о судимостях, процессуальных мерах принуждения или административных правонарушениях;

оператор — физическое лицо или юридическое лицо публичного или частного права, включая государственный орган, любое другое учреждение или организацию, которые самостоятельно или совместно с другими определяют цели и способы обработки персональных данных, предусмотренные действующим законодательством;

лицо, уполномоченное оператором — физическое или юридическое лицо публичного или частного права, включая государственный орган и его территориальные подразделения, которое осуществляет обработку персональных данных от имени и по поручению оператора на основании полученных от оператора инструкций;

аутентификация — проверка идентификатора, присвоенного субъекту доступа, и подтверждение его подлинности;

контроль безопасности — действия, предпринимаемые компанией «Business Market» SRL с целью обеспечения надлежащего уровня безопасности персональных данных, обрабатываемых в информационных системах и/или в соответствующих реестрах;

временные файлы — совокупность данных или информации на цифровом носителе, созданная на ограниченный период времени до начала выполнения задач, для которых они были предназначены;

идентификация — присвоение идентификатора субъектам и объектам доступа и/или сравнение представленного идентификатора со списком присвоенных идентификаторов;

целостность — достоверность, непротиворечивость и актуальность информации, содержащей персональные данные, а также её защита от уничтожения и несанкционированного изменения;

средства криптографической защиты информации, содержащей персональные данные — технические, программные и программно-технические средства, системы и комплексы систем, реализующие алгоритмы криптографического преобразования информации, содержащей персональные данные, предназначенные для обеспечения целостности и конфиденциальности информации в процессе её обработки, хранения и передачи по каналам связи.

уровень защиты — уровень безопасности, соответствующий риску, который несёт обработка соответствующих персональных данных, а также риску для прав и свобод физических лиц, разработанный и обновляемый с учётом уровня развития технологий и затрат на внедрение соответствующих мер;

политика безопасности персональных данных — документ, разработанный оператором данных — «Business Market» SRL, который содержит точное описание выбранных мер безопасности и защитных характеристик для обеспечения безопасности данных с учётом потенциальных угроз для обрабатываемых персональных данных и реальных рисков, которым они подвергаются;

периметр безопасности — зона, представляющая собой барьер доступа, обеспеченный средствами физического и/или технического контроля доступа;

лицо, ответственное за политику безопасности персональных данных — лицо, ответственное за надлежащее функционирование комплексной системы защиты информации, содержащей персональные данные, а также за разработку, внедрение и контроль соблюдения положений политики безопасности владельца персональных данных;

защита информации от непреднамеренных действий — совокупность мер, направленных на предотвращение непреднамеренных действий, вызванных ошибками пользователей, неисправностями технических и программно-технических средств, природными явлениями или другими причинами, которые не имеют прямой целью изменение информации, но могут привести к искажению, уничтожению, копированию, блокированию доступа к информации, а также к её потере, уничтожению или повреждению материального носителя информации, содержащей персональные данные;

носитель персональных данных — магнитный, оптический, лазерный, бумажный или иной носитель информации, на котором создаётся, фиксируется, передаётся, принимается, хранится или иным образом используется документ, позволяющий воспроизведение содержащейся в нём информации;

восстановление данных — процедуры по восстановлению/возврату персональных данных в состояние, в котором они находились до момента их утраты или уничтожения;

информационная технология — совокупность методов, способов и средств обработки и передачи информации, содержащей персональные данные, а также правила их применения;

пользователь — лицо, действующее под руководством владельца персональных данных и имеющее установленное право доступа к информационным системам персональных данных;

рабочая сессия — период времени, начинающийся с момента включения компьютера и запуска приложения для использования информационного ресурса либо с момента запуска информационного ресурса и заканчивающийся моментом их отключения;

информационная система персональных данных — совокупность взаимосвязанных информационных ресурсов и технологий, методов и персонала, предназначенная для хранения, обработки и предоставления информации, содержащей персональные данные;

обработка персональных данных — любое действие или совокупность действий, выполняемых с персональными данными с использованием автоматизированных или неавтоматизированных средств, включая сбор, регистрацию, организацию, хранение, сохранение, восстановление, адаптацию или изменение, извлечение, консультацию, использование, раскрытие посредством передачи, распространение или иным способом, объединение или комбинирование, блокирование, удаление или уничтожение;

хранение — сохранение персональных данных на любом виде носителя;

система учёта персональных данных — любой структурированный набор персональных данных, доступ к которому осуществляется согласно определённым критериям, независимо от того, является ли он централизованным, децентрализованным или распределённым по функциональным либо географическим критериям.

согласие субъекта персональных данных — любое свободное, выраженное и безусловное волеизъявление в письменной или электронной форме, соответствующее требованиям электронного документа, посредством которого субъект персональных данных принимает обработку относящихся к нему данных;

обезличивание данных — изменение персональных данных таким образом, чтобы сведения о личных или материальных обстоятельствах больше не позволяли отнести их к идентифицированному или идентифицируемому физическому лицу либо позволяли такое отнесение только в результате проведения расследования, требующего несоразмерных затрат времени, ресурсов и рабочей силы.

IV. Цели Политики безопасности

Основными целями настоящей Политики являются обеспечение доступности, целостности и конфиденциальности всей информации, включая персональные данные, обрабатываемые компанией «Business Market» SRL, как при ручной обработке, так и в рамках информационных систем и процессов информационных технологий.

Безопасность является важнейшим компонентом эффективного функционирования процессов, основанных на IT-технологиях, в компании «Business Market» SRL. Основой надлежащего уровня IT-безопасности является соблюдение положений настоящей Политики.

Настоящая Политика содержит требования и правила по защите всей информации, включая персональные данные, информационные системы и IT-процессы от природных воздействий, человеческих и технических ошибок, а также от преднамеренных действий, которые могут привести к материальному или нематериальному ущербу либо к нарушениям законодательства.

Учитывая, что безопасность IT не может быть обеспечена исключительно с помощью технических систем, настоящая Политика также охватывает организационно-правовые и иные аспекты защиты информации.

Компания «Business Market» SRL обеспечивает защиту персональных данных как участников процессов/посетителей, так и своих сотрудников.

Положения настоящей Политики представляют собой минимальный стандарт для компании «Business Market» SRL, включая всех сотрудников компании. Исходя из данных требований, все сотрудники компании «Business Market» SRL обязаны строго соблюдать положения настоящей Политики и внутренние правила компании в области защиты персональных данных и IT-систем.

V. Положения об иерархии и ответственности лица, ответственного за Политику безопасности

Оператор персональных данных, исходя из специфики деятельности, посредством настоящей Политики безопасности устанавливает необходимые процедуры и меры для обеспечения надлежащего уровня защиты при обработке персональных данных в управляемых системах учёта.

Политика безопасности персональных данных подлежит пересмотру не реже одного раза в год в результате изменений или переоценки полномочий и функций организации. Руководители обязаны назначить лицо или лиц, которые непосредственно будут осуществлять корректировку положений настоящего документа.

Политика безопасности в обязательном порядке доводится под подпись до сведения всех сотрудников, ответственных за обработку персональных данных, до предоставления им доступа к обработке персональных данных, а также при внесении изменений, связанных с необходимостью обеспечения надлежащего уровня защиты персональных данных.

Ответственным за внедрение и контроль соблюдения положений Политики безопасности персональных данных назначается лицо, которое согласно должностной инструкции и/или внутреннему приказу располагает достаточными ресурсами (временем, человеческими ресурсами, оборудованием и бюджетом) и имеет свободный доступ к необходимой информации для выполнения своих функций, при условии, что его деятельность не выходит за рамки настоящей Политики.

Назначенное ответственное лицо, независимо от выполняемых функций, при осуществлении контроля за внедрением и соблюдением положений Политики безопасности непосредственно подчиняется руководителю компании «Business Market» SRL либо лицу, исполняющему обязанности руководителя.

Лицо, ответственное за Политику безопасности персональных данных, обеспечивает чёткое распределение различных обязанностей, связанных с безопасностью обработки персональных данных (предотвращение, контроль, обнаружение и обработка инцидентов), а также их выполнение независимо от давления, возникающего вследствие личных интересов или иных обстоятельств.

Лицо, ответственное за Политику безопасности персональных данных, определяет чётко обязанности и процессы управления безопасностью персональных данных, обеспечивая их надлежащую интеграцию в организационную структуру и общую систему функционирования компании; обеспечивает принятие необходимых технических и организационных мер для организации процесса управления безопасностью персональных данных; разрабатывает процедуры классификации информации, содержащей персональные данные, таким образом, чтобы была возможность составления номенклатуры и определения местонахождения всех обрабатываемых персональных данных независимо от типа носителя данных; проводит обучение лиц, участвующих в процессе обработки персональных данных, для выполнения ими своих функциональных обязанностей и принятия ответственности за безопасность персональных данных, включая соблюдение их конфиденциальности.

VI. Средства, на которые распространяются принципы защиты персональных данных

Защита персональных данных в компании «Business Market» SRL (в качестве оператора персональных данных) обеспечивается посредством комплекса технических и организационных мер, направленных на предотвращение незаконной обработки персональных данных.

Специальными средствами и процедурами защиты обеспечиваются все управляемые оператором информационные ресурсы, содержащие персональные данные, которые хранятся на:

магнитных, оптических, лазерных или иных электронных носителях информации, в информационных массивах и базах данных;

информационных системах, сетях, операционных системах, системах управления базами данных и других приложениях, телекоммуникационных системах, включая средства создания и копирования документов, а также другие технические средства обработки информации.

VII. Меры по защите персональных данных обеспечиваются в целях:

предотвращения утечки информации, содержащей персональные данные, посредством исключения несанкционированного доступа к ней;

предотвращения несанкционированного уничтожения, изменения, копирования или блокирования персональных данных в телекоммуникационных сетях и информационных ресурсах;

недопущения раскрытия третьим лицам информации с ограниченным доступом;

повышения эффективности использования информационных ресурсов как на бумажных, так и на электронных носителях.

VIII. Защита персональных данных, обрабатываемых в информационных системах, осуществляется следующими методами:

предотвращение несанкционированного подключения к телекоммуникационным сетям и перехвата с помощью технических средств персональных данных, передаваемых по этим сетям;

исключение несанкционированного доступа к обрабатываемым персональным данным;

предотвращение специальных технических и программных воздействий, которые могут привести к уничтожению, изменению персональных данных или нарушению работы программно-технического комплекса;

предотвращение преднамеренных и/или непреднамеренных действий внутренних и/или внешних пользователей, а также других сотрудников оператора или лиц, уполномоченных оператором, которые могут привести к уничтожению, изменению персональных данных или нарушению работы программно-технического комплекса;

предотвращение утечки информации, содержащей персональные данные, передаваемой по каналам связи, обеспечивается посредством применения методов шифрования такой информации, а также использования VPN-каналов;

предотвращение уничтожения, изменения персональных данных или сбоев в работе программного обеспечения, предназначенного для обработки персональных данных, обеспечивается посредством использования специальных технических и программных средств защиты, включая лицензионное программное обеспечение, антивирусные программы, организацию системы контроля безопасности программного обеспечения и регулярное создание резервных копий;

предотвращение утечки информации, содержащей персональные данные, обеспечивается посредством внутреннего аудита информационных систем, который проводится на постоянной основе;

установление точного порядка доступа к информации, содержащей персональные данные, обрабатываемой в информационных системах и созданных системах учёта, как для внутренних, так и для внешних пользователей.

IX. Организационные и технические процедуры, которые должны соблюдаться в компании «Business Market» SRL при обработке персональных данных

1. Общие меры управления информационной безопасностью

a) В случае временного неиспользования бумажных или электронных (цифровых) носителей информации, содержащих персональные данные, они хранятся в сейфах или запираемых металлических шкафах.

b) Компьютеры, терминалы доступа и принтеры отключаются после завершения рабочих сессий.

c) Обеспечивается безопасность пунктов приёма/отправки корреспонденции, а также защита от несанкционированного доступа к факсимильным и копировальным аппаратам.

d) Обеспечивается безопасность и физический доступ к средствам отображения информации, содержащей персональные данные, с целью предотвращения её просмотра неуполномоченными лицами.

e) Средства обработки персональных данных, информация, содержащая персональные данные, или программное обеспечение, предназначенное для обработки персональных данных, могут быть вынесены за пределы периметра безопасности только на основании письменного разрешения руководства.

f) Все программы, используемые в информационной системе, соответствуют условиям лицензирования.

g) Запрещается установка программ типа Shareware или Freeware без согласования с администратором информационной системы.

2. Безопасность физической среды и информационных технологий, используемых при обработке персональных данных

a) Доступ в помещения/офисы/кабинеты или зоны, где размещены информационные системы персональных данных, ограничивается и разрешается только лицам, имеющим соответствующие полномочия, согласно спискам доступа или специальным идентификационным средствам (значки, бейджи, идентификационные карты).

b) Обеспечивается управление и контроль физического доступа во всех точках доступа к информационным системам персональных данных, включая реагирование на нарушения установленного режима доступа.

c) Периметр безопасности компании «Business Market» SRL представляет собой территорию офисных помещений, в которых осуществляется обработка и/или хранение персональных данных.

d) Периметр здания или помещений, где расположены средства обработки персональных данных, является физически защищённым; внешние стены помещений являются прочными, входы оборудованы замками и средствами сигнализации.

e) Размещение средств обработки персональных данных соответствует требованиям обеспечения их защиты от несанкционированного доступа, краж, пожаров, затоплений и других возможных рисков.

f) Двери и окна запираются в случае отсутствия сотрудников в помещении.

g) Компьютеры, серверы и другие терминалы доступа размещаются в местах с ограниченным доступом для посторонних лиц.

h) Доступ в периметр безопасности здания компании «Business Market» SRL, где осуществляется обработка и/или хранение персональных данных, с использованием несанкционированного фото- и видеооборудования запрещён, с учётом необходимости обеспечения режима конфиденциальности и безопасности обработки персональных данных, предусмотренного статьями 29 и 30 Закона о защите персональных данных, а также пунктом 26 соответствующих Требований.

i) Использование фото-, видео-, аудиотехники или других средств записи в пределах периметра безопасности допускается только при наличии специального разрешения руководства.

3. Идентификация и аутентификация пользователей

a) Осуществляется идентификация и аутентификация пользователей информационных систем персональных данных, а также процессов, выполняемых от имени этих пользователей.

b) Все пользователи (включая технический персонал поддержки, сетевых администраторов, программистов и администраторов баз данных) имеют персональный идентификатор (ID пользователя), который не содержит признаков уровня доступа пользователя.

c) Для подтверждения идентификатора пользователя используются пароли, специальные физические средства доступа с памятью (токены), микропроцессорные карты, а также биометрические средства аутентификации, основанные на уникальных индивидуальных характеристиках человека.

d) В случае прекращения, приостановления или изменения трудового договора/служебных отношений пользователя, если новые обязанности не требуют доступа к персональным данным, либо если права доступа пользователя были изменены, либо если пользователь злоупотребил предоставленными кодами для совершения действий, причинивших ущерб, отсутствовал длительное время — коды идентификации и аутентификации отзываются или приостанавливаются IT-администратором.

4. Идентификация и аутентификация оборудования

Обеспечивается возможность идентификации и аутентификации оборудования, используемого при операциях обработки персональных данных, с сохранением соответствующей информации в течение длительного периода времени.

5. Управление идентификаторами пользователей

Управление идентификаторами пользователей включает:

однозначную идентификацию каждого пользователя;

проверку подлинности каждого пользователя.

6. Использование паролей в процессе обеспечения информационной безопасности

Соблюдаются правила обеспечения информационной безопасности при выборе и использовании паролей, включая:

сохранение конфиденциальности паролей;

запрет записи паролей на бумажных носителях в случае, если не обеспечена безопасность их хранения.

изменение паролей каждый раз при наличии признаков возможной компрометации системы или пароля;

выбор качественных паролей длиной не менее 8 символов, которые не связаны с персональной информацией пользователя, не содержат последовательных одинаковых символов и не состоят полностью из групп цифр или букв;

изменение паролей каждые 3 месяца;

отключение автоматизированного процесса сохранения данных для входа (с использованием сохранённых паролей).

7. Контроль управления доступом

Осуществляется систематический контроль действий пользователей с целью оценки правильности и соответствия операций и действий, выполняемых посредством информационных систем персональных данных.

8. Удалённый доступ

a) Все методы удалённого доступа к информационным системам персональных данных защищаются (с использованием VPN, шифрования и других средств защиты), а также документируются, подвергаются мониторингу и контролю.

b) Каждый метод удалённого доступа к информационным системам персональных данных должен быть разрешён ответственными лицами компании «Business Market» SRL и предоставляется только тем пользователям, которым он необходим для выполнения установленных задач.

9. Ограничение использования беспроводных технологий

a) Беспроводной доступ к информационным системам персональных данных максимально ограничивается, документируется и подвергается мониторингу и контролю.

b) Беспроводной доступ к информационным системам персональных данных разрешается только при использовании криптографических средств защиты информации.

c) Использование беспроводных технологий разрешается ответственными лицами компании «Business Market» SRL.

10. Электроэнергетическая безопасность

a) Электрическое оборудование, используемое для обеспечения функционирования информационных систем персональных данных, а также электрические кабели защищаются от повреждений и несанкционированного подключения посредством размещения в специальных нишах.

b) В случае возникновения чрезвычайных, аварийных ситуаций или обстоятельств непреодолимой силы обеспечивается возможность отключения электропитания информационных систем персональных данных, включая возможность отключения любого IT-компонента.

c) В офисах, где размещены информационные системы персональных данных и средства обработки персональных данных, внедрены автоматизированные системы обнаружения и сигнализации о пожаре.

11. Контроль установки и удаления IT-компонентов

a) Осуществляется контроль и учёт установки и удаления программных средств, технических средств и программно-технических средств, используемых в информационных системах персональных данных.

b) Информация, содержащая персональные данные и находящаяся на носителях информации, уничтожается физически либо перезаписывается и уничтожается безопасными методами, исключающими использование стандартных функций удаления.

12. Раскрытие персональных данных

a) При раскрытии персональных данных в электронном формате, содержащихся в системах учёта, посредством коммуникационных сетей или других цифровых носителей хранения, должна обеспечиваться криптографическая защита данной информации либо рассматриваться возможность использования двустороннего защищённого VPN-соединения.

Беспроводной доступ к системам учёта персональных данных разрешается только авторизованным пользователям.

Каждый случай запроса на раскрытие персональных данных посредством электронной передачи рассматривается отдельно, исходя из технических возможностей получателя и оператора, а также в соответствии с организационными и техническими мерами защиты, внедрёнными сторонами.

В случае если коммуникационные сети создают риски для конфиденциальности и безопасности персональных данных, используются традиционные методы передачи (заказное почтовое отправление с уведомлением, личная передача и т.д.).

b) Раскрытие персональных данных посредством передачи через коммуникационные сети, которые не соответствуют установленным Требованиям (например, отправка информации через личные электронные почтовые ящики типа @gmail.com, @mail.ru, @yahoo.com и т.д.), запрещается.

c) Запрещаются операции по раскрытию персональных данных между компанией «Business Market» SRL и другими организациями, расположенными географически на левом берегу Днестра, которые отказываются подчиняться законодательству Республики Молдова, учитывая отсутствие возможности осуществления эффективного контроля над данной территорией, включая соблюдение требований законодательства о защите персональных данных.

d) Процедура передачи персональных данных, хранящихся на бумажных и/или цифровых носителях, за пределы Республики Молдова должна регулироваться внутренним нормативным актом или двусторонним соглашением с учётом необходимости обеспечения надлежащего уровня защиты персональных данных.

e) Трансграничная передача персональных данных осуществляется в строгом соответствии с положениями статьи 32 Закона о защите персональных данных, особенно в случаях, когда международный договор, на основании которого осуществляется передача, не содержит гарантий защиты прав субъекта персональных данных.

f) Объём и категории персональных данных, собираемых для ведения учёта в компании «Business Market» SRL, ограничиваются исключительно теми данными, которые необходимы для достижения заявленных целей.