6.       Категории субъектов персональных данных и состав обрабатываемых персональных данных
6.1.  Общество обрабатывает персональные данные следующих категорий субъектов:
·       заёмщиков, созаёмщиков, поручителей, залогодателей, наследников (в том числе несовершеннолетних — в случаях, когда их персональные данные поступают в Общество в рамках основной деятельности), представителей и иных лиц, связанных с обязательством;
·       контрагентов – физических лиц, представителей контрагентов, индивидуальных предпринимателей;
·       работников Общества, бывших работников;
·       кандидатов на замещение вакантных должностей;
·       учредителей, участников, руководителей, представителей Общества;
·       заявителей, пользователей сайта, лиц, осуществляющих оплату задолженности через сайт Общества;
·       иных лиц, персональные данные которых обрабатываются Обществом на законных основаниях.
Обработка персональных данных несовершеннолетних осуществляется с согласия их законных представителей в случаях, когда такое согласие требуется в соответствии с законодательством Российской Федерации.
6.2.  В зависимости от категории субъекта и цели обработки Общество обрабатывает персональные данные в объёме, необходимом и достаточном для достижения соответствующей цели. Перечень обрабатываемых персональных данных может включать:
·       фамилию, имя, отчество;
·       дату и место рождения;
·       паспортные данные, данные иного документа, удостоверяющего личность;
·       адрес регистрации и адрес фактического проживания;
·       гражданство;
·       контактные данные, включая номер телефона, адрес электронной почты;
·       сведения о месте работы, должности, доходах (при их наличии и в объеме, необходимом для целей обработки);
·       сведения об обязательстве, договоре кредита (займа), размере и структуре задолженности, графике платежей, истории исполнения обязательства;
·       идентификаторы, необходимые для судебной и претензионной работы, а также для надлежащей идентификации лица в случаях, предусмотренных законодательством Российской Федерации, включая ИНН и СНИЛС;
·       сведения о платежах;
·       сведения, содержащиеся в обращениях, заявлениях, жалобах и приложенных к ним документах;
·       сведения, содержащиеся в судебных актах, исполнительных документах, материалах исполнительного производства, сведениях бюро кредитных историй, сведениях из государственных информационных систем и реестров, полученных на законных основаниях;
·       платежные реквизиты;
·       иные персональные данные, необходимые для достижения целей обработки, предусмотренных настоящей Политикой, при условии их соответствия законодательству Российской Федерации.
6.3.  При использовании сайта для онлайн-оплаты Общество обрабатывает, в частности, следующие персональные данные:
·       фамилию, имя, отчество;
·       номер договора кредита/займа;
·       номер телефона;
·       адрес электронной почты;
·       сумму платежа и сведения, необходимые для идентификации и учёта платежа.

7.       Источники получения персональных данных
7.1.  Персональные данные могут быть получены Обществом:
·       непосредственно от субъекта персональных данных;
·       от представителя субъекта персональных данных;
·       от цедентов по договорам уступки права требования;
·       от кредитных организаций, осуществляющих переводы денежных средств по поручению плательщиков через сайт Общества, — в объёме сведений, необходимых для учёта и идентификации поступивших платежей;
·       от контрагентов Общества, включая кредиторов, поручивших Обществу осуществить в их интересах действия по возврату задолженности;
·       из бюро кредитных историй;
·       из судебных актов, исполнительных документов, материалов исполнительного производства;
·       от судов, Федеральной службы судебных приставов, нотариусов, арбитражных управляющих, государственных органов и органов местного самоуправления;
·       из государственных информационных систем, реестров и иных источников, доступ к которым осуществляется на законных основаниях;
·       из иных источников, предусмотренных законодательством Российской Федерации.
7.2.  При получении персональных данных не от субъекта персональных данных Общество предоставляет субъекту информацию, предусмотренную законодательством Российской Федерации, за исключением случаев, когда:
·       субъект персональных данных уже уведомлён об осуществлении обработки его персональных данных;
·       персональные данные получены на основании федерального закона или в связи с исполнением договора, стороной, выгодоприобретателем или поручителем, по которому является субъект персональных данных;
·       предоставление субъекту соответствующих сведений нарушает права и законные интересы третьих лиц;
·       в иных случаях, предусмотренных законодательством Российской Федерации.

8.       Условия и порядок обработки персональных данных
8.1.  Общество осуществляет обработку персональных данных как с использованием средств автоматизации, так и без использования таких средств.
8.2.  Общество осуществляет следующие действия с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение, обезличивание.
8.3.  Обработка персональных данных осуществляется Обществом при наличии хотя бы одного из правовых оснований, предусмотренных законодательством Российской Федерации.
8.4.  Общество вправе на основании заключаемого договора привлекать к обработке персональных данных других лиц .
8.5.  Лицо, осуществляющее обработку персональных данных по договору с Обществом (далее – Обработчик), обязано соблюдать принципы и правила обработки персональных данных, предусмотренные законодательством Российской Федерации. В договоре поручения определяются:
·       перечень персональных данных;
·       перечень действий (операций) с персональными данными;
·       цели обработки персональных данных;
·       обязанность соблюдать конфиденциальность персональных данных;
·       требования к обеспечению безопасности персональных данных;
·       обязанность по запросу Общества предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований законодательства Российской Федерации о персональных данных;
·       требования к уведомлению Общества об инцидентах и нарушениях безопасности персональных данных;
·       требования к прекращению обработки и возврату либо уничтожению персональных данных после достижения целей обработки.
В случае нарушения Обработчиком требований законодательства Российской Федерации о персональных данных Общество вправе расторгнуть договор и потребовать уничтожения переданных персональных данных в порядке, предусмотренном договором и законодательством Российской Федерации.
8.6.  Общество вправе предоставлять персональные данные третьим лицам в случаях, предусмотренных законодательством Российской Федерации, а также в случаях, когда это необходимо для достижения целей обработки персональных данных, в том числе:
·       цессионариям и иным лицам в рамках сделок уступки права требования;
·       судам, Федеральной службе судебных приставов, нотариусам, арбитражным управляющим, правоохранительным и иным уполномоченным органам;
·       бюро кредитных историй – в случаях и порядке, предусмотренных законодательством Российской Федерации;
·       кредитным организациям, организациям, обеспечивающим проведение и учёт платежей;
·       организациям, оказывающим услуги по почтовому отправлению, телефонной связи, электронному документообороту, хранению документов, ИТ-сопровождению, а также услуги по обеспечению телефонного взаимодействия и иные технологические услуги, связанные с обработкой персональных данных по поручению Общества;
·       в Социальный фонд России (СФР), Федеральную налоговую службу (ФНС) – в случаях и порядке, предусмотренных законодательством Российской Федерации;
·       кредитным организациям, предоставляющим зарплатный проект (с письменного согласия работника);
·       страховым организациям, осуществляющим деятельность по добровольному медицинскому страхованию (с письменного согласия работников);
·       арендодателю, эксплуатирующей или охранной организации, обеспечивающей пропускной режим в занимаемых Обществом помещениях.
Актуальный перечень лиц, которым Общество поручает обработку персональных данных или которым предоставляет персональные данные на постоянной основе, ведётся Обществом во внутренней документации и предоставляется субъектам персональных данных по их запросу в части, касающейся данных конкретного субъекта.
8.7.  Общество не осуществляет распространение персональных данных неопределённому кругу лиц, если иное прямо не предусмотрено законодательством Российской Федерации либо отдельным согласием субъекта персональных данных в случаях, когда такое согласие требуется.
8.8.  В случаях, когда обработка персональных данных осуществляется на основании согласия, такое согласие оформляется в виде отдельного документа, не являющегося частью иных договоров или соглашений, и должно содержать сведения, предусмотренные частью 4 статьи 9 Федерального закона № 152-ФЗ.
8.9.  Согласие субъекта на обработку его персональных данных может предоставляться Обществу в электронной форме путем заполнения соответствующих полей на сайте, проставления субъектом соответствующей отметки и иных формах позволяющих подтвердить факт его получения.
8.10.   Общество не осуществляет трансграничную передачу персональных данных, если иное прямо не будет предусмотрено законодательством Российской Федерации.
8.11.   Базы данных, содержащие персональные данные граждан Российской Федерации, находятся на территории Российской Федерации.

9.       Обработка персональных данных на сайте
9.1.  Общество осуществляет обработку персональных данных пользователей официального сайта Общества через форму онлайн-оплаты, размещённую на сайте.
9.2.  При посещении сайта и использовании его функциональных возможностей могут автоматически собираться технические данные: IP-адрес, данные браузера, файлы cookie, сведения о страницах просмотра. Указанные данные обрабатываются в целях обеспечения корректной работы сайта и не используются для идентификации пользователей, если иное не предусмотрено законодательством Российской Федерации.
9.3.  Персональные данные, вводимые пользователем в форму онлайн-оплаты, обрабатываются в целях идентификации плательщика, учёта принятого платежа, подтверждения исполнения обязательства, а также в иных целях, непосредственно связанных с исполнением денежного обязательства.
9.4.  Обработка персональных данных через форму онлайн-оплаты осуществляется на основании необходимости исполнения обязательства, стороной которого является субъект персональных данных, а в соответствующих случаях — на основании согласия субъекта персональных данных.
9.5.  Общество принимает технические и организационные меры для обеспечения безопасности персональных данных, передаваемых через сайт, в том числе с использованием протоколов шифрования при передаче данных (HTTPS/TLS).

10.    Сроки хранения персональных данных
10.1.   Персональные данные хранятся в течение срока, необходимого для достижения целей их обработки, если иной срок не установлен федеральным законом, договором или иным законным основанием.
10.2.   По общему правилу персональные данные, обрабатываемые в рамках основной деятельности Общества по возврату просроченной задолженности, хранятся не менее пяти лет с момента полного прекращения обязательства (погашения задолженности, признания её безнадёжной к взысканию).
10.3.   В случае если на момент истечения указанного срока в отношении обязательства ведётся судебный процесс, исполнительное производство либо имеется неурегулированный спор, срок хранения соответствующих персональных данных продлевается до момента вступления в законную силу окончательного судебного акта или иного итогового документа, завершающего процедуру, и истечения сроков его обжалования.
10.4.   Персональные данные работников Общества хранятся в сроки, установленные трудовым законодательством Российской Федерации и законодательством об архивном деле.
Персональные данные кандидатов на замещение вакантных должностей, с которыми не был заключён трудовой договор, хранятся не более 30 дней с даты достижения цели обработки, после чего уничтожаются или обезличиваются. Если кандидат дал согласие на хранение его персональных данных в течение иного срока — в соответствии с таким согласием, но не дольше, чем это допускается законодательством Российской Федерации.
10.5.   Персональные данные, обрабатываемые на основании согласия субъекта, хранятся в течение срока действия такого согласия, если иной срок не предусмотрен законодательством Российской Федерации. Отзыв согласия влечёт прекращение обработки персональных данных и их уничтожение или обезличивание, за исключением случаев, когда обработка может быть продолжена по иным законным основаниям.
10.6.   По истечении срока хранения персональные данные подлежат уничтожению или обезличиванию в порядке, установленном внутренними документами Общества и требованиями законодательства Российской Федерации.

11.    Меры по обеспечению безопасности персональных данных
11.1.   Общество принимает необходимые и достаточные правовые, организационные и технические меры по обеспечению безопасности персональных данных в целях их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий в отношении персональных данных.
11.2.   Уровень защищённости персональных данных, обрабатываемых в информационных системах персональных данных, определяется Обществом в соответствии с Постановлением Правительства Российской Федерации от 01.11.2012 № 1119. Технические меры защиты реализуются с учётом требований Приказа ФСТЭК России от 18.02.2013 № 21.
11.3.   К организационным и техническим мерам по обеспечению безопасности персональных данных относятся в том числе:
·       назначение лица, ответственного за организацию обработки персональных данных в Обществе;
·       издание локальных нормативных и организационно-распорядительных актов в области обработки и защиты персональных данных;
·       определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных и оценка их актуальности;
·       применение средств защиты информации, в том числе прошедших оценку соответствия в установленном порядке;
·       разграничение доступа к персональным данным: доступ к персональным данным предоставляется только работникам Общества, которым он необходим для выполнения служебных обязанностей;
·       организация учёта и контроля носителей персональных данных;
·       обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по реагированию;
·       восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
·       оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения законодательства Российской Федерации о персональных данных;
·       ознакомление работников Общества, осуществляющих обработку персональных данных, с требованиями законодательства Российской Федерации о персональных данных и внутренними документами Общества, регулирующими вопросы обработки и защиты персональных данных, в том числе с настоящей Политикой.
11.4.   В случае выявления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных (инцидент), Общество уведомляет об этом Роскомнадзор:
·       в течение 24 часов с момента обнаружения инцидента — первичное уведомление с указанием факта инцидента и его предварительных обстоятельств;
·       в течение 72 часов с момента обнаружения инцидента — уточнённое уведомление по результатам внутреннего расследования.
Уведомление содержит сведения, предусмотренные Приказом Роскомнадзора от 14.11.2022 № 187.
11.5.   Работники Общества, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с законодательством Российской Федерации.

12.    Права субъектов персональных данных
12.1.   Субъект персональных данных имеет право:
·       на получение информации об обработке его персональных данных, в том числе о составе обрабатываемых персональных данных, источниках их получения, целях и способах обработки, сроках хранения, лицах, которым персональные данные переданы или могут быть переданы;
·       на доступ к своим персональным данным и получение их копии;
·       на уточнение персональных данных: требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
·       на отзыв согласия на обработку персональных данных — в случаях, когда обработка осуществляется на основании согласия, в порядке, предусмотренном разделом 14 настоящей Политики;
·       на прекращение обработки своих персональных данных в случаях, предусмотренных законодательством Российской Федерации, в том числе при принятии решений, порождающих правовые последствия для субъекта, на основе исключительно автоматизированной обработки персональных данных;
·       на обжалование неправомерных действий или бездействия Общества при обработке персональных данных в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) — в порядке, установленном законодательством Российской Федерации;
·       на судебную защиту своих прав в случае бездействия Общества или Роскомнадзора либо принятия ими решения, нарушающего права субъекта персональных данных, — в соответствии со статьёй 17 Федерального закона № 152-ФЗ.
12.2.   Субъект персональных данных вправе реализовать свои права путём направления соответствующего обращения в Общество в порядке, предусмотренном разделом 14 настоящей Политики.
12.3.   Реализация субъектом персональных данных своих прав не освобождает его от исполнения денежных обязательств перед Обществом и не является основанием для прекращения обработки персональных данных в случаях, когда такая обработка осуществляется по иным законным основаниям, не требующим согласия субъекта.

13.    Обязанности Общества
13.1.   Общество в соответствии с законодательством Российской Федерации о персональных данных обязано:
·       обрабатывать персональные данные только при наличии законных оснований и в целях, заявленных при их сборе;
·       публиковать и обеспечивать доступность настоящей Политики на сайте Общества;
·       предоставлять субъекту персональных данных информацию об обработке его персональных данных по его запросу;
·       принимать необходимые меры по обеспечению безопасности персональных данных;
·       прекращать обработку персональных данных при наступлении оснований, предусмотренных законодательством Российской Федерации;
·       уведомлять Роскомнадзор об инцидентах в сроки и порядке, установленных законодательством Российской Федерации;
·       исполнять иные обязанности, предусмотренные законодательством Российской Федерации о персональных данных.

14.    Порядок рассмотрения обращений субъектов персональных данных
14.1.   Субъект персональных данных вправе направить в Общество обращение (запрос), связанное с обработкой его персональных данных:
·       в письменной форме по адресу: 117218, город Москва, улица Кржижановского, дом 15, корпус 5, офис № 402;
·       в форме электронного документа по адресу электронной почты: info@neiva.group;
·       иными способами, предусмотренными законодательством Российской Федерации.
14.2.   Обращение (запрос) должно содержать:
·       фамилию, имя, отчество субъекта персональных данных;
·       контактную информацию (номер телефона, адрес электронной почты или почтовый адрес для направления ответа);
·       суть обращения (запроса);
·       сведения, позволяющие идентифицировать субъекта персональных данных (в частности, номер договора, дату рождения или иные идентифицирующие сведения).
14.3.   Общество рассматривает обращения и направляет ответы в следующие сроки:
·       запрос о подтверждении факта обработки и предоставлении информации об обработке – в течение 10 (десяти) рабочих дней с даты получения запроса. Указанный срок может быть продлен не более чем на 5 (пять) рабочих дней с обязательным направлением субъекту персональных данных мотивированного уведомления о причинах продления;
·       запрос о предоставлении копий обрабатываемых персональных данных – в течение 10 (десяти) рабочих дней с даты получения запроса. Если объем запрашиваемых данных является значительным, Общество вправе предоставить их поэтапно, уведомив об этом субъекта;
·       требование об уточнении, блокировании или уничтожении персональных данных – в течение 7 (семи) рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
·       отзыв согласия на обработку персональных данных – в течение 30 (тридцати) календарных дней с даты получения отзыва, если иное не предусмотрено законодательством Российской Федерации или у Общества отсутствуют иные законные основания для продолжения обработки.
14.4.   В случае если обращение не позволяет идентифицировать субъекта персональных данных или установить факт обработки его данных Обществом, Общество вправе запросить дополнительные сведения, а при их непредоставлении – отказать в рассмотрении обращения.
14.5.   Ответ на обращение направляется способом, указанным субъектом в обращении (почтовым отправлением, электронным письмом), при отсутствии такого указания – тем же способом, которым было получено обращение.
14.6.   Субъект персональных данных вправе обжаловать действия или бездействие Общества, связанные с рассмотрением его обращения, в уполномоченный орган по защите прав субъектов персональных данных — Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в судебном порядке.

15.    Ответственный за организацию обработки персональных данных
15.1.   Общество назначает лицо, ответственное за организацию обработки персональных данных (далее – Ответственное лицо).
15.2.   Ответственное лицо осуществляет контроль за соблюдением Обществом требований законодательства Российской Федерации о персональных данных, внутренних документов Общества в области обработки и защиты персональных данных, а также организует взаимодействие с субъектами персональных данных и Роскомнадзором.
15.3.   Общество обеспечивает возможность направления обращений и запросов субъектов персональных данных по вопросам обработки персональных данных по контактным данным, указанным на сайте Общества и (или) в настоящей Политике.

16.    Заключительные положения
16.1.   Настоящая Политика вступает в силу с даты её утверждения приказом руководителя Общества и действует до утверждения новой редакции.
16.2.   Общество вправе в одностороннем порядке вносить изменения в настоящую Политику в случаях изменения законодательства Российской Федерации о персональных данных, изменения процессов обработки персональных данных в Обществе или по иным основаниям. Новая редакция Политики вступает в силу с даты её утверждения и публикации на сайте Общества.
16.3.   По всем вопросам, связанным с обработкой персональных данных, субъекты персональных данных вправе обратиться к Ответственному лицу в порядке, предусмотренном разделом 14 настоящей Политики.
16.4.   В части, не урегулированной настоящей Политикой, Общество руководствуется требованиями законодательства Российской Федерации.