سیاست حریم خصوصی

این سیاست یک سند مقرراتی داخلی پلتفرم MoleculAI (از این پس — شرکت) است که مطابق با قوانین حفاظت از داده‌های شخصی و مقررات حاکم بر پردازش داده‌های شخصی تصویب شده است.

این سیاست موارد زیر را تعیین می‌کند:

• هدف، رویه‌ها و شرایط پردازش داده‌های شخصی؛
• دسته‌بندی افراد صاحب داده که داده‌های شخصی آن‌ها پردازش می‌شود، دسته‌بندی‌ها (فهرست‌ها) داده‌های شخصی پردازش‌شده، روش‌ها، بازه‌های زمانی پردازش و ذخیره‌سازی، و رویه‌های نابودسازی این داده‌ها پس از تحقق اهداف پردازش یا ایجاد سایر مبانی قانونی؛
• مقررات مربوط به حفاظت از داده‌های شخصی، رویه‌های شناسایی و پیشگیری از نقض قوانین حفاظت از داده، و جبران پیامدهای چنین نقض‌هایی.

این سیاست از اصطلاحات و تعاریفی استفاده می‌کند که مطابق با معانی تعیین‌شده توسط قوانین حفاظت از داده‌های شخصی هستند.

این سیاست با تصویب شرکت لازم‌الاجرا می‌شود و تا زمان لغو یا جایگزینی با سیاست جدید معتبر است.

اصلاحات این سیاست بر اساس تصمیم شرکت انجام می‌شود. تغییرات با امضای سند مربوطه لازم‌الاجرا می‌گردند.

۲. دسته‌بندی افراد صاحب داده

۲.۱. افراد صاحب داده‌ای که داده‌های شخصی آن‌ها توسط شرکت طبق این سیاست پردازش می‌شود عبارتند از:

• متقاضیان شغل؛
• کارمندان فعلی؛
• کارمندان سابق؛
• اعضای خانواده کارمندان — در مواردی که چنین اطلاعاتی توسط کارمند طبق الزامات قانونی ارائه می‌شود؛
• سایر افرادی که شرکت موظف به پردازش داده‌های شخصی آن‌ها طبق قوانین کار و سایر مقررات جاری است؛
• مشتریان، پیمانکاران و شرکای شرکت.

۳. اهداف پردازش داده‌های شخصی و دسته‌بندی داده‌های پردازش‌شده

۳.۱. طبق این سیاست، داده‌های شخصی برای اعمال و رعایت قوانین کار در حوزه روابط استخدامی و روابط مرتبط مستقیم، همچنین در روابط حقوق مدنی، و برای تعاملات شرکت با شرکا، مشتریان و سایر افراد احتمالی پردازش می‌شود تا از داده‌های شخصی این دسته‌ها محافظت شود، از جمله:

• کمک به استخدام؛
• نگهداری سوابق منابع انسانی و حسابداری؛
• حمایت از کارمندان در پیگیری آموزش و ارتقاء شغلی؛
• پردازش جوایز و تقدیرنامه‌ها؛
• فراهم کردن شرایط کاری، مزایا و جبران خسارات مقرر در قانون؛
• تکمیل و ارسال فرم‌های گزارش‌دهی لازم به سازمان‌های مجاز؛
• تضمین ایمنی شخصی کارمندان و سایرین، و همچنین حفاظت از اموال؛
• نظارت بر کمیت و کیفیت کار انجام‌شده؛
• حفاظت از حقوق و آزادی‌های افراد هنگام پردازش داده‌های شخصی آن‌ها، از جمله حق حریم خصوصی و محرمانگی شخصی و خانوادگی؛
• ترویج محصولات، کارها و خدمات شرکت در بازار از طریق تماس مستقیم با مشتریان احتمالی از طریق کانال‌های ارتباطی؛
• تعامل با شرکت در زمینه همکاری سودمند متقابل و انعقاد قراردادها با شرکا، مشتریان و سایر افراد احتمالی.

۳.۲. مطابق با هدف مشخص‌شده در بخش ۳.۱ این سیاست، داده‌های شخصی زیر پردازش می‌شوند:

• نام خانوادگی، نام، نام پدر (در صورت وجود)، همچنین نام خانوادگی، نام، نام پدر قبلی (در صورت وجود) و تاریخ و محل هرگونه تغییر در آن‌ها؛
• جنسیت؛
• تاریخ (روز، ماه، سال) و محل تولد؛
• عکس؛
• اطلاعات تابعیت؛
• نوع، سری، شماره سند هویتی، نام مرجع صادرکننده و تاریخ صدور؛
• شماره حساب بیمه فردی؛
• شماره شناسایی مالیاتی؛
• آدرس ثبت‌نامی و تاریخ ثبت‌نام در محل سکونت (محل اقامت)، و آدرس واقعی سکونت؛
• شماره تلفن تماس، آدرس ایمیل و/یا سایر اطلاعات تماس؛
• جزئیات گواهی‌های ثبت احوال مدنی و اطلاعات موجود در آن‌ها؛
• اطلاعات مربوط به وضعیت تأهل و ترکیب خانوادگی (درجه خویشاوندی، نام خانوادگی، نام، نام پدر (در صورت وجود)، تاریخ و محل تولد)؛
• اطلاعات مربوط به تحصیلات و/یا صلاحیت‌ها یا دانش تخصصی؛
• اطلاعات مربوط به تسلط بر زبان‌های خارجی؛
• اطلاعات مربوط به تعهدات خدمت نظامی، ثبت‌نام نظامی، و جزئیات اسناد ثبت‌نام نظامی؛
• اطلاعات مربوط به سابقه اشتغال، از جمله محل‌های کار قبلی، دوره‌ها و مدت خدمت؛
• اطلاعات موجود در اسناد اعطاکننده حق اقامت و کار در فدراسیون روسیه (برای شهروندان خارجی)؛
• اطلاعات مربوط به درآمد و تعهدات ناشی از احکام اجرایی؛
• شماره حساب بانکی و شماره کارت بانکی؛
• اطلاعات مربوط به وضعیت سلامت (برای دسته‌های خاصی از کارمندان)؛
• اطلاعات مربوط به وجود (یا فقدان) سابقه کیفری و/یا تعقیب کیفری، یا خاتمه تعقیب کیفری بر اساس دلایل توانبخشی (برای دسته‌های خاصی از کارمندان)؛
• سایر داده‌های شخصی موجود در اسنادی که ارائه آن‌ها طبق قانون الزامی است، در صورتی که پردازش این داده‌ها با اهداف پردازش مقرر در بخش ۳.۱ این سیاست مطابقت داشته باشد.

۳.۳. کارآفرین انفرادی دسته‌های خاصی از داده‌های شخصی مربوط به نژاد، قومیت، دیدگاه‌های سیاسی، باورهای مذهبی یا فلسفی، یا زندگی خصوصی را پردازش نمی‌کند، مگر در مواردی که توسط قانونگذاری فدراسیون روسیه پیش‌بینی شده است.

۴. رویه و شرایط پردازش داده‌های شخصی

۴.۱. قبل از شروع پردازش داده‌های شخصی، کارآفرین انفرادی موظف است Roskomnadzor را از قصد پردازش داده‌های شخصی مطلع کند.

۴.۲. مبنای قانونی پردازش داده‌های شخصی قانون کار فدراسیون روسیه، سایر اقدامات قانونی مقرراتی حاوی مقررات قانون کار، قانون فدرال شماره ۱۵۲-FZ مورخ ۲۷ ژوئیه ۲۰۰۶ «درباره داده‌های شخصی»، قانون فدرال شماره ۴۰۲-FZ مورخ ۶ دسامبر ۲۰۱۱ «درباره حسابداری»، و فرمان دولت روسیه شماره ۷۱۹ مورخ ۲۷ نوامبر ۲۰۰۶ «درباره تصویب مقررات ثبت‌نام نظامی» است.

۴.۳. کارآفرین انفرادی داده‌های شخصی را مطابق با اصول و شرایط مقرر در قانونگذاری داده‌های شخصی و این سیاست پردازش می‌کند.

۴.۴. کارآفرین انفرادی داده‌های شخصی را با استفاده از روش‌های زیر پردازش می‌کند:

• پردازش غیرخودکار داده‌های شخصی؛
• پردازش خودکار داده‌های شخصی، با یا بدون انتقال اطلاعات به‌دست‌آمده از طریق شبکه‌های اطلاعاتی و مخابراتی؛
• پردازش ترکیبی داده‌های شخصی.

۴.۵. کارآفرین انفرادی داده‌های شخصی را با رضایت صاحب داده‌های شخصی پردازش می‌کند، مگر اینکه قانونگذاری داده‌های شخصی خلاف آن را مقرر کند.

۴.۵.۱. پردازش داده‌های شخصی که صاحب آن برای انتشار مجاز دانسته است، با رعایت ممنوعیت‌ها و شرایط مقرر در ماده ۱۰.۱ قانون داده‌های شخصی انجام می‌شود.

۴.۵.۲. پردازش داده‌های شخصی بیومتریک تنها با رضایت کتبی صاحب داده‌های شخصی مجاز است. استثنائات موقعیت‌هایی هستند که در بخش ۲ ماده ۱۱ قانون داده‌های شخصی پیش‌بینی شده‌اند.

۴.۶. کارآفرین انفرادی انتقال فرامرزی داده‌های شخصی را انجام نمی‌دهد.

۴.۷. پردازش داده‌های شخصی از طریق جمع‌آوری، ثبت، سازماندهی، انباشت، ذخیره‌سازی، روشن‌سازی (به‌روزرسانی، اصلاح)، بازیابی، استفاده، ناشناس‌سازی، مسدودسازی، حذف و نابودسازی داده‌های شخصی انجام می‌شود، از جمله از طریق استفاده از تجهیزات محاسباتی.

۴.۷.۱. کارآفرین انفرادی داده‌های شخصی را از طریق روش‌های زیر جمع‌آوری، ثبت، سازماندهی، انباشت و روشن‌سازی می‌کند:

• دریافت اسناد اصلی یا نسخه‌های آن‌ها؛
• کپی کردن اسناد اصلی؛
• وارد کردن اطلاعات در فرم‌های ثبت روی رسانه‌های کاغذی و الکترونیکی؛
• ایجاد اسناد حاوی داده‌های شخصی روی رسانه‌های کاغذی و الکترونیکی؛
• وارد کردن داده‌های شخصی در سیستم‌های اطلاعاتی داده‌های شخصی.

۴.۷.۲. کارآفرین انفرادی از سیستم‌های اطلاعاتی زیر استفاده می‌کند:

• ایمیل سازمانی؛
• سیستم مدیریت اسناد الکترونیکی؛
• سیستم پشتیبانی از ایستگاه کاری کاربر؛
• سیستم اطلاعات مرجع مقرراتی؛
• سیستم مدیریت منابع انسانی؛
• سیستم کنترل دسترسی از راه دور؛
• پورتال اطلاعاتی.

۴.۸. انتقال (انتشار، ارائه، دسترسی) داده‌های شخصی صاحبان داده در موارد و به روشی که توسط قانونگذاری داده‌های شخصی و این سیاست پیش‌بینی شده است، انجام می‌شود.

۵. شرایط پردازش و ذخیره‌سازی داده‌های شخصی

۵.۱. کارآفرین انفرادی در موارد زیر پردازش داده‌های شخصی را متوقف می‌کند:

• پس از تشخیص پردازش غیرقانونی داده‌های شخصی (پردازش باید ظرف سه روز کاری از تاریخ چنین تشخیصی متوقف شود)؛
• پس از تحقق اهداف پردازش (با برخی استثنائات)؛
• پس از انقضای مدت یا پس‌گرفتن رضایت صاحب داده‌های شخصی برای پردازش داده‌های شخصی خود (با برخی استثنائات)؛
• پس از درخواست صاحب داده‌های شخصی از کارآفرین انفرادی برای توقف پردازش داده‌های شخصی (پردازش باید حداکثر ۱۰ روز کاری از تاریخ دریافت درخواست متوقف شود).

۵.۲. داده‌های شخصی در قالبی که امکان شناسایی صاحب داده را فراهم می‌کند، نباید بیشتر از آنچه برای اهداف پردازش لازم است، نگهداری شود. استثنائات مواردی هستند که دوره نگهداری داده‌های شخصی توسط قانون فدرال یا قراردادی که صاحب داده طرف آن است، تعیین شده باشد.

۵.۳. داده‌های شخصی روی رسانه‌های کاغذی توسط کارآفرین انفرادی برای دوره‌های نگهداری اسناد تعیین‌شده توسط قانونگذاری بایگانی فدراسیون روسیه نگهداری می‌شود.

۵.۴. دوره نگهداری داده‌های شخصی پردازش‌شده در سیستم‌های اطلاعاتی داده‌های شخصی با دوره نگهداری داده‌های شخصی روی رسانه‌های کاغذی مطابقت دارد.

۶. رویه مسدودسازی و نابودسازی داده‌های شخصی

۶.۱. کارآفرین انفرادی داده‌های شخصی را به روش و تحت شرایط مقرر در قانونگذاری داده‌های شخصی مسدود می‌کند.

۶.۲. پس از تحقق اهداف پردازش داده‌های شخصی یا در صورت از بین رفتن نیاز به تحقق این اهداف، داده‌های شخصی باید نابود یا ناشناس شوند.

۶.۳. داده‌های شخصی که به صورت غیرقانونی به‌دست آمده‌اند یا برای هدف پردازش ضروری نیستند، باید ظرف هفت روز کاری از تاریخ ارائه اطلاعات پشتیبانی توسط صاحب داده‌های شخصی نابود شوند.

۶.۴. داده‌های شخصی که پردازش آن‌ها به دلیل غیرقانونی بودن متوقف شده و نمی‌توان پردازش قانونی آن‌ها را تضمین کرد، باید ظرف ۱۰ روز کاری از تاریخ شناسایی واقعیت پردازش غیرقانونی نابود شوند.

۶.۵. داده‌های شخصی باید ظرف ۳۰ روز از تاریخ تحقق هدف پردازش نابود شوند، مگر اینکه در قراردادی که صاحب داده‌های شخصی طرف آن است، توافق دیگری بین آن‌ها و مالک انفرادی وجود داشته باشد، یا مالک انفرادی مجاز نباشد داده‌های شخصی را بدون رضایت صاحب داده‌های شخصی بر اساس مبانی مقرر در قوانین فدرال پردازش کند.

۶.۶. داده‌های شخصی باید (در صورتی که نگهداری آن‌ها برای اهداف پردازش لازم نباشد) ظرف ۳۰ روز از تاریخ دریافت انصراف صاحب داده‌های شخصی از پردازش آن‌ها نابود شوند.

۶.۷. انتخاب رسانه‌های فیزیکی (اسناد، هارد دیسک‌ها، فلش درایوها و غیره) و/یا اطلاعات موجود در سیستم‌های اطلاعاتی حاوی داده‌های شخصی که باید نابود شوند، توسط شخص مسئول مالک انفرادی برای پردازش داده‌های شخصی انجام می‌شود.

۶.۷.۲. داده‌های شخصی روی رسانه‌های کاغذی باید با استفاده از خردکن نابود شوند. داده‌های شخصی روی رسانه‌های الکترونیکی باید با آسیب رساندن مکانیکی به یکپارچگی رسانه به گونه‌ای که خواندن یا بازیابی داده‌های شخصی را غیرممکن کند، و همچنین با حذف داده‌ها از رسانه‌های الکترونیکی با استفاده از روش‌ها و ابزارهایی که حذف اطلاعات باقی‌مانده را تضمین می‌کنند، نابود شوند.

۶.۷.۳. شخص مسئول نابودسازی داده‌های شخصی را مطابق با الزامات تأیید نابودسازی داده‌های شخصی مصوب دستور Roskomnadzor شماره ۱۷۹ مورخ ۲۸/۱۰/۲۰۲۲ تأیید می‌کند.

۷. حفاظت از داده‌های شخصی

۷.۱. بدون رضایت کتبی صاحب داده‌های شخصی، مالک انفرادی داده‌های شخصی را به اشخاص ثالث افشا نمی‌کند و آن‌ها را توزیع نمی‌کند، مگر اینکه قانون فدرال خلاف آن را مقرر کند.

۷.۲. برای حفاظت از داده‌های شخصی، مالک انفرادی موارد زیر را تعیین (تصویب) می‌کند:

• کارمند مسئول سازماندهی پردازش داده‌های شخصی؛
• فهرستی از موقعیت‌هایی که در آن‌ها داده‌های شخصی پردازش می‌شود؛
• فهرستی از داده‌های شخصی قابل دسترس برای کارمندان دارای موقعیت‌های مرتبط با پردازش داده‌های شخصی؛
• رویه دسترسی به محل‌هایی که داده‌های شخصی در آن‌ها پردازش می‌شود؛
• رویه انتقال داده‌های شخصی به مالک انفرادی؛
• فرم رضایت برای پردازش داده‌های شخصی؛
• رویه حفاظت از داده‌های شخصی هنگام پردازش در سیستم‌های اطلاعاتی داده‌های شخصی؛
• رویه انجام تحقیقات و ممیزی‌های داخلی؛
• سایر مقررات محلی تصویب‌شده مطابق با الزامات قانونگذاری داده‌های شخصی.

۷.۳. کارمندان دارای موقعیت‌هایی که شامل پردازش داده‌های شخصی می‌شود، پس از امضای تعهد عدم افشا به داده‌های شخصی دسترسی پیدا می‌کنند.

۷.۴. رسانه‌های فیزیکی حاوی داده‌های شخصی در کابینت‌های قابل قفل (در صورت کاربرد) نگهداری می‌شوند.

۷.۵. دسترسی به اطلاعات شخصی موجود در سیستم‌های اطلاعاتی مالک انفرادی از طریق رمزهای عبور فردی اعطا می‌شود.

۷.۶. مالک انفرادی از نرم‌افزار آنتی‌ویروس دارای گواهینامه با پایگاه‌های داده به‌روزرسانی‌شده منظم استفاده می‌کند.

۷.۷. کارمندان مالک انفرادی که داده‌های شخصی را پردازش می‌کنند، به صورت دوره‌ای آموزش‌هایی درباره الزامات قانونگذاری داده‌های شخصی می‌بینند.

۷.۹. مالک انفرادی در موارد زیر تحقیقات داخلی انجام می‌دهد:

• در موارد انتقال (ارائه، توزیع، دسترسی) غیرقانونی یا تصادفی داده‌های شخصی که منجر به نقض حقوق صاحبان داده‌های شخصی شده است؛
• در سایر مواردی که توسط قانونگذاری داده‌های شخصی پیش‌بینی شده است.

۷.۱۰. کارمند مسئول سازماندهی پردازش داده‌های شخصی، کنترل داخلی رعایت الزامات قانونگذاری داده‌های شخصی را اعمال می‌کند. کنترل داخلی در قالب ممیزی‌های داخلی انجام می‌شود.

۷.۱۱. تحقیق داخلی در صورت شناسایی واقعیت انتقال غیرقانونی یا تصادفی داده‌های شخصی که منجر به نقض حقوق صاحبان داده‌های شخصی شده است (از این پس به عنوان رویداد نامیده می‌شود)، انجام می‌شود.

۷.۱۱.۱. در صورت وقوع رویداد، مالک انفرادی موظف است ظرف ۲۴ ساعت Roskomnadzor را از رویداد، علل احتمالی آن، آسیب وارده به حقوق صاحب داده‌های شخصی، و اقدامات انجام‌شده برای رفع پیامدهای رویداد مطلع کند.

۷.۱۱.۲. ظرف ۷۲ ساعت، مالک انفرادی موظف است Roskomnadzor را از نتایج تحقیق داخلی مطلع کند و اطلاعاتی درباره اشخاصی که اقدامات آن‌ها موجب رویداد شده است (در صورت وجود) ارائه دهد.

۷.۱۲. در صورت ارائه اطلاعات تأیید‌شده مبنی بر ناقص، نادرست یا منسوخ بودن داده‌های شخصی، اصلاحات باید ظرف هفت روز کاری انجام شود.

۸. مسئولیت در قبال نقض قوانین حاکم بر پردازش داده‌های شخصی

۸.۱. اشخاصی که در پردازش داده‌های شخصی مقصر نقض مقررات قانونگذاری فدراسیون روسیه درباره داده‌های شخصی هستند، مشمول مسئولیت انضباطی و مادی به روشی که توسط قانون کار فدراسیون روسیه و سایر قوانین فدرال تعیین شده است، می‌شوند. علاوه بر این، مشمول مسئولیت اداری، مدنی یا کیفری به روشی که توسط قوانین فدرال تعیین شده است، می‌شوند.

۸.۲. خسارت معنوی وارده به صاحب داده‌های شخصی در نتیجه نقض حقوق او، نقض قوانین پردازش داده‌های شخصی، یا عدم رعایت الزامات حفاظت از داده، مطابق با قانونگذاری فدراسیون روسیه جبران می‌شود. جبران خسارت معنوی به صورت مستقل از جبران خسارت مالی و زیان‌های وارده به صاحب داده‌های شخصی انجام می‌شود.