Politique de traitement et de protection des données personnelles

Le présent Règlement est un acte normatif local de Platform Moleculs.ai (ci-après — l'Entreprise), adopté en tenant compte des exigences, notamment du chap. 14 du Code du travail de la Fédération de Russie, de la Loi fédérale du 27.07.2006 N 152-FZ «Sur les données personnelles» (ci-après — la Loi sur les données personnelles).

Le Règlement établit :

• l'objectif, la procédure et les conditions de traitement des données personnelles ;
• les catégories de personnes concernées dont les données personnelles sont traitées, les catégories (listes) de données personnelles traitées, les méthodes, les délais de traitement et de conservation, la procédure de destruction de ces données lorsque les objectifs de traitement sont atteints ou en cas d'autres motifs légaux ;
• les dispositions relatives à la protection des données personnelles, les procédures visant à identifier et prévenir les violations de la législation de la Fédération de Russie en matière de données personnelles, ainsi qu'à remédier aux conséquences de telles violations.

Le Règlement utilise des termes et des définitions conformément à leurs significations définies dans la Loi sur les données personnelles.

Le Règlement entre en vigueur à compter de son approbation par l'Entreprise et reste applicable jusqu'à son abrogation ou jusqu'à l'introduction d'un nouveau Règlement.

Les modifications du Règlement sont effectuées par décision de l'Entreprise. Les modifications entrent en vigueur à compter de la signature du document correspondant.

2. Catégories de personnes concernées par les données personnelles

2.1. Les personnes dont les données personnelles sont traitées par l'Entreprise conformément au Règlement comprennent :

• les candidats à l'embauche ;
• les employés de l'Entreprise ;
• les anciens employés de l'Entreprise ;
• les membres de la famille des employés — dans les cas où, conformément à la législation, les informations les concernant sont fournies par l'employé ;
• d'autres personnes dont l'Entreprise est tenue de traiter les données personnelles conformément à la législation du travail et aux autres actes contenant des normes de droit du travail ;
• les clients, contractants et partenaires de l'Entreprise.

3. Objectifs du traitement des données personnelles, catégories de données traitées

3.1. Conformément au Règlement, les données personnelles sont traitées aux fins de l'application et du respect de la législation du travail dans le cadre des relations de travail et des relations qui y sont directement liées, ainsi que dans le cadre des relations civiles, de l'interaction de l'Entreprise avec des partenaires potentiels, des clients et d'autres personnes, dans le but de protéger les données personnelles des catégories de personnes, notamment :

• pour faciliter l'emploi ;
• pour la gestion des ressources humaines et la comptabilité ;
• pour aider les employés dans leur formation et leur avancement professionnel ;
• pour l'octroi de récompenses et de distinctions ;
• pour la fourniture par l'Entreprise des conditions de travail, des garanties et des compensations établies par la législation ;
• pour le remplissage et la transmission aux autorités compétentes des formulaires de déclaration requis ;
• pour assurer la sécurité personnelle des employés, des autres personnes et la préservation des biens ;
• pour le contrôle de la quantité et de la qualité du travail effectué ;
• pour assurer la protection des droits et libertés de la personne lors du traitement de ses données personnelles, notamment le droit à la vie privée, au secret personnel et familial ;
• pour la promotion des biens, travaux et services de l'Entreprise sur le marché par des contacts directs avec les consommateurs potentiels via les moyens de communication ;
• pour l'interaction de l'Entreprise sur des questions de coopération mutuellement bénéfique, la conclusion de transactions avec des partenaires potentiels, des clients et d'autres personnes.

3.2. Conformément à l'objectif indiqué au point 3.1 du Règlement, les données personnelles suivantes sont traitées :

• nom, prénom, patronyme (le cas échéant), ainsi que les anciens nom, prénom, patronyme (le cas échéant), la date et le lieu de leur modification ;
• sexe ;
• date (jour, mois, année) et lieu de naissance ;
• image photographique ;
• informations sur la nationalité ;
• type, série, numéro du document d'identité, nom de l'autorité émettrice, date de délivrance ;
• numéro d'assurance du compte personnel individuel (SNILS) ;
• numéro d'identification fiscale (NIF) ;
• adresse et date d'enregistrement au lieu de résidence (de séjour), adresse de résidence effective ;
• numéro de téléphone de contact, adresse e-mail et (ou) informations sur d'autres moyens de communication ;
• coordonnées des actes d'état civil et informations qu'ils contiennent ;
• informations sur la situation familiale, la composition de la famille (degré de parenté, noms, prénoms, patronymes (le cas échéant), dates et lieux de naissance) ;
• informations sur l'éducation et (ou) la qualification ou la possession de connaissances spéciales ;
• informations sur la maîtrise des langues étrangères ;
• informations relatives aux obligations militaires, à l'enregistrement militaire et coordonnées des documents militaires ;
• informations sur l'activité professionnelle, ainsi que les informations sur les emplois précédents, les périodes et l'ancienneté ;
• informations contenues dans les documents autorisant le séjour et le travail sur le territoire de la Fédération de Russie (pour les ressortissants étrangers) ;
• informations sur les revenus, les obligations en vertu de documents exécutoires ;
• numéros de compte bancaire, de carte bancaire ;
• informations sur l'état de santé (pour certaines catégories d'employés) ;
• informations sur l'existence (l'absence) d'un casier judiciaire et (ou) de poursuites pénales ou de l'arrêt des poursuites pénales pour des motifs de réhabilitation (pour certaines catégories d'employés) ;
• d'autres données personnelles contenues dans des documents dont la présentation est prévue par la législation, si le traitement de ces données est conforme à l'objectif de traitement prévu au point 3.1 du Règlement.

3.3. L'Entreprise ne traite pas de catégories particulières de données personnelles concernant l'origine raciale ou nationale, les opinions politiques, les convictions religieuses ou philosophiques, la vie intime, sauf dans les cas prévus par la législation de la Fédération de Russie.

4. Procédure et conditions de traitement des données personnelles

4.1. Avant de commencer le traitement des données personnelles, l'Entreprise est tenue de notifier Roskomnadzor de son intention de procéder au traitement des données personnelles.

4.2. La base juridique du traitement des données personnelles est le Code du travail de la Fédération de Russie, d'autres actes normatifs contenant des normes de droit du travail, la Loi fédérale du 27.07.2006 N 152-FZ «Sur les données personnelles», la Loi fédérale du 06.12.2011 N 402-FZ «Sur la comptabilité», le Décret du Gouvernement de la Fédération de Russie du 27.11.2006 N 719 «Sur l'approbation du Règlement sur la comptabilité militaire».

4.3. Le traitement des données personnelles est effectué par l'Entreprise en conformité avec les principes et conditions prévus par la législation en matière de données personnelles et le présent Règlement.

4.4. Le traitement des données personnelles par l'Entreprise est réalisé de la manière suivante :

• traitement non automatisé des données personnelles ;
• traitement automatisé des données personnelles avec ou sans transmission des informations obtenues via des réseaux d'information et de télécommunication ;
• traitement mixte des données personnelles.

4.5. Le traitement des données personnelles par l'Entreprise est effectué avec le consentement de la personne concernée pour le traitement de ses données personnelles, sauf disposition contraire de la législation en matière de données personnelles.

4.5.1. Le traitement des données personnelles autorisées par la personne concernée pour leur diffusion est effectué en respectant les interdictions et conditions prévues à l'art. 10.1 de la Loi sur les données personnelles.

4.5.2. Le traitement des données personnelles biométriques n'est autorisé qu'avec le consentement écrit de la personne concernée. Font exception les situations prévues à l'art. 11, partie 2, de la Loi sur les données personnelles.

4.6. L'Entreprise ne procède pas au transfert transfrontalier de données personnelles.

4.7. Le traitement des données personnelles est effectué par collecte, enregistrement, systématisation, accumulation, stockage, clarification (mise à jour, modification), extraction, utilisation, anonymisation, blocage, suppression, destruction des données personnelles, y compris à l'aide de moyens informatiques.

4.7.1. La collecte, l'enregistrement, la systématisation, l'accumulation et la clarification des données personnelles de l'Entreprise sont réalisés par :

• l'obtention des originaux des documents ou de leurs copies ;
• la copie des originaux des documents ;
• la saisie d'informations dans des formulaires d'enregistrement sur supports papier et électroniques ;
• la création de documents contenant des données personnelles sur supports papier et électroniques ;
• la saisie de données personnelles dans les systèmes d'information de données personnelles.

4.7.2. L'Entreprise utilise les systèmes d'information suivants :

• messagerie électronique d'entreprise ;
• système de gestion électronique des documents ;
• système de support du poste de travail utilisateur ;
• système d'information réglementaire et de référence ;
• système de gestion du personnel ;
• système de contrôle d'accès à distance ;
• portail d'information.

4.8. Le transfert (diffusion, mise à disposition, accès) des données personnelles des personnes concernées est effectué dans les cas et selon la procédure prévus par la législation en matière de données personnelles et le Règlement.

5. Durées de traitement et de conservation des données personnelles

5.1. Le traitement des données personnelles par l'Entreprise cesse dans les cas suivants :

• lors de la constatation d'un traitement illicite des données personnelles (délai de cessation du traitement — dans les trois jours ouvrables suivant la date de constatation) ;
• lorsque les objectifs de leur traitement sont atteints (avec quelques exceptions) ;
• à l'expiration ou au retrait par la personne concernée de son consentement au traitement de ses données personnelles (avec quelques exceptions) ;
• lors d'une demande de la personne concernée à l'Entreprise exigeant la cessation du traitement des données personnelles (délai de cessation du traitement — pas plus de 10 jours ouvrables à compter de la date de réception de la demande).

5.2. Les données personnelles sont conservées sous une forme permettant d'identifier la personne concernée, pas plus longtemps que ne l'exigent les objectifs de leur traitement. Font exception les cas où la durée de conservation des données personnelles est établie par une loi fédérale, un contrat dont la personne concernée est partie.

5.3. Les données personnelles sur supports papier sont conservées par l'Entreprise pendant les durées de conservation des documents prévues par la législation sur les archives de la Fédération de Russie.

5.4. La durée de conservation des données personnelles traitées dans les systèmes d'information de données personnelles correspond à la durée de conservation des données personnelles sur supports papier.

6. Procédure de blocage et de destruction des données personnelles

6.1. L'Entreprise bloque les données personnelles selon la procédure et les conditions prévues par la législation en matière de données personnelles.

6.2. Lorsque les objectifs du traitement des données personnelles sont atteints ou en cas de perte de la nécessité d'atteindre ces objectifs, les données personnelles sont détruites ou anonymisées.

6.3. Les données personnelles obtenues illégalement ou celles qui ne sont pas nécessaires à l'objectif de traitement sont détruites dans les sept jours ouvrables suivant la date de présentation des informations de confirmation par la personne concernée.

6.4. Les données personnelles dont le traitement a cessé en raison de son illégalité et dont la légalité du traitement ne peut être assurée sont détruites dans les 10 jours ouvrables suivant la date de constatation du traitement illicite.

6.5. Les données personnelles sont détruites dans les 30 jours suivant la date d'atteinte de l'objectif de traitement, sauf disposition contraire du contrat dont la personne concernée est partie, d'un autre accord entre elle et l'Entreprise, ou si l'Entreprise n'est pas en droit de traiter les données personnelles sans le consentement de la personne concernée sur les bases prévues par les lois fédérales.

6.6. Les données personnelles sont détruites (si leur conservation n'est pas requise aux fins du traitement des données personnelles) dans les 30 jours suivant la date de réception du retrait du consentement de la personne concernée à leur traitement.

6.7. La sélection des supports matériels (documents, disques durs, clés USB, etc.) et (ou) des informations dans les systèmes d'information contenant des données personnelles à détruire est effectuée par la personne responsable de l'Entreprise traitant les données personnelles.

6.7.2. Les données personnelles sur supports papier sont détruites à l'aide d'un destructeur de documents. Les données personnelles sur supports électroniques sont détruites par destruction mécanique de l'intégrité du support, empêchant la lecture ou la restauration des données personnelles, ainsi que par suppression des données des supports électroniques par des méthodes et moyens de suppression garantie des informations résiduelles.

6.7.3. La personne responsable confirme la destruction des données personnelles conformément aux Exigences de confirmation de destruction des données personnelles, approuvées par l'Ordonnance de Roskomnadzor du 28.10.2022 N 179.

7. Protection des données personnelles

7.1. Sans le consentement écrit de la personne concernée, l'Entreprise ne divulgue pas et ne diffuse pas de données personnelles à des tiers, sauf disposition contraire d'une loi fédérale.

7.2. Afin de protéger les données personnelles, l'Entreprise désigne (approuve) :

• un employé responsable de l'organisation du traitement des données personnelles ;
• la liste des postes impliquant le traitement de données personnelles ;
• la liste des données personnelles auxquelles ont accès les employés occupant des postes impliquant le traitement de données personnelles ;
• la procédure d'accès aux locaux où s'effectue le traitement des données personnelles ;
• la procédure de transfert des données personnelles de l'Entreprise ;
• le formulaire de consentement au traitement des données personnelles ;
• la procédure de protection des données personnelles lors de leur traitement dans les systèmes d'information de données personnelles ;
• la procédure de conduite des enquêtes et audits internes ;
• d'autres actes normatifs locaux adoptés conformément aux exigences de la législation en matière de données personnelles.

7.3. Les employés occupant des postes impliquant le traitement de données personnelles y sont autorisés après signature d'un engagement de confidentialité.

7.4. Les supports matériels de données personnelles sont conservés dans des armoires verrouillables (le cas échéant).

7.5. L'accès aux informations personnelles contenues dans les systèmes d'information de l'Entreprise est effectué via des mots de passe individuels.

7.6. L'Entreprise utilise un logiciel antivirus certifié avec des bases de données régulièrement mises à jour.

7.7. Les employés de l'Entreprise traitant des données personnelles suivent périodiquement une formation sur les exigences de la législation en matière de données personnelles.

7.9. L'Entreprise mène des enquêtes internes dans les situations suivantes :

• lors d'un transfert (mise à disposition, diffusion, accès) illicite ou accidentel de données personnelles ayant entraîné une violation des droits des personnes concernées ;
• dans d'autres cas prévus par la législation en matière de données personnelles.

7.10. L'employé responsable de l'organisation du traitement des données personnelles effectue un contrôle interne du respect des exigences de la législation en matière de données personnelles. Le contrôle interne se déroule sous la forme d'audits internes.

7.11. Une enquête interne est menée si un transfert illicite ou accidentel de données personnelles ayant entraîné une violation des droits des personnes concernées (ci-après — incident) est constaté.

7.11.1. En cas d'incident, l'Entreprise notifie Roskomnadzor dans les 24 heures : de l'incident, de ses causes présumées et du préjudice causé aux droits de la personne concernée, des mesures prises pour remédier aux conséquences de l'incident.

7.11.2. Dans les 72 heures, l'Entreprise est tenue de notifier Roskomnadzor des résultats de l'enquête interne et de fournir des informations sur les personnes dont les actions ont causé l'incident (le cas échéant).

7.12. En cas de fourniture d'informations confirmées indiquant que les données personnelles sont incomplètes, inexactes ou obsolètes, des modifications y sont apportées dans les sept jours ouvrables.

8. Responsabilité en cas de violation des règles régissant le traitement des données personnelles

8.1. Les personnes coupables de violation des dispositions de la législation de la Fédération de Russie en matière de données personnelles lors du traitement des données personnelles sont soumises à une responsabilité disciplinaire et pécuniaire selon la procédure établie par le Code du travail de la Fédération de Russie et d'autres lois fédérales. En outre, elles sont soumises à une responsabilité administrative, civile ou pénale selon la procédure établie par les lois fédérales.

8.2. Le préjudice moral causé à la personne concernée en raison de la violation de ses droits, de la violation des règles de traitement des données personnelles, ainsi que du non-respect des exigences de leur protection, est indemnisé conformément à la législation de la Fédération de Russie. L'indemnisation du préjudice moral est effectuée indépendamment de l'indemnisation du préjudice matériel et des pertes subies par la personne concernée.