Informativa sul trattamento e la protezione dei dati personali

La presente Informativa è un atto normativo locale di Platform Moleculs.ai (di seguito - IP), adottato tenendo conto dei requisiti, in particolare, del cap. 14 del Codice del Lavoro della Federazione Russa, della Legge Federale del 27.07.2006 N 152-FZ «Sui dati personali» (di seguito - Legge sui dati personali).

L'Informativa stabilisce:

• le finalità, le procedure e le condizioni di trattamento dei dati personali;
• le categorie di soggetti i cui dati personali vengono trattati, le categorie (elenchi) dei dati personali trattati, le modalità, i termini di trattamento e conservazione, la procedura di cancellazione di tali dati al raggiungimento delle finalità di trattamento o al verificarsi di altre basi legali;
• le disposizioni relative alla protezione dei dati personali, le procedure volte a identificare e prevenire violazioni della normativa della Federazione Russa in materia di dati personali e a rimediare alle conseguenze di tali violazioni.

L'Informativa utilizza termini e definizioni in conformità con i loro significati stabiliti dalla Legge sui dati personali.

L'Informativa entra in vigore dal momento della sua approvazione da parte dell'IP e rimane in vigore fino alla sua revoca da parte dell'IP o all'introduzione di una nuova Informativa.

Le modifiche all'Informativa vengono apportate per decisione dell'IP. Le modifiche entrano in vigore dal momento della firma del documento corrispondente.

2. Categorie di soggetti dei dati personali

2.1. I soggetti i cui dati personali vengono trattati dall'IP ai sensi dell'Informativa includono:

• candidati per l'assunzione presso l'IP;
• dipendenti dell'IP;
• ex dipendenti dell'IP;
• familiari dei dipendenti dell'IP — nei casi in cui, ai sensi della legislazione, le informazioni su di essi vengano fornite dal dipendente;
• altri soggetti i cui dati personali l'IP è tenuto a trattare ai sensi della normativa del lavoro e di altri atti contenenti norme di diritto del lavoro;
• clienti, controparti, partner dell'IP.

3. Finalità del trattamento dei dati personali, categorie di dati personali trattati

3.1. Ai sensi dell'Informativa, i dati personali vengono trattati allo scopo di applicare ed eseguire la normativa del lavoro nell'ambito dei rapporti di lavoro e di altri rapporti direttamente ad essi connessi, nonché nell'ambito di rapporti di diritto civile, dell'interazione dell'IP con potenziali partner, clienti e altri soggetti, al fine di proteggere i dati personali delle categorie di persone, tra cui:

• nell'assistenza all'occupazione;
• nella gestione delle risorse umane e della contabilità;
• nell'assistenza ai dipendenti per l'istruzione e l'avanzamento di carriera;
• nella formalizzazione di premi e riconoscimenti;
• nella fornitura da parte dell'IP delle condizioni di lavoro, garanzie e compensazioni stabilite dalla legislazione;
• nella compilazione e trasmissione alle autorità competenti dei moduli di rendicontazione richiesti;
• nella garanzia della sicurezza personale dei dipendenti, di altri soggetti e della salvaguardia dei beni;
• nell'esercizio del controllo sulla quantità e qualità del lavoro svolto;
• nella garanzia della tutela dei diritti e delle libertà della persona e del cittadino nel trattamento dei suoi dati personali, inclusa la tutela del diritto alla riservatezza, alla vita privata e al segreto familiare;
• nella promozione di beni, lavori e servizi dell'IP sul mercato mediante contatti diretti con potenziali consumatori tramite mezzi di comunicazione;
• nell'interazione dell'IP su questioni di cooperazione reciprocamente vantaggiosa, conclusione di accordi con potenziali partner, clienti e altri soggetti.

3.2. In conformità con le finalità indicate al punto 3.1 dell'Informativa, vengono trattati i seguenti dati personali:

• cognome, nome, patronimico (se presente), nonché cognome, nome, patronimico precedenti (se presenti), data e luogo della loro modifica;
• sesso;
• data (giorno, mese, anno) e luogo di nascita;
• immagine fotografica;
• informazioni sulla cittadinanza;
• tipo, serie, numero del documento d'identità, nome dell'autorità che lo ha rilasciato, data di rilascio;
• numero assicurativo del conto individuale (SNILS);
• codice fiscale del contribuente (INN);
• indirizzo e data di registrazione del luogo di residenza (soggiorno), indirizzo di residenza effettiva;
• numero di telefono di contatto, indirizzo e-mail e/o informazioni su altri mezzi di comunicazione;
• dati dei certificati di stato civile e informazioni in essi contenute;
• informazioni sullo stato civile, composizione del nucleo familiare (grado di parentela, cognomi, nomi, patronimici (se presenti), date e luoghi di nascita);
• informazioni sull'istruzione e/o qualifica o possesso di conoscenze specializzate;
• informazioni sulla conoscenza di lingue straniere;
• informazioni relative agli obblighi militari, alla registrazione militare e ai dati dei documenti militari;
• informazioni sull'attività lavorativa, nonché informazioni sui precedenti luoghi di lavoro, periodi e anzianità di servizio;
• informazioni contenute nei documenti che autorizzano il soggiorno e l'attività lavorativa nel territorio della Federazione Russa (per i cittadini stranieri);
• informazioni su redditi, obblighi derivanti da documenti esecutivi;
• numeri del conto corrente, della carta bancaria;
• informazioni sullo stato di salute (per determinate categorie di dipendenti);
• informazioni sulla presenza (assenza) di precedenti penali e/o di procedimenti penali o sulla cessazione di procedimenti penali per motivi di riabilitazione (per determinate categorie di dipendenti);
• altri dati personali contenuti nei documenti la cui presentazione è prevista dalla legislazione, se il trattamento di tali dati è conforme alle finalità di trattamento previste dal punto 3.1 dell'Informativa.

3.3. L'IP non effettua il trattamento di categorie speciali di dati personali riguardanti l'origine razziale, nazionale, le opinioni politiche, le convinzioni religiose o filosofiche, la vita intima, salvo nei casi previsti dalla normativa della Federazione Russa.

4. Procedure e condizioni del trattamento dei dati personali

4.1. Prima di iniziare il trattamento dei dati personali, l'IP è tenuto a notificare a Roskomnadzor l'intenzione di procedere al trattamento dei dati personali.

4.2. La base giuridica del trattamento dei dati personali è costituita dal Codice del Lavoro della Federazione Russa, da altri atti normativi contenenti norme di diritto del lavoro, dalla Legge Federale del 27.07.2006 N 152-FZ «Sui dati personali», dalla Legge Federale del 06.12.2011 N 402-FZ «Sulla contabilità», dal Decreto del Governo della Federazione Russa del 27.11.2006 N 719 «Sull'approvazione del Regolamento sulla registrazione militare».

4.3. Il trattamento dei dati personali viene effettuato dall'IP nel rispetto dei principi e delle condizioni previsti dalla normativa in materia di dati personali e dalla presente Informativa.

4.4. Il trattamento dei dati personali da parte dell'IP viene eseguito nei seguenti modi:

• trattamento non automatizzato dei dati personali;
• trattamento automatizzato dei dati personali con o senza trasmissione delle informazioni ottenute tramite reti di informazione e telecomunicazione;
• trattamento misto dei dati personali.

4.5. Il trattamento dei dati personali da parte dell'IP viene effettuato con il consenso del soggetto dei dati personali al trattamento dei suoi dati, salvo diversa disposizione della normativa in materia di dati personali.

4.5.1. Il trattamento dei dati personali che il soggetto dei dati personali ha autorizzato alla diffusione viene effettuato nel rispetto dei divieti e delle condizioni previsti dall'art. 10.1 della Legge sui dati personali.

4.5.2. Il trattamento dei dati biometrici è consentito solo previo consenso scritto del soggetto dei dati personali. Fanno eccezione le situazioni previste dall'art. 11, comma 2, della Legge sui dati personali.

4.6. L'IP non effettua il trasferimento transfrontaliero dei dati personali.

4.7. Il trattamento dei dati personali viene effettuato mediante raccolta, registrazione, sistematizzazione, accumulazione, conservazione, aggiornamento (modifica), estrazione, utilizzo, anonimizzazione, blocco, cancellazione, distruzione dei dati personali, anche con l'ausilio di mezzi informatici.

4.7.1. La raccolta, registrazione, sistematizzazione, accumulazione e aggiornamento dei dati personali da parte dell'IP vengono effettuati mediante:

• acquisizione di originali di documenti o loro copie;
• copiatura di originali di documenti;
• inserimento di informazioni in moduli di registrazione su supporti cartacei ed elettronici;
• creazione di documenti contenenti dati personali su supporti cartacei ed elettronici;
• inserimento di dati personali nei sistemi informativi dei dati personali.

4.7.2. L'IP utilizza i seguenti sistemi informativi:

• posta elettronica aziendale;
• sistema di gestione documentale elettronico;
• sistema di supporto alla postazione di lavoro dell'utente;
• sistema di informazioni normative e di riferimento;
• sistema di gestione delle risorse umane;
• sistema di controllo dell'accesso remoto;
• portale informativo.

4.8. Il trasferimento (diffusione, comunicazione, accesso) dei dati personali dei soggetti dei dati personali avviene nei casi e nelle modalità previste dalla normativa in materia di dati personali e dall'Informativa.

5. Termini di trattamento e conservazione dei dati personali

5.1. Il trattamento dei dati personali da parte dell'IP cessa nei seguenti casi:

• all'accertamento del fatto di un trattamento illecito dei dati personali (termine di cessazione del trattamento: entro tre giorni lavorativi dalla data dell'accertamento di tale fatto);
• al raggiungimento delle finalità del loro trattamento (con alcune eccezioni);
• alla scadenza o alla revoca da parte del soggetto dei dati personali del consenso al trattamento dei suoi dati (con alcune eccezioni);
• su richiesta del soggetto dei dati personali all'IP di cessare il trattamento dei dati personali (termine di cessazione del trattamento: non oltre 10 giorni lavorativi dalla data di ricezione della richiesta).

5.2. I dati personali vengono conservati in una forma che consenta l'identificazione del soggetto dei dati personali non oltre il periodo richiesto dalle finalità del loro trattamento. Fanno eccezione i casi in cui il periodo di conservazione dei dati personali è stabilito dalla legge federale, da un contratto di cui il soggetto dei dati personali è parte.

5.3. I dati personali su supporti cartacei vengono conservati dall'IP per i periodi di conservazione dei documenti previsti dalla normativa sull'archivistica della Federazione Russa.

5.4. Il periodo di conservazione dei dati personali trattati nei sistemi informativi dei dati personali corrisponde al periodo di conservazione dei dati personali su supporti cartacei.

6. Procedure di blocco e distruzione dei dati personali

6.1. L'IP blocca i dati personali nelle modalità e alle condizioni previste dalla normativa in materia di dati personali.

6.2. Al raggiungimento delle finalità del trattamento dei dati personali o in caso di perdita della necessità di raggiungere tali finalità, i dati personali vengono distrutti o anonimizzati.

6.3. I dati personali ottenuti illegalmente o quelli non necessari per le finalità del trattamento vengono distrutti entro sette giorni lavorativi dal giorno in cui il soggetto dei dati personali fornisce le informazioni di conferma.

6.4. I dati personali il cui trattamento è cessato a causa della sua illiceità e di cui non è possibile garantire la liceità del trattamento vengono distrutti entro 10 giorni lavorativi dalla data di accertamento del fatto del trattamento illecito.

6.5. I dati personali vengono distrutti entro 30 giorni dalla data del raggiungimento della finalità del trattamento, salvo diversa disposizione del contratto di cui il soggetto dei dati personali è parte, di altro accordo tra lo stesso e l'IP, oppure qualora l'IP non possa trattare i dati personali senza il consenso del soggetto dei dati personali sulla base prevista dalle leggi federali.

6.6. I dati personali vengono distrutti (se la loro conservazione non è necessaria per le finalità del trattamento dei dati personali) entro 30 giorni dalla data di ricezione della revoca del consenso al loro trattamento da parte del soggetto dei dati personali.

6.7. La selezione dei supporti materiali (documenti, dischi rigidi, unità flash, ecc.) e/o delle informazioni nei sistemi informativi contenenti dati personali da distruggere viene effettuata dalla persona responsabile dell'IP preposta al trattamento dei dati personali.

6.7.2. I dati personali su supporti cartacei vengono distrutti utilizzando un distruggi-documenti. I dati personali su supporti elettronici vengono distrutti mediante danneggiamento meccanico dell'integrità del supporto, che non consente la lettura o il recupero dei dati personali, nonché mediante cancellazione dei dati dai supporti elettronici con metodi e strumenti di cancellazione garantita delle informazioni residue.

6.7.3. La persona responsabile conferma la distruzione dei dati personali ai sensi dei Requisiti per la conferma della distruzione dei dati personali, approvati dall'Ordine di Roskomnadzor del 28.10.2022 N 179.

7. Protezione dei dati personali

7.1. Senza il consenso scritto del soggetto dei dati personali, l'IP non divulga a terzi né diffonde i dati personali, salvo diversa disposizione della legge federale.

7.2. Al fine di proteggere i dati personali, l'IP nomina (approva):

• il dipendente responsabile dell'organizzazione del trattamento dei dati personali;
• l'elenco delle posizioni in cui vengono trattati i dati personali;
• l'elenco dei dati personali a cui hanno accesso i dipendenti che ricoprono posizioni che prevedono il trattamento dei dati personali;
• la procedura di accesso ai locali in cui viene effettuato il trattamento dei dati personali;
• la procedura di trasferimento dei dati personali dell'IP;
• il modulo di consenso al trattamento dei dati personali;
• la procedura di protezione dei dati personali nel loro trattamento nei sistemi informativi dei dati personali;
• la procedura per lo svolgimento di indagini e verifiche interne;
• altri atti normativi locali adottati in conformità con i requisiti della normativa in materia di dati personali.

7.3. I dipendenti che ricoprono posizioni che prevedono il trattamento dei dati personali sono ammessi a tale trattamento dopo aver firmato un impegno di riservatezza.

7.4. I supporti materiali dei dati personali vengono conservati in armadi chiudibili a chiave (ove applicabile).

7.5. L'accesso alle informazioni personali contenute nei sistemi informativi dell'IP avviene tramite password individuali.

7.6. L'IP utilizza software antivirus certificato con database aggiornati regolarmente.

7.7. I dipendenti dell'IP che trattano dati personali seguono periodicamente corsi di formazione sui requisiti della normativa in materia di dati personali.

7.9. L'IP conduce indagini interne nelle seguenti situazioni:

• in caso di trasferimento (comunicazione, diffusione, accesso) illecito o accidentale dei dati personali che abbia causato una violazione dei diritti dei soggetti dei dati personali;
• negli altri casi previsti dalla normativa in materia di dati personali.

7.10. Il dipendente responsabile dell'organizzazione del trattamento dei dati personali esercita un controllo interno sul rispetto dei requisiti della normativa in materia di dati personali. Il controllo interno si svolge sotto forma di verifiche interne.

7.11. L'indagine interna viene condotta qualora sia accertato il fatto di un trasferimento illecito o accidentale dei dati personali che abbia causato una violazione dei diritti dei soggetti dei dati personali (di seguito — incidente).

7.11.1. In caso di incidente, l'IP entro 24 ore notifica a Roskomnadzor: l'incidente, le sue presunte cause e il danno arrecato ai diritti del soggetto dei dati personali, le misure adottate per rimediare alle conseguenze dell'incidente.

7.11.2. Entro 72 ore, l'IP è tenuto a notificare a Roskomnadzor i risultati dell'indagine interna e a fornire informazioni sulle persone le cui azioni hanno causato l'incidente (ove disponibili).

7.12. In caso di fornitura di informazioni verificate attestanti che i dati personali sono incompleti, inesatti o non aggiornati, vengono apportate modifiche entro sette giorni lavorativi.

8. Responsabilità per la violazione delle norme che disciplinano il trattamento dei dati personali

8.1. Le persone responsabili della violazione delle disposizioni della normativa della Federazione Russa in materia di dati personali nel trattamento dei dati personali sono soggette a responsabilità disciplinare e patrimoniale secondo le modalità stabilite dal Codice del Lavoro della Federazione Russa e da altre leggi federali. Sono inoltre soggette a responsabilità amministrativa, civile o penale secondo le modalità stabilite dalle leggi federali.

8.2. Il danno morale causato al soggetto dei dati personali a seguito della violazione dei suoi diritti, della violazione delle norme di trattamento dei dati personali, nonché del mancato rispetto dei requisiti per la loro protezione, è soggetto a risarcimento ai sensi della normativa della Federazione Russa. Il risarcimento del danno morale viene effettuato indipendentemente dal risarcimento del danno patrimoniale e delle perdite subite dal soggetto dei dati personali.