Política de Tratamento e Proteção de Dados Pessoais

A presente Política é um ato normativo interno da Platform Moleculs.ai (doravante denominada IE), elaborado com base nos requisitos, em particular, do cap. 14 do Código do Trabalho da Federação Russa, da Lei Federal de 27.07.2006 N 152-FZ «Sobre Dados Pessoais» (doravante denominada Lei de Dados Pessoais).

A Política estabelece:

• a finalidade, o procedimento e as condições do tratamento de dados pessoais;
• as categorias de sujeitos cujos dados pessoais são tratados, as categorias (listas) de dados pessoais tratados, os métodos, prazos de tratamento e armazenamento, o procedimento de destruição desses dados ao atingir as finalidades de tratamento ou na ocorrência de outros fundamentos legais;
• disposições relativas à proteção de dados pessoais, procedimentos destinados a identificar e prevenir violações da legislação da Federação Russa no campo de dados pessoais, bem como a eliminar as consequências de tais violações.

A Política utiliza termos e definições de acordo com seus significados estabelecidos na Lei de Dados Pessoais.

A Política entra em vigor no momento de sua aprovação pela IE e permanece em vigor até sua revogação pela IE ou até a introdução de uma nova Política.

As alterações à Política são realizadas por decisão da IE. As alterações entram em vigor a partir do momento da assinatura do documento correspondente.

2. Categorias de Sujeitos de Dados Pessoais

2.1. Os sujeitos cujos dados pessoais são tratados pela IE de acordo com esta Política incluem:

• candidatos a emprego na IE;
• funcionários da IE;
• ex-funcionários da IE;
• membros das famílias dos funcionários da IE — nos casos em que, de acordo com a legislação, as informações sobre eles são fornecidas pelo funcionário;
• outras pessoas cujos dados pessoais a IE é obrigada a tratar de acordo com a legislação trabalhista e outros atos contendo normas de direito do trabalho;
• clientes, contratantes e parceiros da IE.

3. Finalidades do Tratamento de Dados Pessoais, Categorias de Dados Pessoais Tratados

3.1. De acordo com esta Política, os dados pessoais são tratados com a finalidade de aplicação e cumprimento da legislação trabalhista no âmbito das relações de trabalho e outras diretamente relacionadas a elas, bem como no âmbito do surgimento de relações civis, interação da IE com potenciais parceiros, clientes e outras pessoas, com o objetivo de proteger os dados pessoais das categorias de pessoas, incluindo:

• ao auxiliar na colocação profissional;
• na manutenção de registros de pessoal e contabilidade;
• no auxílio aos funcionários na obtenção de educação e progressão na carreira;
• na formalização de prêmios e incentivos;
• na concessão, por parte da IE, de condições de trabalho, garantias e compensações estabelecidas pela legislação;
• no preenchimento e envio às autoridades competentes dos formulários de relatórios exigidos;
• na garantia da segurança pessoal dos funcionários, outras pessoas e preservação do patrimônio;
• no controle da quantidade e qualidade do trabalho realizado;
• na garantia da proteção dos direitos e liberdades das pessoas e cidadãos no tratamento de seus dados pessoais, incluindo a proteção dos direitos à privacidade, ao sigilo pessoal e familiar;
• na promoção de bens, obras e serviços da IE no mercado por meio de contatos diretos com o potencial consumidor através de meios de comunicação;
• na interação da IE em questões de cooperação mutuamente benéfica, celebração de acordos com potenciais parceiros, clientes e outras pessoas.

3.2. De acordo com a finalidade indicada no item 3.1 desta Política, os seguintes dados pessoais são tratados:

• sobrenome, nome, patronímico (se aplicável), bem como sobrenome, nome e patronímico anteriores (se aplicável), data e local de sua alteração;
• sexo;
• data (dia, mês, ano) e local de nascimento;
• imagem fotográfica;
• informações sobre cidadania;
• tipo, série e número do documento de identidade, nome do órgão emissor, data de emissão;
• número de seguro da conta individual (SNILS);
• número de identificação do contribuinte (INN);
• endereço e data de registro no local de residência (local de estadia), endereço de residência efetiva;
• número de telefone de contato, endereço de e-mail e (ou) informações sobre outros meios de comunicação;
• dados dos certificados de registro estatal de atos de estado civil e as informações neles contidas;
• informações sobre estado civil, composição familiar (grau de parentesco, sobrenomes, nomes, patronímicos (se aplicável), datas e locais de nascimento);
• informações sobre educação e (ou) qualificação ou posse de conhecimentos especiais;
• informações sobre conhecimento de idiomas estrangeiros;
• informações sobre situação de serviço militar, registro militar e dados dos documentos de registro militar;
• informações sobre atividade profissional, bem como informações sobre empregos anteriores, períodos e experiência de trabalho;
• informações contidas em documentos que concedem o direito de residência e trabalho no território da Federação Russa (para cidadãos estrangeiros);
• informações sobre renda, obrigações sob documentos executivos;
• números de conta corrente, cartão bancário;
• informações sobre estado de saúde (para determinadas categorias de funcionários);
• informações sobre a existência (inexistência) de antecedentes criminais e (ou) fato de persecução penal ou encerramento de persecução penal por motivos de reabilitação (para determinadas categorias de funcionários);
• outros dados pessoais contidos em documentos cuja apresentação é prevista pela legislação, se o tratamento desses dados corresponder à finalidade de tratamento prevista no item 3.1 desta Política.

3.3. A IE não realiza o tratamento de categorias especiais de dados pessoais relativos à origem racial, étnica, opiniões políticas, crenças religiosas ou filosóficas, vida íntima, exceto nos casos previstos pela legislação da Federação Russa.

4. Procedimento e Condições do Tratamento de Dados Pessoais

4.1. Antes do início do tratamento de dados pessoais, a IE é obrigada a notificar o Roskomnadzor sobre a intenção de realizar o tratamento de dados pessoais.

4.2. A base legal para o tratamento de dados pessoais é o Código do Trabalho da Federação Russa, outros atos normativos contendo normas de direito do trabalho, a Lei Federal de 27.07.2006 N 152-FZ «Sobre Dados Pessoais», a Lei Federal de 06.12.2011 N 402-FZ «Sobre Contabilidade», o Decreto do Governo da Federação Russa de 27.11.2006 N 719 «Sobre a Aprovação do Regulamento sobre Registro Militar».

4.3. O tratamento de dados pessoais é realizado pela IE em conformidade com os princípios e condições previstos pela legislação no campo de dados pessoais e por esta Política.

4.4. O tratamento de dados pessoais pela IE é realizado das seguintes formas:

• tratamento não automatizado de dados pessoais;
• tratamento automatizado de dados pessoais com ou sem transmissão das informações obtidas por redes de informação e telecomunicação;
• tratamento misto de dados pessoais.

4.5. O tratamento de dados pessoais pela IE é realizado com o consentimento do titular dos dados para o tratamento de seus dados pessoais, salvo disposição em contrário da legislação no campo de dados pessoais.

4.5.1. O tratamento de dados pessoais autorizados pelo titular para divulgação é realizado em conformidade com as proibições e condições previstas no art. 10.1 da Lei de Dados Pessoais.

4.5.2. O tratamento de dados pessoais biométricos é permitido somente com o consentimento escrito do titular dos dados. Exceção são as situações previstas na parte 2 do art. 11 da Lei de Dados Pessoais.

4.6. A IE não realiza transferência transfronteiriça de dados pessoais.

4.7. O tratamento de dados pessoais é realizado por meio de coleta, registro, sistematização, acumulação, armazenamento, atualização (atualização, alteração), extração, uso, anonimização, bloqueio, exclusão e destruição de dados pessoais, inclusive com o auxílio de recursos de tecnologia da informação.

4.7.1. A coleta, registro, sistematização, acumulação e atualização de dados pessoais pela IE são realizados por meio de:

• obtenção de documentos originais ou cópias deles;
• cópia de documentos originais;
• inserção de informações em formulários de registro em suportes em papel e eletrônicos;
• criação de documentos contendo dados pessoais em suportes em papel e eletrônicos;
• inserção de dados pessoais nos sistemas de informação de dados pessoais.

4.7.2. A IE utiliza os seguintes sistemas de informação:

• e-mail corporativo;
• sistema de gestão eletrônica de documentos;
• sistema de suporte ao posto de trabalho do usuário;
• sistema de informações normativas e de referência;
• sistema de gestão de pessoal;
• sistema de controle de acesso remoto;
• portal de informações.

4.8. A transferência (divulgação, fornecimento, acesso) de dados pessoais dos titulares é realizada nos casos e da forma prevista pela legislação no campo de dados pessoais e por esta Política.

5. Prazos de Tratamento e Armazenamento de Dados Pessoais

5.1. O tratamento de dados pessoais pela IE é encerrado nos seguintes casos:

• ao constatar o fato de tratamento ilegal de dados pessoais (prazo para encerramento do tratamento — dentro de três dias úteis a partir da data de constatação desse fato);
• ao atingir as finalidades de seu tratamento (com algumas exceções);
• após o vencimento do prazo ou ao revogar pelo titular dos dados o consentimento para o tratamento de seus dados pessoais (com algumas exceções);
• ao dirigir-se o titular dos dados à IE com a exigência de encerramento do tratamento de dados pessoais (prazo para encerramento do tratamento — no máximo 10 dias úteis a partir da data de recebimento da exigência).

5.2. Os dados pessoais são armazenados em formato que permita identificar o titular dos dados por não mais tempo do que o necessário para as finalidades de seu tratamento. Exceção são os casos em que o prazo de armazenamento de dados pessoais é estabelecido por lei federal, contrato do qual o titular dos dados é parte.

5.3. Os dados pessoais em suportes em papel são armazenados pela IE pelos prazos de armazenamento de documentos para os quais esses prazos estão previstos pela legislação de arquivos da Federação Russa.

5.4. O prazo de armazenamento de dados pessoais tratados nos sistemas de informação de dados pessoais corresponde ao prazo de armazenamento de dados pessoais em suportes em papel.

6. Procedimento de Bloqueio e Destruição de Dados Pessoais

6.1. A IE bloqueia os dados pessoais da maneira e nas condições previstas pela legislação no campo de dados pessoais.

6.2. Ao atingir as finalidades do tratamento de dados pessoais ou em caso de perda da necessidade de atingir essas finalidades, os dados pessoais são destruídos ou anonimizados.

6.3. Os dados pessoais obtidos ilegalmente ou que não são necessários para a finalidade do tratamento são destruídos dentro de sete dias úteis a partir da data de apresentação pelo titular dos dados das informações confirmatórias.

6.4. Os dados pessoais cujo tratamento foi encerrado por sua ilegalidade e cuja legalidade não pode ser assegurada são destruídos dentro de 10 dias úteis a partir da data de constatação do fato de tratamento ilegal.

6.5. Os dados pessoais são destruídos dentro de 30 dias a partir da data de atingimento da finalidade do tratamento, salvo disposição em contrário do contrato do qual o titular dos dados é parte, de outro acordo entre ele e a IE, ou se a IE não tiver o direito de tratar dados pessoais sem o consentimento do titular com base nos fundamentos previstos nas leis federais.

6.6. Os dados pessoais são destruídos (se sua preservação não for necessária para as finalidades do tratamento de dados pessoais) dentro de 30 dias a partir da data de recebimento da revogação pelo titular dos dados do consentimento para seu tratamento.

6.7. A seleção de suportes materiais (documentos, discos rígidos, pen drives, etc.) e (ou) informações nos sistemas de informação contendo dados pessoais sujeitos à destruição é realizada pelo responsável da IE que trata os dados pessoais.

6.7.2. Os dados pessoais em suportes em papel são destruídos com o uso de fragmentadora. Os dados pessoais em suportes eletrônicos são destruídos por meio de dano mecânico à integridade do suporte, impedindo a leitura ou recuperação dos dados pessoais, bem como por meio da exclusão de dados dos suportes eletrônicos por métodos e meios de exclusão garantida de informações residuais.

6.7.3. O responsável confirma a destruição dos dados pessoais de acordo com os Requisitos para Confirmação da Destruição de Dados Pessoais, aprovados pela Ordem do Roskomnadzor de 28.10.2022 N 179.

7. Proteção de Dados Pessoais

7.1. Sem o consentimento escrito do titular dos dados pessoais, a IE não divulga a terceiros nem dissemina dados pessoais, salvo disposição em contrário da lei federal.

7.2. Com o objetivo de proteger os dados pessoais, a IE designa (aprova):

• o funcionário responsável pela organização do tratamento de dados pessoais;
• a lista de cargos em cujo exercício são tratados dados pessoais;
• a lista de dados pessoais acessíveis aos funcionários que ocupam cargos que preveem o tratamento de dados pessoais;
• o procedimento de acesso às instalações onde o tratamento de dados pessoais é realizado;
• o procedimento de transferência de dados pessoais da IE;
• o formulário de consentimento para o tratamento de dados pessoais;
• o procedimento de proteção de dados pessoais durante seu tratamento nos sistemas de informação de dados pessoais;
• o procedimento de realização de investigações e auditorias internas;
• outros atos normativos internos adotados em conformidade com os requisitos da legislação no campo de dados pessoais.

7.3. Os funcionários que ocupam cargos que preveem o tratamento de dados pessoais têm acesso a eles somente após a assinatura de um compromisso de confidencialidade.

7.4. Os suportes materiais de dados pessoais são armazenados em armários com fechadura (quando aplicável).

7.5. O acesso às informações pessoais contidas nos sistemas de informação da IE é realizado por meio de senhas individuais.

7.6. A IE utiliza software antivírus certificado com bases de dados atualizadas regularmente.

7.7. Os funcionários da IE que tratam dados pessoais recebem treinamento periódico sobre os requisitos da legislação no campo de dados pessoais.

7.9. A IE realiza investigações internas nas seguintes situações:

• em caso de transferência (fornecimento, divulgação, acesso) ilegal ou acidental de dados pessoais que resulte em violação dos direitos dos titulares dos dados;
• em outros casos previstos pela legislação no campo de dados pessoais.

7.10. O funcionário responsável pela organização do tratamento de dados pessoais exerce controle interno sobre o cumprimento dos requisitos da legislação no campo de dados pessoais. O controle interno é realizado na forma de auditorias internas.

7.11. Uma investigação interna é realizada se for constatado o fato de transferência ilegal ou acidental de dados pessoais que resulte em violação dos direitos dos titulares dos dados (doravante denominado incidente).

7.11.1. Em caso de incidente, a IE notifica o Roskomnadzor dentro de 24 horas: sobre o incidente, suas causas presumidas e o dano causado aos direitos do titular dos dados, bem como as medidas tomadas para eliminar as consequências do incidente.

7.11.2. Dentro de 72 horas, a IE é obrigada a notificar o Roskomnadzor sobre os resultados da investigação interna e fornecer informações sobre as pessoas cujas ações causaram o incidente (se disponíveis).

7.12. No caso de fornecimento de informações confirmadas de que os dados pessoais estão incompletos, imprecisos ou desatualizados, as alterações são feitas dentro de sete dias úteis.

8. Responsabilidade pela Violação das Normas que Regulam o Tratamento de Dados Pessoais

8.1. As pessoas culpadas pela violação das disposições da legislação da Federação Russa no campo de dados pessoais durante o tratamento de dados pessoais são responsabilizadas disciplinar e materialmente na forma estabelecida pelo Código do Trabalho da Federação Russa e outras leis federais. Além disso, são responsabilizadas administrativamente, civil ou criminalmente na forma estabelecida pelas leis federais.

8.2. O dano moral causado ao titular dos dados pessoais em decorrência da violação de seus direitos, da violação das regras de tratamento de dados pessoais, bem como do descumprimento dos requisitos de proteção, está sujeito à indenização em conformidade com a legislação da Federação Russa. A indenização por dano moral é realizada independentemente da indenização por danos materiais e das perdas sofridas pelo titular dos dados pessoais.