Patakaran sa Pagproseso at Proteksyon ng Personal na Data

Ang Patakarang ito ay isang lokal na normative na kilos ng Platform Moleculs.ai (mula rito — IP), na inangkop alinsunod sa mga kinakailangan, lalo na sa Kabanata 14 ng Labor Code ng Russian Federation, Pederal na Batas ng 27.07.2006 N 152-FZ "Sa Personal na Data" (mula rito — Batas sa Personal na Data).

Itinatakda ng Patakaran ang:

• layunin, pamamaraan, at kondisyon ng pagproseso ng personal na data;
• mga kategorya ng mga subject na ang personal na data ay pinoproseso, mga kategorya (listahan) ng personal na data na pinoproseso, mga paraan, tagal ng pagproseso at pag-iimbak nito, pamamaraan ng pagwasak ng naturang data sa pagkamit ng mga layunin ng pagproseso o sa paglabas ng iba pang legal na batayan;
• mga probisyon tungkol sa proteksyon ng personal na data, mga pamamaraan na naglalayong tukuyin at pigilan ang mga paglabag sa batas ng Russian Federation sa larangan ng personal na data, at sa pag-aayos ng mga kahihinatnan ng naturang paglabag.

Ginagamit sa Patakaran ang mga termino at kahulugan alinsunod sa kanilang mga kahulugang tinukoy sa Batas sa Personal na Data.

Ang Patakaran ay magkakabisa mula sa sandali ng pag-apruba nito ng IP at mananatiling may bisa hanggang sa pagpapawalang-bisa nito ng IP o hanggang sa pagpapakilala ng bagong Patakaran.

Ang mga pagbabago sa Patakaran ay ginagawa sa pamamagitan ng desisyon ng IP. Ang mga pagbabago ay magkakabisa mula sa sandali ng pagpirma sa kaukulang dokumento.

2. Mga Kategorya ng mga Subject ng Personal na Data

2.1. Kabilang sa mga subject na ang personal na data ay pinoproseso ng IP alinsunod sa Patakaran:

• mga kandidato para sa trabaho sa IP;
• mga empleyado ng IP;
• mga dating empleyado ng IP;
• mga miyembro ng pamilya ng mga empleyado ng IP — sa mga kaso kung saan ayon sa batas ay ibinibigay ng empleyado ang impormasyon tungkol sa kanila;
• iba pang mga tao na ang personal na data ay obligado ng IP na prosesoin alinsunod sa labor legislation at iba pang mga kilos na naglalaman ng mga pamantayan ng labor law;
• mga kliyente, katapat, kasosyo ng IP.

3. Mga Layunin ng Pagproseso ng Personal na Data, Mga Kategorya ng Personal na Data na Pinoproseso

3.1. Alinsunod sa Patakaran, ang personal na data ay pinoproseso para sa layunin ng pag-apply at pagtupad ng labor legislation sa loob ng mga relasyon sa trabaho at iba pang direktang konektadong relasyon, pati na rin sa loob ng mga civil law na relasyon, pakikipag-ugnayan ng IP sa mga potensyal na kasosyo, kliyente, at iba pang mga tao para sa layunin ng proteksyon ng personal na data ng mga kategorya ng mga tao, kabilang ang:

• sa pagtulong sa paghahanap ng trabaho;
• pagpapanatili ng HR at accounting records;
• pagtulong sa mga empleyado na makakuha ng edukasyon at pagsulong sa karera;
• pagpoproseso ng mga gantimpala at parangal;
• pagbibigay ng mga kondisyon sa trabaho, garantiya, at kompensasyon na itinakda ng batas mula sa panig ng IP;
• pagpupuno at pagsusumite sa mga awtorisadong awtoridad ng mga kinakailangang form ng ulat;
• pagtitiyak ng personal na kaligtasan ng mga empleyado, iba pang mga tao, at kaligtasan ng ari-arian;
• pagsasagawa ng kontrol sa dami at kalidad ng trabahong ginagawa;
• pagtitiyak ng proteksyon ng mga karapatan at kalayaan ng tao at mamamayan sa pagproseso ng kanyang personal na data, kabilang ang proteksyon ng mga karapatang sa privacy, personal, at pampamilyang sikreto;
• promosyon ng mga kalakal, gawa, serbisyo ng IP sa merkado sa pamamagitan ng direktang pakikipag-ugnayan sa potensyal na mamimili gamit ang mga paraan ng komunikasyon;
• pakikipag-ugnayan ng IP sa mga usapin ng mutually beneficial na kooperasyon, pagtatapos ng mga deal sa mga potensyal na kasosyo, kliyente, at iba pang mga tao.

3.2. Alinsunod sa layunin na tinukoy sa talata 3.1 ng Patakaran, ang sumusunod na personal na data ay pinoproseso:

• apelyido, pangalan, gitnang pangalan (kung mayroon), pati na rin ang dating apelyido, pangalan, gitnang pangalan (kung mayroon), petsa at lugar ng pagbabago ng mga ito;
• kasarian;
• petsa (araw, buwan, taon) at lugar ng kapanganakan;
• larawan;
• impormasyon tungkol sa pagkamamamayan;
• uri, serye, numero ng dokumento ng pagkakakilanlan, pangalan ng nag-isyu na awtoridad, petsa ng pag-isyu;
• insurance number ng indibidwal na personal account (SNILS);
• taxpayer identification number (TIN);
• address at petsa ng pagpaparehistro sa lugar ng tirahan (lugar ng pananatili), address ng aktwal na tirahan;
• numero ng contact na telepono, email address at (o) impormasyon tungkol sa iba pang paraan ng komunikasyon;
• mga detalye ng mga sertipiko ng state registration ng civil status acts at impormasyon na nilalaman nito;
• impormasyon tungkol sa katayuan ng pamilya, komposisyon ng pamilya (antas ng pagkakamag-anak, mga apelyido, pangalan, gitnang pangalan (kung mayroon), mga petsa at lugar ng kapanganakan);
• impormasyon tungkol sa edukasyon at (o) kwalipikasyon o presensya ng espesyal na kaalaman;
• impormasyon tungkol sa kaalaman ng mga dayuhang wika;
• impormasyon tungkol sa relasyon sa military obligation, military registration, at mga detalye ng military registration documents;
• impormasyon tungkol sa aktibidad sa trabaho, pati na rin impormasyon tungkol sa mga nakaraang lugar ng trabaho, mga panahon at karanasan sa trabaho;
• impormasyon na nilalaman sa mga dokumento na nagbibigay ng karapatang manatili at magtrabaho sa teritoryo ng Russian Federation (para sa mga dayuhang mamamayan);
• impormasyon tungkol sa kita, mga obligasyon sa ilalim ng mga enforcement documents;
• mga numero ng bank account, bank card;
• impormasyon tungkol sa kalusugan (para sa ilang kategorya ng mga empleyado);
• impormasyon tungkol sa presensya (kawalan) ng kriminal na rekord at (o) katotohanan ng criminal prosecution o tungkol sa pagwawakas ng criminal prosecution sa mga rehabilitating grounds (para sa ilang kategorya ng mga empleyado);
• iba pang personal na data na nilalaman sa mga dokumento, ang pagsusumite nito ay itinakda ng batas, kung ang pagproseso ng naturang data ay naaayon sa layunin ng pagproseso na itinakda sa talata 3.1 ng Patakaran.

3.3. Hindi isinasagawa ng IP ang pagproseso ng mga espesyal na kategorya ng personal na data tungkol sa lahi, nasyonalidad, pulitikal na pananaw, relihiyoso o pilosopikal na paniniwala, personal na buhay, maliban sa mga kaso na itinakda ng batas ng Russian Federation.

4. Pamamaraan at Kondisyon ng Pagproseso ng Personal na Data

4.1. Bago simulan ang pagproseso ng personal na data, ang IP ay obligadong abisuhan ang Roskomnadzor tungkol sa intensyon na isagawa ang pagproseso ng personal na data.

4.2. Ang legal na batayan para sa pagproseso ng personal na data ay ang Labor Code ng Russian Federation, iba pang normative legal na kilos na naglalaman ng mga pamantayan ng labor law, Pederal na Batas ng 27.07.2006 N 152-FZ "Sa Personal na Data", Pederal na Batas ng 06.12.2011 N 402-FZ "Sa Accounting", Resolusyon ng Pamahalaan ng Russian Federation ng 27.11.2006 N 719 "Sa Pag-apruba ng Regulasyon sa Military Registration".

4.3. Ang pagproseso ng personal na data ay isinasagawa ng IP na may pagsunod sa mga prinsipyo at kondisyon na itinakda ng batas sa larangan ng personal na data at ng Patakarang ito.

4.4. Ang pagproseso ng personal na data ng IP ay ginagawa sa pamamagitan ng mga sumusunod na paraan:

• non-automated na pagproseso ng personal na data;
• automated na pagproseso ng personal na data na may paglipat ng natanggap na impormasyon sa pamamagitan ng information at telecommunication networks o nang wala nito;
• halo-halong pagproseso ng personal na data.

4.5. Ang pagproseso ng personal na data ng IP ay isinasagawa na may pahintulot ng subject ng personal na data sa pagproseso ng kanyang personal na data, maliban kung iba ang itinakda ng batas sa larangan ng personal na data.

4.5.1. Ang pagproseso ng personal na data na pinahintulutan ng subject ng personal na data para sa pamamahagi ay isinasagawa na may pagsunod sa mga pagbabawal at kondisyon na itinakda ng Art. 10.1 ng Batas sa Personal na Data.

4.5.2. Ang pagproseso ng biometric personal na data ay pinahihintulutan lamang kung mayroon ng nakasulat na pahintulot ng subject ng personal na data. Ang pagbubukod ay ang mga sitwasyong itinakda ng Bahagi 2 ng Art. 11 ng Batas sa Personal na Data.

4.6. Hindi isinasagawa ng IP ang cross-border na paglipat ng personal na data.

4.7. Ang pagproseso ng personal na data ay isinasagawa sa pamamagitan ng koleksyon, pagtatala, sistematisasyon, akumulasyon, pag-iimbak, paglilinaw (pag-update, pagbabago), pagkuha, paggamit, anonymization, pag-block, pagtanggal, pagwasak ng personal na data, kabilang ang gamit ang computing technology.

4.7.1. Ang koleksyon, pagtatala, sistematisasyon, akumulasyon, at paglilinaw ng personal na data ng IP ay isinasagawa sa pamamagitan ng:

• pagtanggap ng mga orihinal na dokumento o mga kopya nito;
• pagkopya ng mga orihinal na dokumento;
• pagpasok ng impormasyon sa mga form ng rekord sa papel at elektronikong media;
• paglikha ng mga dokumentong naglalaman ng personal na data sa papel at elektronikong media;
• pagpasok ng personal na data sa mga information system ng personal na data.

4.7.2. Ginagamit ng IP ang mga sumusunod na information system:

• corporate email;
• electronic document management system;
• user workstation support system;
• regulatory reference information system;
• personnel management system;
• remote access control system;
• information portal.

4.8. Ang paglipat (pamamahagi, pagbibigay, access) ng personal na data ng mga subject ng personal na data ay isinasagawa sa mga kaso at sa paraang itinakda ng batas sa larangan ng personal na data at ng Patakaran.

5. Mga Tagal ng Pagproseso at Pag-iimbak ng Personal na Data

5.1. Ang pagproseso ng personal na data ng IP ay titigil sa mga sumusunod na kaso:

• kapag natuklasan ang katotohanan ng hindi wastong pagproseso ng personal na data (tagal ng pagtigil ng pagproseso — sa loob ng tatlong araw ng trabaho mula sa petsa ng pagtuklas ng naturang katotohanan);
• kapag naabot ang mga layunin ng pagproseso nito (na may ilang pagbubukod);
• kapag nag-expire ang termino o kapag binawi ng subject ng personal na data ang pahintulot sa pagproseso ng kanyang personal na data (na may ilang pagbubukod);
• kapag nag-apply ang subject ng personal na data sa IP na may kahilingan na tigilan ang pagproseso ng personal na data (tagal ng pagtigil ng pagproseso — hindi hihigit sa 10 araw ng trabaho mula sa petsa ng pagtanggap ng kahilingan).

5.2. Ang personal na data ay iniimbak sa form na nagbibigay-daan sa pagkilala ng subject ng personal na data, nang hindi hihigit sa kinakailangan ng mga layunin ng pagproseso nito. Pagbubukod — mga kaso kung saan ang tagal ng pag-iimbak ng personal na data ay itinakda ng federal law, kontrata, na ang subject ng personal na data ay isang partido.

5.3. Ang personal na data sa papel na media ay iniimbak ng IP sa loob ng mga tagal ng pag-iimbak ng mga dokumento, kung saan ang mga tagal na ito ay itinakda ng batas tungkol sa archival affairs sa Russian Federation.

5.4. Ang tagal ng pag-iimbak ng personal na data na pinoproseso sa mga information system ng personal na data ay tumutugma sa tagal ng pag-iimbak ng personal na data sa papel na media.

6. Pamamaraan ng Pag-block at Pagwasak ng Personal na Data

6.1. Nag-i-block ang IP ng personal na data sa paraang at sa mga kondisyong itinakda ng batas sa larangan ng personal na data.

6.2. Sa pagkamit ng mga layunin ng pagproseso ng personal na data o kung ang pangangailangan sa pagkamit ng mga layunin na ito ay mawala, ang personal na data ay winawasak o anonymized.

6.3. Ang personal na data na iligal na natanggap o ang mga hindi kinakailangan para sa layunin ng pagproseso ay winawasak sa loob ng pitong araw ng trabaho mula sa araw ng pagsusumite ng subject ng personal na data ng kumpirmasyon na impormasyon.

6.4. Ang personal na data na ang pagproseso nito ay tinanggal dahil sa hindi pagiging lehitimo nito at ang pagiging lehitimo ng pagproseso nito ay hindi maaaring matiyak ay winawasak sa loob ng 10 araw ng trabaho mula sa petsa ng pagtuklas ng katotohanan ng hindi wastong pagproseso.

6.5. Ang personal na data ay winawasak sa loob ng 30 araw mula sa petsa ng pagkamit ng layunin ng pagproseso, maliban kung iba ang itinakda ng kontrata na ang subject ng personal na data ay isang partido, iba pang kasunduan sa pagitan niya at ng IP, o kung ang IP ay walang karapatang prosesoin ang personal na data nang walang pahintulot ng subject ng personal na data batay sa mga batayan na itinakda ng mga federal law.

6.6. Ang personal na data ay winawasak (kung ang pangangailangan sa pag-iimbak nito para sa mga layunin ng pagproseso ng personal na data ay wala na) sa loob ng 30 araw mula sa petsa ng pagtanggap ng pagbawi ng subject ng personal na data ng pahintulot sa pagproseso ng mga ito.

6.7. Ang pagpili ng mga materyal na media (mga dokumento, hard disk, flash drive, atbp.) at (o) impormasyon sa mga information system na naglalaman ng personal na data na dapat wasakin ay isinasagawa ng responsableng tao ng IP na nagpoproseso ng personal na data.

6.7.2. Ang personal na data sa papel na media ay winawasak gamit ang shredder. Ang personal na data sa elektronikong media ay winawasak sa pamamagitan ng mekanikal na pagkasira ng integridad ng media, na hindi nagpapahintulot ng pagbabasa o pagbawi ng personal na data, pati na rin sa pamamagitan ng pagtanggal ng data mula sa elektronikong media gamit ang mga pamamaraan at paraan ng garantisadong pagtanggal ng natitirang impormasyon.

6.7.3. Ang responsableng tao ay nagpapatunay ng pagwasak ng personal na data alinsunod sa Mga Kinakailangan sa Pagkumpirma ng Pagwasak ng Personal na Data, na inaprubahan ng Order ng Roskomnadzor ng 28.10.2022 N 179.

7. Proteksyon ng Personal na Data

7.1. Nang walang nakasulat na pahintulot ng subject ng personal na data, ang IP ay hindi nagbubunyag sa mga ikatlong partido at hindi nagpapakalat ng personal na data, maliban kung iba ang itinakda ng federal law.

7.2. Para sa layunin ng proteksyon ng personal na data ng IP ay hinihingi (inaprubahan):

• empleyado na responsable para sa pag-oorganisa ng pagproseso ng personal na data;
• listahan ng mga posisyon kung saan ang personal na data ay pinoproseso sa panahon ng pagganap ng mga ito;
• listahan ng personal na data na may access ang mga empleyado na sumasakop ng mga posisyon na nagbibigay ng pagproseso ng personal na data;
• pamamaraan ng pag-access sa mga lugar kung saan isinasagawa ang pagproseso ng personal na data;
• pamamaraan ng paglipat ng personal na data ng IP;
• form ng pahintulot sa pagproseso ng personal na data;
• pamamaraan ng proteksyon ng personal na data sa pagproseso nito sa mga information system ng personal na data;
• pamamaraan ng pagsasagawa ng mga internal na imbestigasyon at inspeksyon;
• iba pang lokal na normative na kilos na inangkop alinsunod sa mga kinakailangan ng batas sa larangan ng personal na data.

7.3. Ang mga empleyado na sumasakop ng mga posisyon na nagbibigay ng pagproseso ng personal na data ay pinapayagang gawin ito pagkatapos ng pagpirma ng obligasyon ng hindi pagbubunyag ng mga ito.

7.4. Ang mga materyal na media ng personal na data ay iniimbak sa mga kabinet na may kandado (kung naaangkop).

7.5. Ang access sa personal na impormasyon na nilalaman sa mga information system ng IP ay isinasagawa sa pamamagitan ng mga indibidwal na password.

7.6. Ang IP ay gumagamit ng sertipikadong antivirus software na may regular na ina-update na mga database.

7.7. Ang mga empleyado ng IP na nagpoproseso ng personal na data ay pana-panahong sumasailalim ng pagsasanay sa mga kinakailangan ng batas sa larangan ng personal na data.

7.9. Ang IP ay nagsasagawa ng mga internal na imbestigasyon sa mga sumusunod na sitwasyon:

• kapag may hindi wastong o aksidental na paglipat (pagbibigay, pamamahagi, access) ng personal na data na nagresulta sa paglabag ng mga karapatan ng mga subject ng personal na data;
• sa iba pang mga kaso na itinakda ng batas sa larangan ng personal na data.

7.10. Ang empleyado na responsable para sa pag-oorganisa ng pagproseso ng personal na data ay nagsasagawa ng internal na kontrol sa pagsunod sa mga kinakailangan ng batas sa larangan ng personal na data. Ang internal na kontrol ay isinasagawa sa anyo ng mga internal na inspeksyon.

7.11. Ang internal na imbestigasyon ay isinasagawa kung natuklasan ang katotohanan ng hindi wastong o aksidental na paglipat ng personal na data na nagresulta sa paglabag ng mga karapatan ng mga subject ng personal na data (mula rito — insidente).

7.11.1. Sa kaso ng insidente, ang IP sa loob ng 24 na oras ay nagaabiso sa Roskomnadzor: tungkol sa insidente, ang mga inaasahang sanhi nito at pinsalang dulot sa mga karapatan ng subject ng personal na data, at ang mga hakbang na ginawa upang maalis ang mga kahihinatnan ng insidente.

7.11.2. Sa loob ng 72 na oras, ang IP ay obligadong abisuhan ang Roskomnadzor tungkol sa mga resulta ng internal na imbestigasyon at magbigay ng impormasyon tungkol sa mga taong ang mga aksyon ay naging sanhi ng insidente (kung mayroon).

7.12. Sa kaso ng pagbibigay ng nakumpirmang impormasyon na ang personal na data ay hindi kumpleto, hindi tumpak, o hindi napapanahon, ang mga pagbabago ay ginagawa sa loob ng pitong araw ng trabaho.

8. Responsibilidad para sa Paglabag ng Mga Pamantayan na Nag-aayos ng Pagproseso ng Personal na Data

8.1. Ang mga taong nagkasala sa paglabag ng mga probisyon ng batas ng Russian Federation sa larangan ng personal na data sa pagproseso ng personal na data ay napapailalim sa disciplinary at material na responsibilidad sa paraang itinakda ng Labor Code ng Russian Federation at iba pang mga federal law. Bukod dito, sila ay napapailalim sa administrative, civil law, o criminal na responsibilidad sa paraang itinakda ng mga federal law.

8.2. Ang moral na pinsala na dulot sa subject ng personal na data bilang resulta ng paglabag ng kanyang mga karapatan, paglabag ng mga patakaran ng pagproseso ng personal na data, pati na rin ang hindi pagsunod sa mga kinakailangan para sa proteksyon ng mga ito, ay napapailalim sa kabayaran alinsunod sa batas ng Russian Federation. Ang kabayaran ng moral na pinsala ay isinasagawa nang hiwalay sa kabayaran ng material na pinsala at mga pagkalugi na natamo ng subject ng personal na data.