POLITIQUE DE L'ENTREPRISE CONCERNANT LE TRAITEMENT DES DONNÉES PERSONNELLES

1. DISPOSITIONS GÉNÉRALES

La Politique de traitement des données personnelles (ci-après – la Politique) est élaborée conformément à la Loi fédérale du 27.07.2006. N° 152-FZ « Sur les données personnelles » (ci-après – FZ-152).

La présente Politique définit la procédure de traitement des données personnelles et les mesures visant à garantir la sécurité des données personnelles au sein de l'EI Gendik R. A. (ci-après – l'Opérateur) afin de protéger les droits et libertés de l'homme et du citoyen lors du traitement de ses données personnelles, y compris la protection des droits à la vie privée, au secret personnel et familial.

La Politique utilise les concepts de base suivants :

traitement automatisé des données personnelles – traitement de données personnelles à l'aide de moyens informatiques ;
blocage des données personnelles - cessation temporaire du traitement des données personnelles (sauf si le traitement est nécessaire pour clarifier les données personnelles) ;
système d'information sur les données personnelles - un ensemble de données personnelles contenues dans des bases de données, ainsi que les technologies de l'information et les moyens techniques assurant leur traitement ;
anonymisation des données personnelles - actions à la suite desquelles il est impossible de déterminer, sans l'utilisation d'informations supplémentaires, l'appartenance des données personnelles à un sujet de données personnelles spécifique ;
traitement des données personnelles - toute action (opération) ou ensemble d'actions (opérations) effectuées avec ou sans l'utilisation de moyens d'automatisation avec des données personnelles, y compris la collecte, l'enregistrement, la systématisation, l'accumulation, le stockage, la clarification (mise à jour, modification), l'extraction, l'utilisation, le transfert (distribution, fourniture, accès), l'anonymisation, le blocage, la suppression, la destruction des données personnelles ;
opérateur - un organe de l'État, un organe municipal, une personne morale ou physique qui, seule ou conjointement avec d'autres personnes, organise et/ou effectue le traitement des données personnelles, et qui détermine les finalités du traitement des données personnelles, la composition des données personnelles à traiter, les actions (opérations) effectuées avec les données personnelles ;
données personnelles – toute information se rapportant à une personne physique directement ou indirectement identifiée ou identifiable (sujet des données personnelles) ;
fourniture de données personnelles – actions visant à divulguer des données personnelles à une personne ou à un cercle de personnes déterminé ;
diffusion de données personnelles - actions visant à divulguer des données personnelles à un cercle indéfini de personnes (transfert de données personnelles) ou à familiariser un cercle illimité de personnes avec des données personnelles, y compris la publication de données personnelles dans les médias, le placement dans les réseaux d'information et de télécommunication ou la fourniture d'un accès aux données personnelles de toute autre manière ;
transfert transfrontalier de données personnelles - transfert de données personnelles sur le territoire d'un État étranger à une autorité d'un État étranger, à une personne physique étrangère ou à une personne morale étrangère.
destruction des données personnelles - actions à la suite desquelles il est impossible de restaurer le contenu des données personnelles dans le système d'information des données personnelles et/ou à la suite desquelles les supports matériels des données personnelles sont détruits ;

L'entreprise est tenue de publier ou de garantir d'une autre manière un accès illimité à la présente Politique de traitement des données personnelles conformément à la partie 2 de l'art. 18.1. de la FZ-152.

2. PRINCIPES ET CONDITIONS DU TRAITEMENT DES DONNÉES PERSONNELLES

2.1 Principes du traitement des données personnelles

Le traitement des données personnelles chez l'Opérateur est effectué sur la base des principes suivants :

légalité et base équitable ;
limitation du traitement des données personnelles à la réalisation de finalités spécifiques, prédéterminées et légitimes ;
interdiction du traitement de données personnelles incompatible avec les finalités de la collecte de données personnelles ;
interdiction de la fusion de bases de données contenant des données personnelles, dont le traitement est effectué à des fins incompatibles entre elles ;
traitement uniquement des données personnelles qui répondent aux finalités de leur traitement ;
adéquation du contenu et du volume des données personnelles traitées aux finalités déclarées du traitement ;
interdiction du traitement de données personnelles excessives par rapport aux finalités déclarées de leur traitement ;
garantie de l'exactitude, de la suffisance et de la pertinence des données personnelles par rapport aux finalités du traitement des données personnelles ;
destruction ou anonymisation des données personnelles à l'atteinte des finalités de leur traitement ou en cas de perte de la nécessité d'atteindre ces finalités, s'il est impossible pour l'Opérateur de remédier aux violations de données personnelles commises, sauf disposition contraire de la loi fédérale.

2.2 Conditions du traitement des données personnelles

L'Opérateur procède au traitement des données personnelles en présence d'au moins une des conditions suivantes :

le traitement des données personnelles est effectué avec le consentement du sujet des données au traitement de ses données personnelles ;
le traitement des données personnelles est nécessaire pour atteindre les objectifs prévus par un traité international de la Fédération de Russie ou par la loi, pour l'exercice et l'accomplissement des fonctions, pouvoirs et devoirs imposés à l'opérateur par la législation de la Fédération de Russie ;
le traitement des données personnelles est nécessaire pour l'administration de la justice, l'exécution d'un acte judiciaire, d'un acte d'un autre organe ou fonctionnaire, soumis à exécution conformément à la législation de la Fédération de Russie sur les procédures d'exécution ;
le traitement des données personnelles est nécessaire pour l'exécution d'un contrat dont le sujet des données est partie ou bénéficiaire ou garant, ainsi que pour la conclusion d'un contrat à l'initiative du sujet des données ou d'un contrat en vertu duquel le sujet des données sera bénéficiaire ou garant ;
le traitement des données personnelles est nécessaire pour l'exercice des droits et intérêts légitimes de l'opérateur ou de tiers ou pour la réalisation d'objectifs socialement significatifs, à condition que les droits et libertés du sujet des données ne soient pas violés ;
le traitement de données personnelles dont l'accès à un cercle illimité de personnes a été fourni par le sujet des données ou à sa demande (ci-après - données personnelles accessibles au public) est effectué ;
le traitement de données personnelles soumises à publication ou à divulgation obligatoire conformément à la loi fédérale est effectué.

2.3 Confidentialité des données personnelles

L'Opérateur et les autres personnes ayant eu accès aux données personnelles sont tenus de ne pas divulguer à des tiers et de ne pas distribuer de données personnelles sans le consentement du sujet des données, sauf disposition contraire de la loi fédérale.

2.4 Sources de données personnelles accessibles au public

À des fins d'information, l'Opérateur peut créer des sources de données personnelles accessibles au public des sujets, y compris des annuaires et des carnets d'adresses. Avec le consentement écrit du sujet, son nom, prénom, patronyme, date et lieu de naissance, poste, numéros de téléphone de contact, adresse e-mail et autres données personnelles communiquées par le sujet des données peuvent être inclus dans les sources de données personnelles accessibles au public.

Les informations sur le sujet doivent être exclues à tout moment des sources de données personnelles accessibles au public à la demande du sujet ou par décision d'un tribunal ou d'autres organes d'État autorisés.

2.5 Catégories particulières de données personnelles

Le traitement par l'Opérateur de catégories particulières de données personnelles concernant la race, la nationalité, les opinions politiques, les convictions religieuses ou philosophiques, l'état de santé, la vie intime, est autorisé dans les cas où :

le sujet des données a donné son consentement écrit au traitement de ses données personnelles ;
les données personnelles ont été rendues publiques par le sujet des données ;
le traitement des données personnelles est effectué conformément à la législation sur l'aide sociale de l'État, à la législation du travail, à la législation de la Fédération de Russie sur les pensions de l'État, sur les pensions de travail ;
le traitement des données personnelles est nécessaire pour protéger la vie, la santé ou d'autres intérêts vitaux du sujet des données ou la vie, la santé ou d'autres intérêts vitaux d'autres personnes et l'obtention du consentement du sujet des données est impossible ;
le traitement des données personnelles est effectué à des fins médico-préventives, dans le but d'établir un diagnostic médical, de fournir des services médicaux et médico-sociaux, à condition que le traitement des données personnelles soit effectué par une personne exerçant professionnellement une activité médicale et tenue, conformément à la législation de la Fédération de Russie, de préserver le secret médical ;
le traitement des données personnelles est nécessaire pour établir ou exercer les droits du sujet des données ou de tiers, ainsi qu'en relation avec l'administration de la justice ;
le traitement des données personnelles est effectué conformément à la législation sur les types d'assurance obligatoires, à la législation sur les assurances.

Le traitement des catégories particulières de données personnelles doit être immédiatement interrompu si les raisons pour lesquelles il était effectué ont été éliminées, sauf disposition contraire de la loi fédérale.

Le traitement des données personnelles sur les casiers judiciaires ne peut être effectué par l'Opérateur que dans les cas et selon les modalités définis par les lois fédérales.

2.6 Données personnelles biométriques

Les informations qui caractérisent les particularités physiologiques et biologiques d'une personne, sur la base desquelles son identité peut être établie - les données personnelles biométriques - ne peuvent être traitées par l'Opérateur qu'avec le consentement écrit du sujet.

2.7 Délégation du traitement des données personnelles à une autre personne

L'Opérateur a le droit de confier le traitement des données personnelles à une autre personne avec le consentement du sujet des données, sauf disposition contraire de la loi fédérale, sur la base d'un contrat conclu avec cette personne. La personne qui effectue le traitement des données personnelles pour le compte de l'Opérateur est tenue de respecter les principes et les règles de traitement des données personnelles prévus par la FZ-152.

2.8 Transfert transfrontalier de données personnelles

L'Opérateur est tenu de s'assurer que l'État étranger sur le territoire duquel le transfert de données personnelles est envisagé assure une protection adéquate des droits des sujets des données, avant de commencer ce transfert.

Le transfert transfrontalier de données personnelles vers des territoires d'États étrangers qui n'assurent pas une protection adéquate des droits des sujets des données peut être effectué dans les cas suivants :

consentement écrit du sujet des données pour le transfert transfrontalier de ses données personnelles ;
exécution d'un contrat dont le sujet des données est partie.

3. DROITS DU SUJET DES DONNÉES PERSONNELLES

3.1 Consentement du sujet des données au traitement de ses données personnelles

Le sujet des données décide de fournir ses données personnelles et donne son consentement à leur traitement librement, de sa propre volonté et dans son propre intérêt. Le consentement au traitement des données personnelles peut être donné par le sujet des données ou son représentant sous toute forme permettant de confirmer sa réception, sauf disposition contraire de la loi fédérale.

L'obligation de fournir la preuve de l'obtention du consentement du sujet des données pour le traitement de ses données personnelles ou la preuve de l'existence des motifs spécifiés dans la FZ-152 incombe à l'Opérateur.

3.2 Droits du sujet des données

Le sujet des données a le droit d'obtenir de l'Opérateur des informations concernant le traitement de ses données personnelles, si ce droit n'est pas limité conformément aux lois fédérales. Le sujet des données a le droit d'exiger de l'Opérateur la rectification de ses données personnelles, leur blocage ou leur destruction si les données personnelles sont incomplètes, obsolètes, inexactes, obtenues illégalement ou ne sont pas nécessaires à la finalité déclarée du traitement, ainsi que de prendre les mesures prévues par la loi pour protéger ses droits.

Le traitement des données personnelles à des fins de promotion de biens, de travaux, de services sur le marché par contact direct avec un consommateur potentiel par des moyens de communication, ainsi qu'à des fins d'agitation politique, n'est autorisé qu'avec le consentement préalable du sujet des données. Ledit traitement de données personnelles est considéré comme étant effectué sans le consentement préalable du sujet des données si la Société ne prouve pas qu'un tel consentement a été obtenu.

L'Opérateur est tenu de cesser immédiatement, à la demande du sujet des données, le traitement de ses données personnelles aux fins susmentionnées.

Il est interdit de prendre des décisions fondées uniquement sur le traitement automatisé de données personnelles qui produisent des effets juridiques pour le sujet des données ou qui affectent autrement ses droits et intérêts légitimes, sauf dans les cas prévus par les lois fédérales, ou avec le consentement écrit du sujet des données.

Si le sujet des données estime que l'Opérateur traite ses données personnelles en violation des exigences de la FZ-152 ou viole autrement ses droits et libertés, le sujet des données a le droit de contester les actions ou l'inaction de l'Opérateur auprès de l'autorité compétente pour la protection des droits des sujets des données ou en justice.

Le sujet des données a le droit à la protection de ses droits et intérêts légitimes, y compris à l'indemnisation des pertes et/ou à la réparation du préjudice moral en justice.

4. GARANTIR LA SÉCURITÉ DES DONNÉES PERSONNELLES

La sécurité des données personnelles traitées par l'Opérateur est assurée par la mise en œuvre de mesures juridiques, organisationnelles et techniques nécessaires pour répondre aux exigences de la législation fédérale dans le domaine de la protection des données personnelles.

Pour empêcher l'accès non autorisé aux données personnelles, l'Opérateur applique les mesures organisationnelles et techniques suivantes :

désignation de responsables chargés de l'organisation du traitement et de la protection des données personnelles ;
restriction de la liste des personnes ayant accès aux données personnelles ;
information des sujets sur les exigences de la législation fédérale et des documents réglementaires de l'Opérateur sur le traitement et la protection des données personnelles ;
organisation de la comptabilité, du stockage et de la circulation des supports d'information ;
identification des menaces à la sécurité des données personnelles lors de leur traitement, et élaboration de modèles de menaces sur cette base ;
développement d'un système de protection des données personnelles basé sur le modèle de menaces ;
vérification de la préparation et de l'efficacité de l'utilisation des moyens de protection de l'information ;
délimitation de l'accès des utilisateurs aux ressources d'information et aux moyens logiciels et matériels de traitement de l'information ;
enregistrement et suivi des actions des utilisateurs des systèmes d'information sur les données personnelles ;
utilisation d'outils antivirus et de moyens de restauration du système de protection des données personnelles ;
application, si nécessaire, de pare-feu, de détection d'intrusion, d'analyse de sécurité et de moyens de protection cryptographique de l'information ;
organisation d'un régime de contrôle d'accès au territoire de l'Opérateur, protection des locaux dotés de moyens techniques pour le traitement des données personnelles.

5. DISPOSITIONS FINALES

Les autres droits et obligations de l'Opérateur en tant qu'opérateur de données personnelles sont déterminés par la législation de la Fédération de Russie dans le domaine des données personnelles.

Les fonctionnaires de l'Opérateur coupables de violation des normes régissant le traitement et la protection des données personnelles sont soumis à une responsabilité matérielle, disciplinaire, administrative, civile ou pénale de la manière établie par les lois fédérales.