Политика ООО «ТЕХНИКО» в отношении обработки персональных данных

1. Назначение

1.1. Политика определяет принципы, цели, условия и способы обработки персональных данных, перечень категорий субъектов и обрабатываемых данных, а также реализуемые Оператором права субъектов персональных данных.

1.2. Политика распространяется на все персональные данные субъектов, которые обрабатываются Оператором с применением средств автоматизации и без применения таких средств.

1.3. Политика подлежит неограниченному раскрытию и публикуется на сайте tehniko.pro.

2. Область применения

2.1. Требования Политики обязательны для всех работников Оператора, имеющих доступ к персональным данным, а также для лиц, которым обработка персональных данных поручена Оператором на основании договора.

2.2. Политика применяется к обработке персональных данных, полученных Оператором в том числе через форму обратной связи на сайте, по электронной почте, по телефону, в ходе переговоров, при заключении и исполнении договоров поставки и сервисного обслуживания, при проведении обучения персонала заказчика, а также в рамках подбора персонала.

3. Термины и обозначения

3.1. Оператор — Общество с ограниченной ответственностью «ТЕХНИКО».

3.2. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

3.3. Обработка персональных данных — любое действие или совокупность действий, совершаемых с персональными данными, включая:

• сбор, запись, систематизацию, накопление;
• хранение, уточнение (обновление, изменение), извлечение;
• использование, передачу (распространение, предоставление, доступ);
• обезличивание, блокирование, удаление, уничтожение.

3.4. Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.

3.5. Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

3.6. Трансграничная передача — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу.

3.7. Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) в результате которых уничтожаются материальные носители персональных данных.

4. Ответственность

4.1. Ответственным за организацию обработки персональных данных является лицо, назначенное приказом генерального директора Оператора.

4.2. Работники Оператора, виновные в нарушении требований настоящей Политики, могут быть привлечены к дисциплинарной, материальной, административной и иной ответственности в соответствии с законодательством Российской Федерации.

4.3. Контроль за соблюдением требований настоящей Политики осуществляет ответственный за организацию обработки персональных данных.

5. Принципы обработки персональных данных

5.1. Обработка персональных данных осуществляется на основе следующих принципов:

• законность, справедливость и прозрачность обработки;
• ограничение обработки достижением конкретных, заранее определённых и законных целей;
• недопущение обработки, несовместимой с целями сбора персональных данных;
• недопущение объединения баз данных, обработка которых осуществляется в несовместимых между собой целях;
• соответствие содержания и объёма обрабатываемых данных заявленным целям обработки, недопущение их избыточности;
• обеспечение точности, достаточности и актуальности данных по отношению к целям обработки;
• уничтожение либо обезличивание персональных данных по достижении целей обработки или при утрате необходимости в их достижении;
• обработка способом, обеспечивающим надлежащую безопасность данных, включая защиту от несанкционированной обработки, случайной утраты, уничтожения или повреждения.

6. Категории субъектов, состав данных и цели обработки

6.1. Оператор не обрабатывает специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни), а также биометрические персональные данные.

6.2. Оператор не осуществляет обработку персональных данных пациентов и не получает доступа к сведениям, составляющим врачебную тайну. Поставляемое Оператором оборудование предназначено для хранения биологического материала; идентификационные сведения об образцах и связанных с ними лицах формируются и хранятся заказчиком в его собственной информационной системе, оператором которой Оператор не является.

7. Условия обработки

7.1. Оператор обрабатывает персональные данные при наличии хотя бы одного из условий, предусмотренных статьёй 6 ФЗ-152, в том числе при наличии согласия субъекта на обработку его персональных данных.

7.2. Согласие на обработку персональных данных предоставляется субъектом путём проставления отметки в соответствующем поле формы обратной связи на сайте либо иным способом, позволяющим подтвердить факт его получения.

7.3. Если Оператор планирует обработку персональных данных с целью, несовместимой с первоначальной целью сбора, Оператор получает отдельное согласие субъекта.

7.4. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом.

7.5. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта на основании заключаемого договора. Лицо, осуществляющее обработку по поручению Оператора, обязано соблюдать принципы и правила обработки, предусмотренные ФЗ-152 и настоящей Политикой.

7.6. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

7.7. Оператор не осуществляет трансграничную передачу персональных данных. В случае возникновения такой необходимости Оператор действует в порядке, предусмотренном статьёй 12 ФЗ-152, с предварительным уведомлением уполномоченного органа.

7.8. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки его персональных данных.

8. Сроки обработки и хранения

8.1. Персональные данные обрабатываются до достижения цели обработки либо до отзыва согласия субъекта, если иной срок не установлен договором или законодательством Российской Федерации.

8.2. Данные лиц, направивших обращение и не вступивших с Оператором в договорные отношения, хранятся не более трёх лет с даты последнего взаимодействия.

8.3. Данные, связанные с исполнением договоров, хранятся в течение сроков, установленных законодательством о бухгалтерском учёте и архивном деле.

8.4. По достижении целей обработки либо в случае утраты необходимости в их достижении персональные данные подлежат уничтожению или обезличиванию, если иное не предусмотрено федеральным законом.

9. Права субъекта персональных данных

9.1. Субъект персональных данных имеет право на:

• получение сведений об Операторе, о месте его нахождения, о наличии у Оператора персональных данных, относящихся к нему, и ознакомление с такими данными;
• требование уточнения своих персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отзыв согласия на обработку персональных данных;
• ограничение обработки персональных данных;
• обжалование действий или бездействия Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;
• защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда;
• реализацию своих прав как самостоятельно, так и через представителя. Оператор вправе запросить у представителя документы, подтверждающие его полномочия.

9.2. Для реализации своих прав субъект направляет Оператору письменный запрос по адресу места нахождения либо на адрес электронной почты info@tehniko.pro. Запрос должен содержать сведения, позволяющие идентифицировать субъекта, и его собственноручную подпись либо электронную подпись.

9.3. Оператор рассматривает запрос в течение тридцати дней с даты его получения.

9.4. Отзыв согласия направляется тем же способом. После получения отзыва Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий тридцати дней, за исключением случаев, когда обработка может быть продолжена на ином законном основании.

10. Меры по обеспечению безопасности

10.1. Безопасность персональных данных обеспечивается реализацией правовых, организационных и технических мер, необходимых для выполнения требований законодательства Российской Федерации в области защиты персональных данных.

10.2. Оператор применяет следующие организационные и технические меры:

• назначение лица, ответственного за организацию обработки персональных данных;
• ограничение состава работников, допущенных к обработке персональных данных, и разграничение прав доступа;
• ознакомление работников с требованиями законодательства и локальных актов Оператора по обработке и защите персональных данных;
• определение угроз безопасности персональных данных и формирование на их основе модели угроз;
• разработка и применение системы защиты персональных данных на основе модели угроз;
• организация учёта, хранения и обращения носителей, содержащих персональные данные;
• применение средств защиты информации, антивирусной защиты и резервного копирования;
• осуществление внутреннего контроля соответствия обработки персональных данных требованиям законодательства;
• оценка вреда, который может быть причинён субъектам в случае нарушения требований ФЗ-152.

10.3. В случае выявления неправомерной обработки персональных данных Оператор в срок, не превышающий трёх рабочих дней, обеспечивает прекращение такой обработки и уведомляет субъекта и уполномоченный орган в порядке, установленном законодательством.

11. Заключительные положения

11.1. Настоящая Политика подлежит пересмотру при изменении законодательства Российской Федерации в области персональных данных, а также при существенном изменении процессов обработки персональных данных у Оператора, но не реже одного раза в три года.

11.2. Актуальная редакция Политики размещается на сайте tehniko.pro и вступает в силу с момента публикации.

11.3. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.

1. Purpose

1.1. The Policy defines the principles, purposes, conditions and methods of processing personal data, the list of categories of data subjects and of the data processed, and the rights of data subjects implemented by the Operator.

1.2. The Policy applies to all personal data of data subjects processed by the Operator both by automated means and without the use of such means.

1.3. The Policy is subject to unlimited disclosure and is published on the tehniko.pro website.

2. Scope

2.1. The requirements of the Policy are binding on all employees of the Operator who have access to personal data, and on persons to whom the processing of personal data has been entrusted by the Operator under a contract.

2.2. The Policy applies to the processing of personal data received by the Operator, including through the contact form on the website, by e-mail, by telephone, in the course of negotiations, when concluding and performing supply and service contracts, when training the customer's personnel, and in the course of recruitment.

3. Terms and definitions

3.1. Operator — TEHNIKO Limited Liability Company.

3.2. Personal data — any information relating directly or indirectly to an identified or identifiable natural person (the data subject).

3.3. Processing of personal data — any action or set of actions performed with personal data, including:

• collection, recording, systematisation, accumulation;
• storage, clarification (updating, modification), retrieval;
• use, transfer (dissemination, provision, access);
• depersonalisation, blocking, deletion, destruction.

3.4. Provision of personal data — actions aimed at disclosing personal data to a specific person or a specific group of persons.

3.5. Dissemination of personal data — actions aimed at disclosing personal data to an indefinite group of persons.

3.6. Cross-border transfer — the transfer of personal data to the territory of a foreign state, to a foreign state authority, or to a foreign natural or legal person.

3.7. Destruction of personal data — actions as a result of which it becomes impossible to restore the content of personal data in an information system and/or as a result of which the material carriers of personal data are destroyed.

4. Responsibility

4.1. The person responsible for organising the processing of personal data is the person appointed by order of the General Director of the Operator.

4.2. Employees of the Operator found guilty of breaching the requirements of this Policy may be held liable under disciplinary, material, administrative and other liability in accordance with the legislation of the Russian Federation.

4.3. Compliance with the requirements of this Policy is monitored by the person responsible for organising the processing of personal data.

5. Principles of processing personal data

5.1. The processing of personal data is carried out on the basis of the following principles:

• lawfulness, fairness and transparency of processing;
• limitation of processing to the achievement of specific, predefined and lawful purposes;
• prohibition of processing incompatible with the purposes for which the personal data was collected;
• prohibition of combining databases processed for purposes that are incompatible with one another;
• correspondence of the content and volume of the data processed to the declared purposes of processing, and prohibition of excessive data;
• ensuring the accuracy, sufficiency and relevance of the data in relation to the purposes of processing;
• destruction or depersonalisation of personal data once the purposes of processing have been achieved or the need to achieve them has been lost;
• processing in a manner that ensures appropriate security of the data, including protection against unauthorised processing, accidental loss, destruction or damage.

6. Categories of data subjects, composition of data and purposes of processing

6.1. The Operator does not process special categories of personal data (concerning racial or ethnic origin, political opinions, religious or philosophical beliefs, state of health or intimate life), nor does it process biometric personal data.

6.2. The Operator does not process patients' personal data and does not obtain access to information constituting medical confidentiality. The equipment supplied by the Operator is intended for the storage of biological material; identification data on samples and on the persons associated with them is created and stored by the customer in the customer's own information system, of which the Operator is not the operator.

7. Conditions of processing

7.1. The Operator processes personal data where at least one of the conditions provided for by Article 6 of Federal Law No. 152-FZ is met, including where the data subject has given consent to the processing of their personal data.

7.2. Consent to the processing of personal data is given by the data subject by ticking the relevant box in the contact form on the website or in another manner allowing the fact of its receipt to be confirmed.

7.3. If the Operator intends to process personal data for a purpose incompatible with the original purpose of collection, the Operator obtains separate consent from the data subject.

7.4. The Operator and other persons who have obtained access to personal data are obliged not to disclose it to third parties and not to disseminate personal data without the consent of the data subject, unless otherwise provided for by federal law.

7.5. The Operator is entitled to entrust the processing of personal data to another person with the consent of the data subject on the basis of a contract concluded for that purpose. A person processing data on the Operator's instructions is obliged to observe the principles and rules of processing provided for by Federal Law No. 152-FZ and by this Policy.

7.6. The recording, systematisation, accumulation, storage, clarification and retrieval of the personal data of citizens of the Russian Federation are carried out using databases located in the territory of the Russian Federation.

7.7. The Operator does not carry out cross-border transfer of personal data. Should such a need arise, the Operator acts in the manner provided for by Article 12 of Federal Law No. 152-FZ, with prior notification of the authorised body.

7.8. The Operator does not take decisions giving rise to legal consequences in respect of a data subject solely on the basis of automated processing of their personal data.

8. Periods of processing and storage

8.1. Personal data is processed until the purpose of processing has been achieved or until the data subject withdraws consent, unless another period is established by contract or by the legislation of the Russian Federation.

8.2. The data of persons who have sent an enquiry and have not entered into contractual relations with the Operator is stored for no more than three years from the date of the last interaction.

8.3. Data relating to the performance of contracts is stored for the periods established by the legislation on accounting and on archiving.

8.4. Once the purposes of processing have been achieved, or where the need to achieve them has been lost, personal data is subject to destruction or depersonalisation, unless otherwise provided for by federal law.

9. Rights of the data subject

9.1. A data subject has the right to:

• obtain information about the Operator, its location, whether the Operator holds personal data relating to the data subject, and to review such data;
• demand the clarification, blocking or destruction of their personal data where the data is incomplete, outdated, inaccurate, unlawfully obtained or not necessary for the declared purpose of processing;
• withdraw consent to the processing of personal data;
• restrict the processing of personal data;
• appeal against the actions or omissions of the Operator to the authorised body for the protection of the rights of data subjects or through the courts;
• protect their rights and lawful interests, including compensation for losses and for moral harm;
• exercise their rights either in person or through a representative. The Operator is entitled to request from the representative documents confirming their authority.

9.2. To exercise their rights, the data subject sends the Operator a written request to its registered address or to the e-mail address info@tehniko.pro. The request must contain information allowing the data subject to be identified, together with their handwritten signature or electronic signature.

9.3. The Operator reviews the request within thirty days of the date of its receipt.

9.4. A withdrawal of consent is sent in the same manner. Upon receipt of the withdrawal, the Operator ceases the processing of the personal data and destroys it within a period not exceeding thirty days, except where processing may be continued on another lawful basis.

10. Security measures

10.1. The security of personal data is ensured by the implementation of legal, organisational and technical measures necessary to comply with the requirements of the legislation of the Russian Federation on the protection of personal data.

10.2. The Operator applies the following organisational and technical measures:

• appointment of a person responsible for organising the processing of personal data;
• limitation of the group of employees admitted to the processing of personal data, and differentiation of access rights;
• familiarisation of employees with the requirements of the law and of the Operator's internal regulations on the processing and protection of personal data;
• identification of threats to the security of personal data and the formation of a threat model on that basis;
• development and application of a personal data protection system based on the threat model;
• organisation of the recording, storage and handling of carriers containing personal data;
• use of information protection tools, anti-virus protection and backup;
• internal monitoring of the conformity of personal data processing with the requirements of the law;
• assessment of the harm that may be caused to data subjects in the event of a breach of the requirements of Federal Law No. 152-FZ.

10.3. Where unlawful processing of personal data is identified, the Operator ensures that such processing is terminated within a period not exceeding three business days and notifies the data subject and the authorised body in the manner established by law.

11. Final provisions

11.1. This Policy is subject to review upon changes in the legislation of the Russian Federation on personal data, and upon a material change in the Operator's personal data processing activities, but at least once every three years.

11.2. The current version of the Policy is published on the tehniko.pro website and takes effect from the moment of publication.

11.3. Matters not governed by this Policy are resolved in accordance with the legislation of the Russian Federation.

12. Language of the document

12.1. This English text is a translation of the Russian original provided for the convenience of the reader. The Russian version is the version having legal force; in the event of any discrepancy between the texts, the Russian version prevails.