Политика защиты персональных данных — ETALON PLUS S.R.L.

I. КОНТАКТНЫЕ ДАННЫЕ ОПЕРАТОРА

1.1. ETALON PLUS S.R.L. (далее — Компания), зарегистрирована в Государственном регистре юридических лиц 15.09.2011, государственный идентификационный номер 1011600031368, юридический адрес: MD-2037, мун. Кишинёв, ул. Мештерул Маноле, 5А, оф. 105.

II. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Персональные данные, обрабатываемые в Компании, обрабатываются в соответствии с положениями действующего законодательства и применимыми международными нормами, регулирующими защиту персональных данных.

2.2. Обработка персональных данных в Компании основана на следующих принципах:

2.2.1. законность, справедливость и прозрачность — персональные данные обрабатываются добросовестно и в соответствии с действующими нормами закона, справедливо и прозрачно по отношению к субъекту данных;

2.2.2. ограничение цели — персональные данные собираются для определённых, явных и законных целей и не обрабатываются в дальнейшем способом, несовместимым с этими целями;

2.2.3. минимизация данных — персональные данные являются адекватными, относящимися к делу и ограниченными тем, что необходимо для целей их обработки;

2.2.4. точность — персональные данные являются точными и при необходимости обновляются; обеспечивается, чтобы неточные с учётом целей обработки персональные данные были без промедления удалены или исправлены;

2.2.5. ограничение хранения — персональные данные хранятся не дольше, чем это необходимо для целей их обработки; данные могут храниться дольше в целях архивирования в общественных интересах, в целях научного или исторического исследования либо в статистических целях — при условии применения надлежащих технических и организационных мер для гарантии прав и свобод субъекта данных;

2.2.6. целостность и конфиденциальность — обработка персональных данных должна вестись в безопасных условиях, включающих соответствующие технические или организационные меры, которые обеспечивают надлежащую безопасность персональных данных, в том числе защиту от несанкционированной или незаконной обработки, а также от случайной утраты, уничтожения или повреждения.

III. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Правовыми основаниями обработки персональных данных в Компании являются:

3.1.1. правовые обязанности Компании согласно законодательству об обществах с ограниченной ответственностью и применимой нормативной базе;

3.1.2. исполнение договора, стороной которого является субъект персональных данных, либо принятие мер до заключения договора по его требованию;

3.1.3. законный интерес Компании — при условии, что этот интерес не наносит ущерба интересам либо основным правам и свободам субъекта персональных данных;

3.1.4. согласие субъекта данных (в соответствующих случаях).

IV. ПОРЯДОК СБОРА И ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Компания обрабатывает данные, которые субъекты персональных данных предоставляют непосредственно, а также данные, которые формируются впоследствии на их основе.

4.2. Компания обрабатывает персональные данные, обнародованные самими субъектами данных, в пределах действующего законодательства.

4.3. Персональные данные обрабатываются вручную, автоматизированно или смешанным способом.

V. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Персональные данные обрабатываются в Компании в следующих целях, в зависимости от случая:

5.1.1. заключение, исполнение и прекращение договорных отношений с клиентами в целях оказания Компанией услуг и поставки продукции, а также принятие мер до заключения договора по требованию клиентов;

5.1.2. заключение, ведение и прекращение договорных отношений с Компанией в целях приобретения Компанией товаров, услуг и работ;

5.1.3. заключение, ведение и прекращение трудовых отношений с Компанией, прохождение производственной практики, содействие в трудоустройстве, продвижение по службе, обеспечение безопасности работника, контроль объёма и качества исполнения служебных обязанностей;

5.1.4. участие в обучающих мероприятиях и вебинарах, организуемых Компанией;

5.1.5. предоставление продукции и услуг Компании, в том числе в онлайн-среде, клиентам Компании и иным физическим лицам, которые пользуются услугами эпизодически;

5.1.6. исполнение правовых обязанностей по предоставлению информации, содержащей в том числе персональные данные, по запросу публичных органов, наделённых таким правом, частноправовых организаций, физических лиц, их представителей, а также иных заявителей, которые в силу закона вправе требовать от Компании предоставления информации;

5.1.7. взыскание задолженности, принудительное исполнение сумм, причитающихся Компании, ведение арестов и обращения взыскания;

5.1.8. предоставление информации и ответов, рассмотрение заявлений, обращений и жалоб любого характера, направленных Компании различными лицами по любым каналам, включая онлайн-чаты;

5.1.9. наблюдение, безопасность и охрана людей, помещений и имущества с помощью видеокамер, установленных в помещениях Компании;

5.1.10. запись сообщений по цифровым и аналоговым каналам, а также телефонных звонков и разговоров в целях повышения эффективности и качества обслуживания клиентов, заключения и исполнения договоров с клиентами на оптимальных условиях;

5.1.11. ведение прямого маркетинга с использованием средств связи (электронная почта, SMS, мессенджеры, чат-боты), а также рассылка новостных писем и иных коммерческих сообщений для продвижения продукции и услуг Компании, конкурсов и акций, проводимых Компанией и её партнёрами, — на основании согласия субъекта данных, а также иные сообщения в рамках законного интереса Компании;

5.1.12. проверка удовлетворённости клиента и качества приобретённых услуг и продукции — на основании законного интереса Компании в постоянном улучшении своей продукции и услуг;

5.1.13. иные цели, связанные с деятельностью Компании.

5.2. Персональные данные обрабатываются в Компании только в указанных целях, о которых сообщено в порядке, установленном действующим законодательством, без стремления получить сведения для целей, помимо перечисленных.

5.3. Компания внедрила автоматизированную систему поддержки клиентов на своём сайте, а также в мессенджерах Telegram и Viber; в её основе — решение на базе искусственного интеллекта, которое мгновенно отвечает на различные вопросы клиентов. Эта система не принимает автоматизированных решений в отношении клиентов.

VI. СУБЪЕКТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Обработка персональных данных в Компании касается следующих лиц:

6.1.1. работники и учредители Компании;

6.1.2. физические лица, эпизодически пользующиеся услугами и продукцией Компании;

6.1.3. клиенты — физические лица, потенциальные клиенты Компании;

6.1.4. контактные лица, законные или договорные представители, работники либо физические лица, назначенные клиентом Компании, содолжники, поручители, бенефициарные владельцы, а также члены их семей;

6.1.5. контактные лица, законные или договорные представители, работники либо физические лица, назначенные договорным партнёром Компании;

6.1.6. лица, претендующие на работу в Компании, проходящие в Компании производственную практику или участвующие в обучающих сессиях;

6.1.7. лица, посещающие офис, производственную зону или строительные площадки Компании, где установлены камеры видеонаблюдения, — без цели идентификации личности;

6.1.8. посетители официальных сайтов Компании, включая её официальные страницы в социальных сетях и чат-боты.

6.2. Информирование субъекта персональных данных о цели и условиях обработки персональных данных обеспечивается надлежащими уведомлениями в формах, предоставляемых ему в рамках оказываемых Компанией услуг (заявления, договоры, анкеты, декларации), через сайт Компании и иными каналами связи, установленными в Компании.

VII. КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. В зависимости от цели обработки персональных данных и (или) характера договорных отношений с Компанией (работник, клиент, партнёр), а также с учётом специфики деятельности Компании могут обрабатываться следующие категории персональных данных:

7.1.1. общие идентификационные данные: фамилия, имя, отчество и псевдоним (при наличии), дата и место рождения, гражданство;

7.1.2. контактные данные: место жительства и место пребывания (при необходимости), номер телефона/факса, адрес электронной почты, а также учётные записи в социальных сетях — в рамках служб поддержки и чат-ботов, а также при участии в конкурсах, проводимых Компанией в социальных сетях;

7.1.3. данные, присвоенные публичными органами: личный цифровой код, серия и номер документа, удостоверяющего личность;

7.1.4. профессиональные данные: профессия, специальность, род занятий, наименование работодателя либо характер собственной деятельности;

7.1.5. данные о семейном положении: семейное состояние, находящиеся на иждивении лица;

7.1.6. электронная подпись, собственноручная подпись;

7.1.7. изображение: фотография (из предоставленного документа, удостоверяющего личность) и видео (записанное камерами видеонаблюдения, установленными в помещениях Компании);

7.1.8. голос: записанный в ходе телефонных разговоров с представителями Компании;

7.1.9. данные о состоянии здоровья — в отдельных случаях, предусмотренных законом;

7.1.10. технические данные при использовании услуг, оказываемых онлайн, или при посещении сайта Компании: IP-адрес, тип и версия браузера, операционная система и платформа, тип устройства и марка мобильного устройства, а также иные сведения, содержащиеся в файлах cookie;

7.1.11. иные данные, необходимые для деловых целей.

7.2. Компания избегает обработки данных особой категории (расовое или этническое происхождение, политические и религиозные убеждения, сведения о состоянии здоровья или интимной жизни, а также о судимости), за исключением случаев, когда:

7.2.1. обработка необходима для исполнения обязанностей и осуществления отдельных прав Компании — в той мере, в какой это разрешено действующим законодательством;

7.2.2. обработка касается персональных данных, которые были обнародованы;

7.2.3. обработка необходима для установления или осуществления права в суде;

7.2.4. обработка необходима для предоставления льгот клиентам или работникам Компании.

7.3. До заключения договора (с работником, клиентом, деловым партнёром и др.), на этапе его подготовки, персональные данные могут обрабатываться для подготовки предложений или заказов на приобретение либо для выполнения иных требований, связанных с заключением договора.

7.4. Отказ субъекта данных предоставить Компании персональные данные, необходимые для выполнения предложенных или запрошенных действий, может повлечь невозможность оказания услуг и (или) достижения иных целей обработки данных Компанией.

VIII. СРОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1. Персональные данные обрабатываются в Компании в установленные сроки — так, чтобы идентификация субъектов персональных данных была возможна в течение периода, не превышающего срок, необходимый для достижения целей, ради которых данные собраны и впоследствии обрабатываются.

8.2. При этом Компания обязана по закону хранить все документы и сведения, необходимые для соблюдения мер предосторожности в отношении клиентов и бенефициарных владельцев, в течение 5 лет с момента прекращения деловых отношений — в том числе для их предоставления по запросу уполномоченных органов и (или) использования в качестве доказательств в суде. В порядке исключения и только по запросу надзорных органов Компании срок хранения отдельных видов сведений может быть продлён на период, не превышающий дополнительных 5 лет.

8.3. Видеоизображения, обрабатываемые средствами видеонаблюдения, хранятся 60 дней. В порядке исключения срок хранения может быть продлён, если это предписано или допускается применимым законодательством. Компания может хранить видеозаписи дольше на основании законного интереса, а именно: защита прав и интересов компании либо субъекта персональных данных в суде, взаимодействие с публичными органами, проведение внутренних проверок и расследований.

8.4. Аудиозаписи (телефонные разговоры) могут храниться до 3 лет. Срок хранения записей предписан или допускается применимым законодательством.

8.5. По истечении срока обработки персональные данные уничтожаются или удаляются — в зависимости от носителя, на котором они хранились, — с ведением записей об этом в соответствии с внутренними нормативными актами. В случае прямо предусмотренных законом обязанностей такие данные могут остаться на хранении в качестве архивного документа в соответствии с нормами Государственной архивной службы.

IX. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ

9.1. Сведения, содержащие персональные данные, рассматриваются в Компании как конфиденциальные. Эти сведения не передаются третьим лицам, за исключением случаев, когда Компания обязана по закону предоставить такие сведения публичным органам, надзорным и налоговым органам и (или) судебным инстанциям либо иным органам, уполномоченным законом, в соответствии с положениями действующих нормативных актов.

9.2. Передача персональных данных третьим лицам документируется и предварительно проходит тщательный анализ цели и правового основания намерения раскрыть определённый объём персональных данных. Данные могут передаваться третьим лицам в следующих случаях:

9.2.1. договорным партнёрам Компании, уполномоченным Компанией, — в объёме и пределах, необходимых для достижения целей, ради которых эти данные обрабатываются;

9.2.2. надзорным, налоговым органам и (или) судебным инстанциям либо иным уполномоченным законом органам — в случаях, когда Компания обязана предоставить такие сведения в соответствии с действующим законодательством. 9.3. Компания передаёт персональные данные организациям, оказывающим услуги доставки, если клиент заказал доставку товара на дом.

9.4. Компания вправе передавать персональные данные компаниям по взысканию задолженности, компаниям, которым Компания передала на аутсорсинг отдельные услуги, а также иным лицам, действующим в качестве уполномоченных Компанией лиц, согласно полученным от Компании инструкциям.

9.5. При передаче персональных данных третьим лицам получатель предупреждается о необходимости обрабатывать эти данные только в определённых целях — посредством информационной пометки в нижнем колонтитуле любого документа, созданного и отнесённого в Компании к категории «Конфиденциально»; поставщикам и деловым партнёрам Компании передаются инструкции о порядке обработки данных и от них запрашиваются гарантии безопасности переданных данных (договорные условия, соглашение о конфиденциальности, профильные сертификаты и др.).

X. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

10.1. Субъекты персональных данных, обрабатываемых Компанией на основании действующего законодательства, имеют следующие права:

10.1.1. бесплатно получать сведения о своих персональных данных, обрабатываемых в Компании, о цели обработки, категориях используемых данных и получателях либо категориях получателей, которым эти данные раскрываются, и т. д.;

10.1.2. иметь свободный доступ к своим персональным данным, включая право снимать копии этих данных, за исключением ситуаций, предусмотренных действующим законодательством;

10.1.3. право вмешательства в персональные данные, предусматривающее исправление, обновление, блокирование или удаление персональных данных, обработка которых противоречит закону, в частности ввиду неполноты или неточности данных;

10.1.4. право в любой момент бесплатно возразить — по обоснованным и законным причинам, связанным с его конкретной ситуацией, — против того, чтобы относящиеся к нему персональные данные являлись предметом обработки, за исключением случаев, когда законом установлено иное;

10.1.5. обращаться в орган контроля за обработкой персональных данных в случае нарушения действующего законодательства о защите персональных данных;

10.1.6. право в любой момент отозвать ранее данное согласие на обработку персональных данных — без ущерба для законности обработки, осуществлённой до его отзыва;

10.1.7. право не быть объектом индивидуального решения, что предполагает право требовать полной или частичной отмены любого индивидуального решения, порождающего правовые последствия для его прав и свобод и основанного исключительно на автоматизированной обработке персональных данных, предназначенной для оценки отдельных аспектов его личности;

10.1.8. право обратиться в суд с требованием о возмещении материального или морального вреда, причинённого незаконной обработкой персональных данных;

10.1.9. иные права, предусмотренные законодательством Республики Молдова, а также применимыми международными нормами.

10.2. Для осуществления одного или нескольких прав, связанных с обработкой персональных данных, субъект данных может направить письменное подписанное обращение (заявление или жалобу) по адресу Компании: мун. Кишинёв, ул. Мештерул Маноле, 5А, оф. 105, либо по электронной почте: protectia.datelor.csg@gmail.com. Любое обращение, направленное Компании, обрабатывается надлежащим образом в установленном в Компании порядке.

XI. МЕРЫ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ

11.1. Компания внедрила комплексную систему мер безопасности персональных данных и продолжает развивать технические и организационные меры для обеспечения надлежащего уровня защиты данных.

11.2. Если вид обработки, в частности основанный на использовании новых технологий, способен породить повышенный риск для прав и свобод субъектов данных, Компания проводит оценку воздействия операций обработки на защиту персональных данных.

11.3. Подразделения Компании при внедрении автоматизированных решений, а также новых продуктов и услуг, предполагающих применение новых технологий, включая автоматизированную обработку данных, до их внедрения проводят анализ воздействия предполагаемых операций обработки на защиту персональных данных и запрашивают мнение (заключение) лица, ответственного за защиту персональных данных.

11.4. В Компании применяются передовые методы и технологии безопасности вместе со строгими политиками для работников и рабочими процедурами (включая антивирусные решения, межсетевые экраны, системы шифрования информации). Все операционные системы и системы обработки данных работают в защищённых средах, чтобы информация была защищена от несанкционированного доступа. Доступ к информации и системам Компании предоставляется только уполномоченным лицам и в чётко определённых целях, в строгом соответствии с внутренними политиками безопасности. Работники при приёме на работу проходят инструктаж о важности сохранения конфиденциальности информации, а впоследствии — тематическое обучение.

11.5. До предоставления доступа к системе учёта персональных данных работники Компании информируются о том, что использование системы контролируется и что несанкционированная обработка данных влечёт ответственность в соответствии с действующим законодательством.

11.6. При приёме на работу работники проходят первичное обучение, организуемое компанией. В ходе этого процесса работники информируются о порядке обработки персональных данных в Компании в соответствии с требованиями законодательства о защите персональных данных.

11.7. Осуществляется идентификация и аутентификация пользователей, получающих доступ к сведениям из системы учёта персональных данных, а также формирование записей аудита безопасности в системе — в соответствии с положениями внутренних нормативных актов Компании.

11.8. Управление учётными записями доступа пользователей к системам учёта персональных данных обеспечивается автоматизированными средствами поддержки в соответствии с положениями внутренних нормативных актов Компании.

11.9. Если трудовые отношения работника Компании прекращены, приостановлены или изменены и в результате новые задачи не требуют доступа к персональным данным, а также в случае изменения прав доступа работника либо его отсутствия на рабочем месте в течение длительного периода (более 2 месяцев), доступ пользователя к системе отзывается или приостанавливается.

11.10. В целях выявления и предотвращения случаев предоставления несанкционированных прав доступа лица, ответственные за системы учёта персональных данных, обеспечивают регулярный пересмотр — не реже одного раза в год, а также после любого изменения статуса пользователя или должности работника — прав доступа пользователей к соответствующим системам.

11.11. Помещения, где осуществляется обработка персональных данных (где размещены компоненты систем учёта персональных данных), оснащены техническими средствами безопасности, обеспечивающими сохранность носителей данных, ограничение доступа посторонних лиц, а также визуальный контроль лиц, имеющих доступ в эти помещения. Доступ ограничен и разрешён только лицам с необходимым допуском и только в рабочее время.

11.12. Обеспечивается выявление, регистрация и устранение недостатков программного обеспечения, предназначенного для обработки сведений из систем учёта персональных данных, включая установку исправлений и пакетов обновления, а также защиту от вредоносных программ (вирусов).

11.13. Применяются технологии и средства обнаружения незаконных доступов и проникновений, позволяющие отслеживать события и выявлять атаки, в том числе обеспечивается выявление попыток несанкционированного использования сведений из системы учёта персональных данных.

11.14. Создание резервных копий персональных данных в компонентах, относящихся к системам учёта персональных данных, обеспечивается в соответствии с положениями внутренних нормативных актов.