個人資料處理政策

1.1. 本文件定义了非政府组织"Insango"（以下简称公司）关于处理个人数据（以下简称PD）的政策。根据俄罗斯联邦的立法，公司是个人数据的运营商。

1.2. 本政策是根据俄罗斯联邦关于个人数据的现行立法制定的:
-俄罗斯联邦27.07.2006第152–FZ号"关于个人数据"（以下简称-152-FZ）的联邦法律，其中规定了处理个人数据的基本原则和条件，以及与处理个人数据相关的关系参与者;
-俄罗斯联邦政府2012年11月11日第1119号法令"关于批准在个人数据信息系统中处理个人数据时保护个人数据的要求";
-俄罗斯联邦政府2008年15月9日第687号法令"关于批准关于不使用自动化工具进行个人数据处理的具体规定"。

1.3. 本政策的有效性适用于使用自动化工具和不使用此类工具进行的个人数据的收集，记录，系统化，积累，存储，澄清（更新，修改），提取，使用，转移（分发，提供，访问），去人
1.4. 这项政策将受到修订,如有必要,在俄罗斯联邦关于个人资料的立法发生变化时进行更新。

2.1. 个人资料的处理是根据以下原则进行的:
-个人数据处理是在合法和公平的基础上进行的;
-个人数据的处理仅限于实现特定，预定义和
合法目标;
-不允许与收集个人数据的目的不相容的个人数据处理;
-不允许合并包含个人数据的数据库，其处理
是为了彼此不相容的目的而进行的;
-处理的PD的含量和体积符合规定的处理目标。
处理后的PD与所述的PD不冗余
处理申请的目的;
-在处理个人数据时，确保个人数据的准确性及其充分性，并且，如果
必要的是，个人数据与所述处理目的的相关性。;
-个人数据的存储以一种形式进行，使得可以确定个人数据的主题不超过处理个人数据的目的要求，除非个人数据的存储期限由联邦法律规定，一方，受益人,
是PD科目;
-已处理的个人资料在达到目标后会被销毁或人格解体
处理，在失去实现这些目标的需要的情况下，以及根据PD主体或其法定代表人的规定形式提出的要求，要求销毁或取消已处理的PD，除非联邦法律另有规定。

Z.1． 个人数据处理是按照联邦法律"关于个人数据"制定的原则和规则进行的。 在下列情况下处理个人数据:
-PD处理是在PD同意的情况下进行的，但须处理其个人数据;
-PD处理是实现俄罗斯联邦国际协议或法律规定的目标所必需的，以执行和履行俄罗斯联邦立法赋予运营商的职能，权力和职责。
;
-处理个人资料是执行合约所必需的，其中任何一方
该PD主体是受益人，以及就该PD主体的倡议达成协议或根据该PD主体将成为受益人的协议;
-如果无法获得PD主体的同意，PD处理对于保护PD主体的生命，健康或其他切身利益是必要的;
-PD处理对于行使运营商或第三方的权利和合法利益或实现具有社会意义的目标是必要的，前提是PD主体的权利和自由不受侵犯。;
-个人资料是为统计或其他研究目的而处理的，但须强制性不披露个人资料。 例外情况是处理个人数据，以便通过使用通信手段与潜在消费者直接联系，在市场上推广商品，作品和服务。;
-PD正在处理中，由PD主体或应其要求（以下简称PD主体公开提供的PD）向无限数量的人员提供访问权限。
3.2. 在下列情况下，公司可能会处理有关个人数据主体健康状况的数据::
-个人资料当事人已书面同意处理其个人资料;
-根据国家社会援助立法，劳动立法，俄罗斯联邦关于国家养老金提供养老金的立法，关于劳动养老金;
-不可能为了保护PD员工的生命、健康或其他切身利益或他人的生命、健康或其他切身利益而获得PD主体的同意;
-确立或行使雇员或第三方的权利，以及与司法有关的权利;
-根据强制类型保险的立法，与保险立法。
3.3. 生物识别个人数据（表征一个人的生理和生物特征的信息，在此基础上可以确定他的身份，并且运营商用于确定个人数据主体的身份）不在公司处理。
3.4. 仅基于自动PD处理的决定不会对PD主体产生法律后果或以其他方式影响其权利和合法利益。
3.5. 如果无法获得主体对处理其个人数据的书面同意，则个人数据主体或其代表可以以允许确认收到此类同意的任何其他形式给予同意。
3.6. 在将PD处理分配给另一个人时，除非联邦法律另有规定，否则公司与此人签订协议（以下称为运营商订单）并获得PD主体的同意。 与此同时，公司代表运营商要求代表公司处理个人数据的人员遵守联邦法律（关于个人数据）规定的个人数据处理原则和规则。
3.7. 在公司委托他人处理个人资料的情况下，公司对指定人士的行为负责。 代表公司处理个人数据的人对公司负责。
3.8. 除非联邦法律另有规定，否则公司承诺并责成获得个人数据访问权限的其他人在未经个人数据主体同意的情况下不向第三方披露或分发个人数据。
Z.9． PD处理的条款是根据与PD主体的合同有效期、2000年10月6日的Rosarchive命令（组织活动中产生的标准管理文件清单，说明保留期限）、时效以及俄罗斯银行的其他法律要求和监管文件确定的。

4.1. 根据联邦法律（关于个人数据）的要求，公司有义务:
-应个人资料私隐专员的要求，向个人资料私隐专员提供有关处理个人资料的资料，或在法律上拒绝：自该日起三十天内
收到PD主体或其代表的请求;
-应PD主体的要求，劫持，阻止或删除已处理的PD，如果
个人数据不完整，过时，不准确，非法获取或对于处理的陈述目的不是必需的：在个人数据主体或其代表提供确认这些事实的信息之日起不超过七个工作日;
-保存PD受试者的请求记录，其中应记录PD受试者对PD的请求，以及为这些请求提供PD的事实;
-在未从PD主体接收到PD的情况下将PD处理通知PD主体。 以下情况是例外情况:
本公司已通知PD主体处理其PD;
个人资料是公司在执行PD主体是一方或受益人的协议时收到的，或根据
联邦法律;
PD由PD主体公开提供或从公开获得
可用的来源;
本公司处理个人资料作统计或其他用途
研究目的，用于开展专业活动
记者或科学、文学或其他创作活动，但不得侵犯PD主题的权利和合法利益。;
向PD主体提供PD处理通知中包含的信息侵犯了第三方的权利和合法利益。
-如已达致处理个人资料的目的，应立即停止处理个人资料，并在不超过处理个人资料目的之日起三十天内销毁有关个人资料，除非个人资料当事人是一方的协议、公司与个人资料当事人之间的另一协议另有规定，或公司根据第152-FZ（个人资料）或其他联邦法律规定的理由，未经个人资料当事人同意，无权处理个人资料保护
;
-如果PD主体撤回对其个人数据处理的同意，则停止处理
个人资料及销毁个人资料，但本公司与个人资料当事人签订的协议另有规定者除外。 公司有义务通知PD主体有关PD的销毁。;
-如收到PD主体要求停止处理为在市场上推广商品、工程、服务而收到的PD，请立即停止处理PD;
-销毁文件(资料携带者、资料库内的纪录)时，必须不包括回收载有个人资料的资料(在切纸机内压碎、燃烧、压碎、变成不成形的块状物、使用标准资料库管理系统或操作系统删除/清零资料库内的纪录)。 如果根据个人资料保护主体、其法定代表人或保护个人资料保护主体权利的授权机构要求查阅个人资料保护主体的个人资料而销毁个人资料保护主体，则会向个人资料保护主体发出通知。 在
如查阅个人资料的要求已由授权机构发出，以保障个人资料
关于个人资料当事人的权利，该通知亦会送交指定机构。
-在处理个人数据时，必须确保个人数据的准确性，其充分性，以及在必要时与个人数据处理目的的相关性。 应采取措施删除或澄清不完整或不准确的数据。 澄清意味着Ispdn和有形媒体中以电子形式的个人数据的组成发生变化，随后产生和考虑新的有形数据
中等。;
-如根据联邦法律规定，必须提供个人资料
法律和PD主体拒绝提供其个人数据，收集个人数据的公司员工必须向PD主体解释此类拒绝的法律后果。 解释可以以电子方式提供(复选框、通知等).），在公司的网站和个人帐户。

5.1. 在处理个人资料时，公司采取必要的法律、组织和技术措施，以保护个人资料免受非法或意外查阅、破坏、修改、阻塞、复制、提供、分发个人资料，以及其他与个人资料有关的非法行动。 5.2
. 通过以下措施确保个人数据的安全性:
-在PD信息系统中处理PD安全威胁时识别PD安全威胁;
-使用组织和技术措施确保个人数据的安全
在满足个人数据保护要求所必需的个人数据信息系统中对其进行处理，以确保俄罗斯联邦政府建立的个人数据安全水平。;
-在启用个人资料资讯系统前，评估为确保个人资料安全而采取的措施的成效;
-考虑到机器媒体个人数据;
-检测未经授权访问个人数据的事实并采取措施;
-恢复因更改或销毁的个人资料
未经授权进入他们;
-制订查阅在个人资料资讯系统内处理的个人资料的规则，例如
以及确保在
个人资料资讯系统;
-由经营者任命负责个人组织的人
资料处理;
-控制所采取的措施，以确保个人资料的安全和水平
个人资料资讯系统的保安。

6.1. 根据联邦法律（关于个人数据，PD主体有权接收与公司处理PD相关的信息，即:
-公司确认PD处理的事实;
-公司处理PD的法律依据和目的;
-公司使用的PD处理方法;
-公司的名称和位置，有关人员的信息（除外
(公司雇员)有权查阅或可能向其披露个人资料的人士
根据与运营商的协议或联邦法律提供的个人数据;
-经处理的与有关个人资料当事人有关的个人资料，即其接收来源，除非联邦另有规定提交该等资料的程序
法律;
-公司处理PD的条款，包括存储的条款;
-受控人行使联邦法律规定的权利的程序（关于个人
数据);
-有关已完成或拟议的跨境数据传输的信息;
-处理个人资料的人士的姓名、姓名、父系及地址
代表公司处理的数据，如果处理已经或将委托给这样的人;
-F3（关于个人数据）或其他联邦法律提供的其他信息;
-如果个人数据不完整，过时，不准确，非法获得或对于所述处理目的不是必需的，则要求公司澄清其个人数据，阻止它们或销毁它们;
-在法律规定的情况下撤销对处理个人数据的同意。

7.1. 如果个人数据的提供侵犯了他人的权利和合法利益，则PD主体访问其个人数据的权利受到限制。
7.2. 如果与PD处理相关的信息，以及正在处理的PD，已经根据他的请求提供给PD主体进行审查，则PD主体有权发送重复请求。 为了获得与处理个人资料有关的资料，并在发出初步要求后三十天内熟悉该等个人资料，除非联邦法律规定较短的期限、根据该期限采取的规管法律行动，或PD主体是一方或受益人的协议。
7.3. PD主体有权向公司发送重复请求，以获取与PD处理相关的信息，以及在PD处理期届满之前熟悉已处理的PD，并且如果此类信息和（或）未根据初始请求的审议结果向其提供完整的审核。 重复请求必须包含发送重复请求的理由。
7.4. 公司有权根据联邦法第14条第8部分（关于个人数据）限制个人数据主体访问其个人数据。

导演V.A.Katochikov