سياسة شركة Sales Solutions Group LLC بشأن معالجة البيانات الشخصية وحمايتها

1. أحكام عامة

1.1. أُعدّت هذه السياسة (ويشار إليها فيما يلي بـ«السياسة») وفقًا للمادة 18.1 من القانون الفيدرالي الروسي رقم 152-FZ «بشأن البيانات الشخصية» الصادر بتاريخ 27 يوليو 2006 (ويشار إليه فيما يلي بـ«قانون البيانات الشخصية»)، وهي لائحة داخلية لشركة Sales Solutions Group ذات المسؤولية المحدودة (ويشار إليها فيما يلي بـ«الشركة») تحدد الاتجاهات الرئيسية لنشاطها في معالجة البيانات الشخصية وحمايتها (ويشار إليها فيما يلي بـ«البيانات الشخصية») التي تتولى الشركة بشأنها دور المشغّل.

1.2. أُعدّت السياسة لتنفيذ متطلبات التشريعات الخاصة بمعالجة البيانات الشخصية وحمايتها، بوصفها أحد التدابير القانونية الرامية إلى حماية حقوق الإنسان والمواطن وحرياتهما عند معالجة الشركة للبيانات الشخصية للأفراد.

1.3. تسري أحكام السياسة على العلاقات المتعلقة بمعالجة البيانات الشخصية وحمايتها التي حصلت عليها الشركة قبل اعتماد السياسة وبعده، باستثناء الحالات التي يتعذر فيها، لأسباب قانونية أو تنظيمية أو غيرها، تطبيق أحكام السياسة على العلاقات المتعلقة بمعالجة البيانات الشخصية وحمايتها التي جرى الحصول عليها قبل اعتمادها.

1.4. تسري أحكام السياسة وغيرها من اللوائح الداخلية للشركة بشأن حماية البيانات الشخصية على معالجة وحماية البيانات الشخصية للورثة (الخلفاء القانونيين) و/أو ممثلي أصحاب البيانات الشخصية، حتى وإن لم يرد ذكر هؤلاء الأشخاص صراحةً في اللوائح الداخلية للشركة لكنهم يشاركون فعليًا في علاقات قانونية مع الشركة.

1.5. تُنشر هذه السياسة على الموقع الإلكتروني للشركة https://cifp.ru لإتاحتها لعدد غير محدود من الأشخاص.

2. أسس معالجة الشركة للبيانات الشخصية وأغراضها

2.1. تعالج الشركة البيانات الشخصية في إطار ممارسة أنشطتها المنصوص عليها في نظامها الأساسي، ولا سيما: في علاقات العمل والعلاقات المرتبطة بها مباشرة التي تكون فيها الشركة صاحب عمل؛ وفيما يتصل بتنفيذ العقود التي يكون صاحب البيانات الشخصية طرفًا فيها؛ وفيما يتصل بالطلبات والاستفسارات وغيرها من أشكال التواصل الموجهة إلى الشركة.

2.2. فيما يتصل بعلاقات العمل والعلاقات المرتبطة بها مباشرة التي تكون فيها الشركة صاحب عمل، تعالج الشركة البيانات الشخصية للمتقدمين إلى الوظائف وموظفي الشركة (ويشار إليهم فيما يلي بـ«الموظفين») والموظفين السابقين وفقًا لتشريعات العمل. ولأغراض إبرام العقود المدنية وتنفيذها وإنهائها، وكذلك أثناء الأعمال السابقة للتعاقد، تعالج الشركة البيانات الشخصية للأفراد من عملاء الشركة وعملائها المحتملين، وكذلك البيانات الشخصية لأصحاب المشاريع الفردية وممثلي الأشخاص الاعتباريين من الجهات المتعاقدة (الأشخاص المسؤولين عن التواصل).

2.3. في إطار ممارسة الشركة لحقوقها والتزاماتها بوصفها شخصًا اعتباريًا، ووفقًا للفقرة 2 من المادة 22 من قانون البيانات الشخصية، تعالج الشركة أيضًا البيانات الشخصية لكل من:

• الأفراد المتعاقدين مع الشركة (أو المحتمل تعاقدهم معها) بموجب عقود مدنية، وبيانات المديرين وأعضاء الهيئات التنفيذية الجماعية وممثلي الأشخاص الاعتباريين، وبيانات الأفراد الآخرين التي يقدمها المشاركون في المشتريات (المناقصات)، بما في ذلك البيانات المستمدة من السجلات العامة المفتوحة ونظم المعلومات (السجل الحكومي الموحد للأشخاص الاعتباريين (EGRUL)، والسجل الحكومي الموحد لأصحاب المشاريع الفردية (EGRIP)، وبوابة المشتريات العامة وغيرها)، بغرض إبرام العقود وفق المتطلبات القانونية وضمان الوفاء بالالتزامات التعاقدية؛
• المواطنين وممثلي المؤسسات الذين يراسلون الشركة كتابةً بشأن أنشطتها (من غير الأشخاص المحددين في البند 2.2 من السياسة) ويذكرون بياناتهم الشخصية في مراسلتهم (طلب، مطالبة، إلخ)، بغرض إرسال الردود إليهم وتقديم المعلومات. 2.4. تُجمع البيانات الشخصية وتُعالج لدى الشركة بموافقة صاحب البيانات الشخصية أو، دون موافقته، استنادًا إلى القوانين الفيدرالية وغيرها من الأعمال القانونية التنظيمية للاتحاد الروسي.

2.4. تُجمع البيانات الشخصية وتُعالج لدى الشركة بموافقة صاحب البيانات الشخصية أو، دون موافقته، استنادًا إلى القوانين الفيدرالية وغيرها من الأعمال القانونية التنظيمية للاتحاد الروسي، ولا سيما المادة 86 من قانون العمل للاتحاد الروسي فيما يتعلق ببيانات الموظفين.

2.5. يجوز للشركة، بموافقة خطية من صاحب البيانات الشخصية، وفي إطار نشاطها ووفق الإجراءات المقررة، أن تكلّف أطرافًا ثالثة بمعالجة البيانات الشخصية.

2.6. تقدّم الشركة البيانات الشخصية التي تعالجها إلى الهيئات الحكومية والبلدية، وهيئات الصناديق الحكومية خارج الموازنة، والمؤسسات التي يحق لها بموجب القانون الفيدرالي الحصول على هذه البيانات.

2.7. عند معالجة البيانات الشخصية تُضمن دقتها وكفايتها، وعند الضرورة ملاءمتها لأغراض المعالجة. وتتخذ الشركة التدابير اللازمة لحذف البيانات الشخصية غير المكتملة أو غير الدقيقة أو تصحيحها.

3. مبادئ أمن البيانات الشخصية

3.1. الهدف الرئيسي من ضمان أمن البيانات الشخصية التي تعالجها الشركة هو منع وصول الأطراف الثالثة إليها دون إذن، ومنع الأفعال البرمجية والتقنية وغيرها من الأفعال المتعمدة الرامية إلى سرقة البيانات الشخصية أو إتلافها أو تحريفها أثناء المعالجة.|

3.2. لضمان أمن البيانات الشخصية، تسترشد الشركة بالمبادئ التالية:

1. المشروعية: تقوم حماية البيانات الشخصية على أحكام الأعمال القانونية التنظيمية والوثائق الإرشادية الصادرة عن الجهات الحكومية المخوّلة في مجال معالجة البيانات الشخصية وحمايتها؛
2. الشمولية: تُبنى حماية البيانات الشخصية باستخدام مجموعة من التدابير القانونية والتنظيمية والإمكانات الوظيفية للوسائل التقنية المتاحة للشركة؛
3. الاستمرارية: تُضمن حماية البيانات الشخصية في جميع مراحل جمعها وتراكمها ومعالجتها، وحتى إتلافها؛
4. حسن التوقيت: تُتخذ التدابير التي تضمن مستوى كافيًا من أمن البيانات الشخصية قبل بدء المعالجة؛
5. معالجة أوجه عدم الامتثال وتحسين التدابير: تعالج الشركة فورًا أي مخالفات يتم رصدها للتشريعات المتعلقة بمعالجة البيانات الشخصية وحمايتها، وتطوّر تدابير حماية البيانات الشخصية وأدواتها وتوسّع نطاقها، بما في ذلك استنادًا إلى تقييم التهديدات الجديدة لأمن البيانات الشخصية؛
6. المسؤولية الشخصية: تُسند المسؤولية عن ضمان أمن البيانات الشخصية إلى موظفين محددين ضمن نطاق واجباتهم المتعلقة بمعالجة البيانات الشخصية وحمايتها؛
7. تقليل صلاحيات الوصول إلى الحد الأدنى: يُمنح الموظفون حق الوصول إلى البيانات الشخصية بالقدر اللازم لأداء واجباتهم الوظيفية فقط؛
8. المرونة: يستمر أداء مهام حماية البيانات الشخصية عند تغيّر حجم البيانات الشخصية المعالجة وتركيبها؛
9. قابلية المراقبة والشفافية: يجب التخطيط لتدابير أمن البيانات الشخصية بحيث تكون نتائج تطبيقها واضحة للمراقبة (شفافة) وقابلة للتقييم من قبل القائمين على الرقابة وكذلك من أصحاب البيانات الشخصية أنفسهم، بما في ذلك عبر تلقي ردود خطية على طلباتهم؛
10. المراقبة والتقييم المستمران: تُحدد إجراءات للتحقق الدوري من الامتثال للتدابير المعتمدة، وتُسجّل نتائج هذه الفحوصات في سجلات.

4. الوصول إلى البيانات الشخصية المعالجة

4.1. يُمنح حق الوصول إلى البيانات الشخصية التي تعالجها الشركة للموظفين المخوّلين بأمر صادر عن الشركة، وكذلك للأشخاص الذين كلّفتهم الشركة بمعالجة البيانات الشخصية بموجب عقد مبرم.

4.2. يحصل الموظفون على إمكانية الوصول إلى البيانات الشخصية المعالَجة وفقًا لمهامهم الوظيفية ومتطلبات اللوائح المحلية للشركة.

4.3. يُحدَّد إجراء وصول صاحب البيانات الشخصية إلى بياناته الشخصية التي تعالجها الشركة وفقًا للقانون، وتكفله اللوائح المحلية للشركة.

4.4. تُرسَل طلبات واستفسارات أصحاب البيانات الشخصية الرامية إلى الحصول على معلومات بشأن معالجة بياناتهم الشخصية إلى المسؤول في الشركة عن تنظيم معالجة البيانات الشخصية على العنوان: موسكو، شارع Bolshaya Pochtovaya، مبنى 55/59، المبنى 1، المكتب 450

5. تدابير حماية البيانات الشخصية المطبَّقة

5.1. تحدّد الشركة مجموعة التدابير القانونية والتنظيمية والتقنية، وتعتمد (تُصدر) اللوائح المحلية بشأن معالجة البيانات الشخصية وحمايتها، استنادًا إلى متطلبات قانون البيانات الشخصية والفصل 14 من قانون العمل في الاتحاد الروسي وغيرها من الأعمال القانونية التنظيمية في الاتحاد الروسي بشأن معالجة البيانات الشخصية وحمايتها.

5.2. تعرّف الشركة موظفيها الذين يعالجون البيانات الشخصية بصورة مباشرة بأحكام تشريعات البيانات الشخصية، بما في ذلك متطلبات حماية البيانات الشخصية، وبهذه السياسة وسائر اللوائح المحلية بشأن معالجة البيانات الشخصية، وتوفّر لهم عند الحاجة التدريب على معالجة البيانات الشخصية وحمايتها.

5.3. تُطبَّق التدابير التنظيمية التالية عند معالجة البيانات الشخصية:

1. تعيين مسؤول عن تنظيم معالجة البيانات الشخصية؛
2. تقييد وصول الموظفين وتوزيع صلاحيات الوصول بينهم؛
3. إجراء رقابة داخلية و/أو عمليات تدقيق للتحقق من امتثال معالجة البيانات الشخصية لقانون البيانات الشخصية والأعمال القانونية التنظيمية الصادرة بموجبه، ولمتطلبات حماية البيانات الشخصية، وللسياسة وسائر لوائح الشركة؛
4. اتخاذ تدابير أخرى لضمان الوفاء بالالتزامات المنصوص عليها في قانون البيانات الشخصية، ومنها نمذجة التهديدات وتقييم المخاطر.

5.4. تُطبَّق التدابير التقنية التالية عند معالجة البيانات الشخصية:

1. وجود نظام للتحكم في الدخول وحماية مادية للمباني، واستخدام أجهزة الإغلاق؛
2. استخدام وسائل الإنذار وتسجيل الأحداث للكشف عن الوصول غير المصرّح به إلى البيانات الشخصية واتخاذ الإجراءات المناسبة؛
3. عند معالجة البيانات الشخصية في أنظمة معلومات البيانات الشخصية (PDIS)، تُستخدم وسائل أمن المعلومات لضمان مستوى الحماية المناسب، إلى جانب تدابير استعادة البيانات الشخصية المعدَّلة أو التالفة، وتدابير تسجيل جميع الإجراءات المنفَّذة على البيانات الشخصية في نظام معلومات البيانات الشخصية وتوثيقها.

01.03.2026