Sales Solutions Group LLC个人数据处理与保护政策

1. 总则

1.1. 本政策依据2006年7月27日俄罗斯联邦第152-FZ号《个人数据法》（以下简称“《个人数据法》”）第18.1条制定，是Sales Solutions Group有限责任公司（以下简称“公司”）的内部规范性文件，确定了公司作为运营者在处理和保护个人数据方面的主要活动方向。

1.2. 制定本政策旨在落实个人数据处理与保护方面的法律要求，是在公司处理个人数据时保护人和公民权利与自由的法律措施之一。

1.3. 本政策的规定适用于公司在本政策批准之前和之后取得的个人数据的处理与保护关系，但因法律、组织或其他原因，本政策的规定无法适用于处理和保护在其批准之前取得的个人数据的关系的除外。

1.4. 本政策及公司其他个人数据保护内部规范性文件的规定，适用于个人数据主体的继承人（法定继受人）和/或代表人的个人数据的处理与保护；即使公司内部规范性文件中未明确提及上述人员，只要其实际参与了与公司的法律关系，亦同样适用。

1.5. 本政策发布于公司网站https://cifp.ru，以便不特定多数人查阅。

2. 公司处理个人数据的依据和目的

2.1. 公司在开展法定活动过程中处理个人数据，特别是：在公司作为雇主的劳动关系及与其直接相关的关系中；在履行个人数据主体作为一方当事人的合同过程中；以及在处理发送给公司的申诉、咨询及其他形式的反馈时。

2.2. 在公司作为雇主的劳动关系及与其直接相关的关系中，公司依照劳动法律处理求职者、公司员工（以下简称“员工”）和前员工的个人数据。为订立、履行和终止民事合同，以及在合同前期工作中，公司处理作为公司客户和潜在客户的自然人的个人数据，以及作为交易对方的个体经营者和法人代表（联系人）的个人数据。

2.3. 为行使其作为法人的权利和履行义务，依照《个人数据法》第22条第2款，公司还处理下列人员的个人数据：

• 作为公司民事合同交易对方（潜在交易对方）的自然人的个人数据，法人的管理人员、集体执行机构成员和代表的个人数据，以及采购（招标）参与者提交的其他自然人的个人数据，包括从公开的公共登记册和信息系统（俄罗斯统一法人登记簿（EGRUL）、统一个体经营者登记簿（EGRIP）、政府采购门户等）获取的数据，目的是依照法律要求订立合同并确保合同义务的履行；
• 就公司活动以书面形式联系公司，并在其来函（申请、投诉等）中提供其个人数据的公民和组织代表（本政策第2.2条所列人员除外），目的是向其发送答复并提供信息。2.4. 公司在取得个人数据主体同意的情况下，或在无需主体同意的情况下，依据俄罗斯联邦法律和其他规范性法律文件获取和处理个人数据。

2.4. 公司在取得个人数据主体同意的情况下，或在无需主体同意的情况下，依据俄罗斯联邦法律及其他规范性法律文件获取和处理个人数据，其中员工数据依据《俄罗斯联邦劳动法典》第86条处理。

2.5. 经个人数据主体书面同意，公司可在其活动过程中，按规定程序将个人数据的处理委托给第三方。

2.6. 公司向依据联邦法律有权获取此类个人数据的国家和地方自治机关、国家预算外基金机构及相关机构提供其所处理的个人数据。

2.7. 处理个人数据时，应确保其准确性、充分性，并在必要时确保其与处理目的相关。公司采取必要措施删除或更正不完整或不准确的个人数据。

3. 个人数据安全原则

3.1. 确保公司所处理个人数据安全的主要目标，是防止第三方未经授权访问个人数据，并防止在处理过程中出现旨在窃取、销毁或篡改个人数据的蓄意软件、技术及其他行为。|

3.2. 为确保个人数据安全，公司遵循以下原则：

1. 合法性：个人数据保护以个人数据处理与保护领域的规范性法律文件及授权国家机关的指导性文件的规定为依据；
2. 全面性：个人数据保护综合运用法律和组织措施，以及公司现有技术手段的功能来构建；
3. 连续性：在个人数据收集、积累和处理的各个阶段，直至其销毁，均确保个人数据受到保护；
4. 及时性：在开始处理之前，即采取确保个人数据安全达到适当水平的措施；
5. 消除不合规并改进措施：公司及时消除所发现的违反个人数据处理与保护法律的行为，并升级和扩展个人数据保护措施和工具，包括基于对个人数据安全新威胁的评估；
6. 个人责任：确保个人数据安全的责任，在与个人数据处理和保护有关的职责范围内落实到具体员工；
7. 最小化访问权限：仅在履行工作职责所必需的范围内，授予员工访问个人数据的权限；
8. 灵活性：在所处理个人数据的数量和构成发生变化时，个人数据保护职能仍继续履行；
9. 可观察性与透明性：个人数据安全措施的规划，必须使其应用结果清晰可见（透明），并能由监督人员以及个人数据主体本人进行评估，包括通过获得对其请求的书面答复；
10. 持续监控与评估：建立定期检查所制定措施遵守情况的程序，并将检查结果记入日志。

4. 对所处理个人数据的访问

4.1. 公司所处理个人数据的访问权限，授予经公司命令授权的员工，以及公司依据已签订合同委托其处理个人数据的人员。

4.2. 员工按照其岗位职责和公司内部规章的要求，接触所处理的个人数据。

4.3. 个人数据主体访问公司所处理的其个人数据的程序，依照法律规定确定，并由公司内部规章予以保障。

4.4. 个人数据主体就其个人数据处理情况索取信息的请求和咨询，应发送至公司负责组织个人数据处理的责任人，地址：莫斯科市Bolshaya Pochtovaya街55/59号1号楼450室

5. 已采取的个人数据保护措施

5.1. 公司依据《个人数据法》、《俄罗斯联邦劳动法典》第14章以及俄罗斯联邦其他有关个人数据处理与保护的规范性法律文件的要求，确定一整套法律、组织和技术措施，并批准（颁布）个人数据处理与保护方面的内部规章。

5.2. 公司使直接处理个人数据的员工熟悉个人数据法律法规的规定（包括个人数据保护要求）、本政策以及其他个人数据处理方面的内部规章，并在必要时对这些员工开展个人数据处理与保护方面的培训。

5.3. 处理个人数据时采取以下组织措施：

1. 任命个人数据处理组织负责人；
2. 限定并区分员工的访问权限；
3. 开展内部控制和/或审计，核查个人数据处理是否符合《个人数据法》及依其颁布的规范性法律文件、个人数据保护要求、本政策以及公司其他规章；
4. 采取其他措施以保证履行《个人数据法》规定的义务，特别是威胁建模和风险评估。

5.4. 处理个人数据时采取以下技术措施：

1. 设有门禁系统和场所物理安保，并使用锁闭装置；
2. 使用报警和事件记录工具，以发现对个人数据的未经授权访问并采取相应措施；
3. 在个人数据信息系统（PDIS）中处理个人数据时，使用信息安全工具以确保相应的保护等级，并采取恢复被修改或被破坏的个人数据的措施，以及登记并记录个人数据信息系统中对个人数据所执行的全部操作的措施。

01.03.2026