1.1. Zweck dieser Richtlinie

Dieses Dokument (nachfolgend: Richtlinie) legt die Zwecke und allgemeinen Grundsätze der Verarbeitung personenbezogener Daten sowie die von MOYA GAVAN LIMITED LIABILITY COMPANY (nachfolgend: Unternehmen) umgesetzten Maßnahmen zum Schutz personenbezogener Daten fest.

Das Unternehmen ist Verantwortlicher für die Verarbeitung personenbezogener Daten. Diese Richtlinie ist ein öffentlich zugängliches Dokument des Unternehmens, das jede Person einsehen kann.

1.2. Wesentliche Rechte des Unternehmens

Personenbezogene Daten werden rechtmäßig und nach Treu und Glauben unter Einhaltung der Grundsätze und Regeln des Föderalen Gesetzes Nr. 152-FZ vom 27. Juli 2006 über personenbezogene Daten (nachfolgend: Föderales Gesetz Nr. 152-FZ) auf Grundlage der Einwilligung der betroffenen Person verarbeitet, außer in den im Föderalen Gesetz Nr. 152-FZ vorgesehenen Fällen.

Das Unternehmen behält sich vor, die Vollständigkeit, Richtigkeit und Angemessenheit der bereitgestellten personenbezogenen Daten sowie erforderlichenfalls ihre Aktualität im Hinblick auf die Verarbeitungszwecke zu überprüfen. Werden unrichtige oder unvollständige personenbezogene Daten festgestellt, darf das Unternehmen sämtliche Beziehungen zur betroffenen Person beenden.

Wird die Einwilligung in die Verarbeitung personenbezogener Daten von einem Vertreter der betroffenen Person eingeholt, überprüft das Unternehmen dessen Befugnis, im Namen der betroffenen Person einzuwilligen.

Das Unternehmen darf personenbezogene Daten von einer anderen Person als der betroffenen Person erhalten, sofern es das Vorliegen einer der in Artikel 6 Absatz 1 Nummern 2–11, Artikel 10 Absatz 2 und Artikel 11 Absatz 2 des Föderalen Gesetzes Nr. 152-FZ genannten Grundlagen nachweist.

Widerruft die betroffene Person ihre Einwilligung in die Verarbeitung personenbezogener Daten, darf das Unternehmen die Verarbeitung ohne Einwilligung fortsetzen, wenn eine der in Artikel 6 Absatz 1 Nummern 2–11, Artikel 10 Absatz 2 und Artikel 11 Absatz 2 des Föderalen Gesetzes Nr. 152-FZ genannten Grundlagen vorliegt.

Mit Einwilligung der betroffenen Person darf das Unternehmen, soweit ein föderales Gesetz nichts anderes vorsieht, Dritte aufgrund einer Vereinbarung oder eines Vertrags oder durch Erlass eines entsprechenden Rechtsakts mit der Verarbeitung personenbezogener Daten beauftragen (nachfolgend: Auftrag des Unternehmens). Wer personenbezogene Daten im Auftrag des Unternehmens verarbeitet, muss die Grundsätze und Regeln des Föderalen Gesetzes Nr. 152-FZ einhalten. Der Auftrag muss die personenbezogenen Daten, die vorzunehmenden Handlungen oder Vorgänge sowie die Verarbeitungszwecke festlegen. Er muss den Auftragnehmer zur Wahrung der Vertraulichkeit und zur Einhaltung von Artikel 18 Absatz 5 und Artikel 18.1 des Föderalen Gesetzes Nr. 152-FZ verpflichten sowie dazu, auf Verlangen des Unternehmens während der gesamten Auftragsdauer, auch vor Beginn der Verarbeitung, Dokumente und andere Informationen vorzulegen, die die getroffenen Maßnahmen und die Einhaltung der nach dem Föderalen Gesetz Nr. 152-FZ geltenden Anforderungen zur Auftragsausführung bestätigen. Der Auftrag muss eine sichere Verarbeitung vorschreiben und die Datenschutzanforderungen nach Artikel 19 des Föderalen Gesetzes Nr. 152-FZ festlegen, einschließlich der Benachrichtigung des Unternehmens in den in Artikel 21 Absatz 3.1 dieses Gesetzes vorgesehenen Fällen.

Wer personenbezogene Daten im Auftrag des Unternehmens verarbeitet, muss keine Einwilligung der betroffenen Person einholen.

Beauftragt das Unternehmen einen Dritten mit der Verarbeitung personenbezogener Daten, bleibt es gegenüber der betroffenen Person für dessen Handlungen verantwortlich. Der im Auftrag des Unternehmens handelnde Verarbeiter haftet gegenüber dem Unternehmen.

Beauftragt das Unternehmen eine ausländische natürliche oder juristische Person mit der Verarbeitung personenbezogener Daten, haften sowohl das Unternehmen als auch der in seinem Auftrag handelnde Verarbeiter gegenüber der betroffenen Person für die Handlungen dieser Personen.

1.3. Wesentliche Pflichten des Unternehmens

Das Unternehmen erhebt oder verarbeitet personenbezogene Daten nicht ohne Einwilligung der betroffenen Person und übermittelt sie ohne diese Einwilligung nicht an Dritte, sofern das russische Recht nichts anderes vorsieht.

Wird aufgrund einer Anfrage oder eines Antrags der betroffenen Person, ihres Vertreters oder der zuständigen Datenschutzbehörde eine rechtswidrige Verarbeitung festgestellt, sperrt das Unternehmen die betreffenden personenbezogenen Daten ab Eingang der Anfrage oder des Antrags für die Dauer der Prüfung oder stellt deren Sperrung sicher, wenn eine andere Person sie in seinem Auftrag verarbeitet.

Werden aufgrund einer Anfrage oder eines Antrags der betroffenen Person oder ihres Vertreters oder einer Anfrage der zuständigen Datenschutzbehörde unrichtige personenbezogene Daten festgestellt, sperrt das Unternehmen die betreffenden Daten ab Eingang der Anfrage oder des Antrags für die Dauer der Prüfung oder stellt deren Sperrung sicher, wenn eine andere Person sie in seinem Auftrag verarbeitet, sofern die Sperrung die Rechte und rechtmäßigen Interessen der betroffenen Person oder Dritter nicht beeinträchtigt.

Bestätigt sich die Unrichtigkeit, berichtigt das Unternehmen die personenbezogenen Daten innerhalb von 7 Arbeitstagen nach Erhalt der Informationen der betroffenen Person, ihres Vertreters, der zuständigen Datenschutzbehörde oder anderer erforderlicher Dokumente und hebt die Sperrung auf. Verarbeitet eine andere Person die Daten im Auftrag des Unternehmens, stellt das Unternehmen die Berichtigung sicher.

Wird eine rechtswidrige Verarbeitung personenbezogener Daten durch das Unternehmen oder eine in seinem Auftrag handelnde Person festgestellt, beendet das Unternehmen diese Verarbeitung innerhalb von 3 Arbeitstagen nach der Feststellung oder stellt sicher, dass die in seinem Auftrag handelnde Person sie beendet.

Kann die Verarbeitung nicht rechtmäßig gestaltet werden, vernichtet das Unternehmen die personenbezogenen Daten innerhalb von 10 Arbeitstagen nach Feststellung der rechtswidrigen Verarbeitung oder stellt deren Vernichtung sicher. Die für die Organisation der Verarbeitung personenbezogener Daten im Unternehmen zuständige Person entscheidet, ob die Verarbeitung rechtswidrig und eine Vernichtung erforderlich ist, und informiert die Unternehmensleitung. Das Unternehmen benachrichtigt die betroffene Person oder ihren Vertreter über die Beseitigung der Verstöße oder die Vernichtung der Daten. Wurde die Anfrage der betroffenen Person oder ihres Vertreters oder das Ersuchen der zuständigen Datenschutzbehörde durch diese Behörde übermittelt, benachrichtigt das Unternehmen auch die Behörde.

Wird festgestellt, dass eine rechtswidrige oder versehentliche Übermittlung personenbezogener Daten (Bereitstellung, Verbreitung oder Zugänglichmachung) die Rechte einer oder mehrerer betroffener Personen verletzt hat, muss das Unternehmen nach Feststellung des Vorfalls durch das Unternehmen, die zuständige Datenschutzbehörde oder eine andere interessierte Person die zuständige Datenschutzbehörde benachrichtigen:

1. innerhalb von 24 Stunden über den Vorfall, seine vermuteten Ursachen, die voraussichtlichen Beeinträchtigungen der Rechte betroffener Personen und die Maßnahmen zur Beseitigung seiner Folgen; außerdem sind Angaben zur Person bereitzustellen, die das Unternehmen zur Kommunikation mit der Datenschutzbehörde über den Vorfall bevollmächtigt hat;

2. innerhalb von 72 Stunden über die Ergebnisse der internen Untersuchung; außerdem sind, soweit bekannt, Angaben zu den Personen bereitzustellen, deren Handlungen den Vorfall verursacht haben.

Ist der Zweck der Verarbeitung personenbezogener Daten erreicht, beendet das Unternehmen die Verarbeitung und vernichtet die Daten innerhalb von 30 Tagen nach Zweckerreichung oder stellt sicher, dass die in seinem Auftrag verarbeitende Person dies tut. Dies gilt, soweit ein Vertrag, dessen Partei, Begünstigter oder Bürge die betroffene Person ist, oder eine andere Vereinbarung zwischen dem Unternehmen und der betroffenen Person nichts anderes vorsieht und das Unternehmen nicht nach dem Föderalen Gesetz Nr. 152-FZ oder anderen föderalen Gesetzen zur Verarbeitung ohne Einwilligung berechtigt ist.

Widerruft die betroffene Person ihre Einwilligung, beendet das Unternehmen die Verarbeitung oder stellt sicher, dass die in seinem Auftrag verarbeitende Person dies tut. Ist eine Aufbewahrung für die Verarbeitungszwecke nicht mehr erforderlich, vernichtet das Unternehmen die Daten innerhalb von 30 Tagen nach Eingang des Widerrufs oder stellt deren Vernichtung sicher. Dies gilt, soweit ein Vertrag, dessen Partei, Begünstigter oder Bürge die betroffene Person ist, oder eine andere Vereinbarung zwischen dem Unternehmen und der betroffenen Person nichts anderes vorsieht und das Unternehmen nicht nach dem Föderalen Gesetz Nr. 152-FZ oder anderen föderalen Gesetzen zur Verarbeitung ohne Einwilligung berechtigt ist.

Verlangt die betroffene Person vom Unternehmen, die Verarbeitung personenbezogener Daten zu beenden, beendet das Unternehmen diese innerhalb von 10 Arbeitstagen nach Eingang des Antrags oder stellt sicher, dass sein Auftragnehmer dies tut, außer in den Fällen nach Artikel 6 Absatz 1 Nummern 2–11, Artikel 10 Absatz 2 und Artikel 11 Absatz 2 des Föderalen Gesetzes Nr. 152-FZ. Diese Frist kann um höchstens 5 Arbeitstage verlängert werden, wenn das Unternehmen der betroffenen Person eine begründete Mitteilung über die Verlängerung der Frist zur Bereitstellung der angeforderten Informationen sendet.

Das Unternehmen nimmt die erforderlichen Änderungen innerhalb von 7 Arbeitstagen vor, nachdem die betroffene Person oder ihr Vertreter Informationen vorgelegt hat, die bestätigen, dass personenbezogene Daten unvollständig, unrichtig oder veraltet sind.

Das Unternehmen vernichtet personenbezogene Daten innerhalb von 7 Arbeitstagen, nachdem die betroffene Person oder ihr Vertreter Informationen vorgelegt hat, die bestätigen, dass die Daten rechtswidrig erlangt wurden oder für den angegebenen Verarbeitungszweck nicht erforderlich sind. Das Unternehmen benachrichtigt die betroffene Person oder ihren Vertreter über die Änderungen und getroffenen Maßnahmen und unternimmt angemessene Anstrengungen, um Dritte zu benachrichtigen, an die die Daten übermittelt wurden.

Können personenbezogene Daten nicht innerhalb der oben genannten Fristen vernichtet werden, sperrt das Unternehmen die Daten oder stellt deren Sperrung sicher, wenn eine andere Person sie in seinem Auftrag verarbeitet, und gewährleistet ihre Vernichtung innerhalb von höchstens 6 Monaten, sofern ein föderales Gesetz keine andere Frist bestimmt.

Die Vernichtung personenbezogener Daten wird gemäß den von der zuständigen Datenschutzbehörde festgelegten Anforderungen bestätigt.

Gemäß der Anordnung Nr. 179 vom 28. Oktober 2022 des Föderalen Dienstes für die Aufsicht im Bereich Kommunikation, Informationstechnologie und Massenmedien zur Genehmigung der Anforderungen an die Bestätigung der Vernichtung personenbezogener Daten (nachfolgend: Anforderungen) wird die Vernichtung bei einer nicht automatisierten Verarbeitung durch das Unternehmen durch ein Vernichtungsprotokoll bestätigt.

Verarbeitet das Unternehmen personenbezogene Daten automatisiert, wird die Vernichtung durch ein Vernichtungsprotokoll gemäß den Nummern 3 und 4 der Anforderungen sowie einen Export aus dem Ereignisprotokoll des Informationssystems für personenbezogene Daten (nachfolgend: Protokollexport) bestätigt.

Kann der Protokollexport bestimmte nach Nummer 5 der Anforderungen erforderliche Informationen nicht enthalten, werden die fehlenden Angaben in das Vernichtungsprotokoll aufgenommen.

Verarbeitet das Unternehmen personenbezogene Daten sowohl automatisiert als auch nicht automatisiert, wird die Vernichtung durch ein Vernichtungsprotokoll gemäß den Nummern 3 und 4 der Anforderungen sowie einen Protokollexport gemäß Nummer 5 der Anforderungen bestätigt.

Das Vernichtungsprotokoll und der Protokollexport sind nach der Vernichtung der personenbezogenen Daten 3 Jahre lang aufzubewahren.

1.4. Wesentliche Rechte betroffener Personen

Die betroffene Person entscheidet selbst, ob sie personenbezogene Daten bereitstellt, und willigt frei, freiwillig und im eigenen Interesse in deren Verarbeitung ein. Soweit ein föderales Gesetz dies verlangt, ist eine schriftliche Einwilligung der betroffenen Person erforderlich. Eine Einwilligung in einem elektronischen Dokument, das nach föderalem Recht elektronisch signiert wurde, ist einer schriftlichen Einwilligung auf Papier mit eigenhändiger Unterschrift der betroffenen Person gleichgestellt.

Zum Schutz ihrer rechtmäßigen Interessen haben betroffene Personen oder ihre Vertreter das Recht:

1. vollständige Informationen über ihre personenbezogenen Daten und deren Verarbeitung, einschließlich der automatisierten Verarbeitung, zu erhalten;

2. frei und unentgeltlich auf ihre personenbezogenen Daten zuzugreifen, einschließlich des Erhalts von Kopien aller Aufzeichnungen mit ihren personenbezogenen Daten, außer in den Fällen nach Artikel 14 Absatz 8 des Föderalen Gesetzes Nr. 152-FZ;

3. die Berichtigung, Sperrung oder Vernichtung personenbezogener Daten zu verlangen, die unvollständig, veraltet, unrichtig, rechtswidrig erlangt oder für den angegebenen Verarbeitungszweck nicht erforderlich sind, und gesetzlich vorgesehene Maßnahmen zum Schutz ihrer Rechte zu ergreifen. Lehnt das Unternehmen die Entfernung, Berichtigung, Sperrung oder Vernichtung der Daten ab, kann die betroffene Person schriftlich und mit entsprechender Begründung widersprechen;

4. vom Unternehmen zu verlangen, alle Personen, denen zuvor fehlerhafte, unvollständige, veraltete, unrichtige, rechtswidrig erlangte oder nicht erforderliche personenbezogene Daten bereitgestellt wurden, über sämtliche Änderungen oder Entfernungen zu unterrichten, einschließlich der Sperrung oder Vernichtung durch diese Dritten;

5. rechtswidrige Handlungen oder Unterlassungen des Unternehmens bei der Verarbeitung und dem Schutz ihrer personenbezogenen Daten gerichtlich oder bei der zuständigen Datenschutzbehörde anzufechten, wenn die betroffene Person der Ansicht ist, dass das Unternehmen gegen das Föderale Gesetz Nr. 152-FZ verstößt oder ihre Rechte und Freiheiten anderweitig verletzt. Die betroffene Person hat das Recht, ihre Rechte und rechtmäßigen Interessen zu schützen, einschließlich der gerichtlichen Geltendmachung von Schadensersatz und/oder einer Entschädigung für immaterielle Schäden.

Die betroffene Person hat das Recht, Informationen über die Verarbeitung ihrer personenbezogenen Daten zu erhalten, einschließlich:

1. der Bestätigung, dass das Unternehmen personenbezogene Daten verarbeitet;

2. der Rechtsgrundlagen und Zwecke der Verarbeitung;

3. der Zwecke und Methoden der vom Unternehmen vorgenommenen Verarbeitung;

4. des Namens und Sitzes des Unternehmens sowie Angaben zu Personen außerhalb seiner Belegschaft, die Zugang zu personenbezogenen Daten haben oder denen diese aufgrund eines Vertrags mit dem Unternehmen oder eines föderalen Gesetzes offengelegt werden können;

5. der verarbeiteten personenbezogenen Daten zur betroffenen Person und ihrer Herkunft, sofern ein föderales Gesetz kein anderes Verfahren für die Bereitstellung dieser Daten vorsieht;

6. der Verarbeitungsfristen einschließlich der Speicherfristen;

7. des Verfahrens zur Ausübung der Rechte nach dem Föderalen Gesetz Nr. 152-FZ;

8. von Informationen über erfolgte oder geplante grenzüberschreitende Datenübermittlungen;

9. des Namens bzw. Nachnamens, Vornamens und Vatersnamens sowie der Anschrift jeder Person, die mit der Verarbeitung personenbezogener Daten im Auftrag des Unternehmens betraut wurde oder betraut werden soll;

10. von Informationen darüber, wie das Unternehmen seine Pflichten nach Artikel 18.1 des Föderalen Gesetzes Nr. 152-FZ erfüllt;

11. weiterer Informationen, die das Föderale Gesetz Nr. 152-FZ oder andere föderale Gesetze vorsehen.

Wurde der betroffenen Person auf ihren Antrag Zugang zu den verarbeiteten personenbezogenen Daten gewährt, darf sie frühestens 30 Tage nach der ursprünglichen Anfrage oder dem ursprünglichen Antrag erneut Informationen und Zugang beim Unternehmen anfordern, sofern ein föderales Gesetz, ein darauf beruhender Rechtsakt oder ein Vertrag, dessen Partei, Begünstigter oder Bürge sie ist, keine kürzere Frist vorsieht.

Die betroffene Person darf vor Ablauf der Frist von 30 Tagen eine erneute Anfrage oder einen erneuten Antrag stellen, wenn die Informationen und/oder die verarbeiteten personenbezogenen Daten als Antwort auf die ursprüngliche Anfrage nicht vollständig bereitgestellt wurden. Der erneute Antrag muss begründen, weshalb er gestellt wird.

Das Unternehmen darf einen erneuten Antrag ablehnen, der die Voraussetzungen nach Artikel 14 Absätze 4 und 5 des Föderalen Gesetzes Nr. 152-FZ nicht erfüllt. Die Ablehnung muss begründet sein. Das Unternehmen trägt die Beweislast für die Rechtmäßigkeit seiner Ablehnung.

Das Recht einer betroffenen Person auf Zugang zu ihren personenbezogenen Daten kann durch föderale Gesetze eingeschränkt werden, insbesondere wenn:

1. personenbezogene Daten, einschließlich Daten aus operativen Ermittlungsmaßnahmen, der Spionageabwehr und nachrichtendienstlichen Tätigkeiten, für Zwecke der Landesverteidigung, der Staatssicherheit und der Strafverfolgung verarbeitet werden;

2. personenbezogene Daten von Behörden verarbeitet werden, die die betroffene Person wegen des Verdachts einer Straftat festgenommen, in einem Strafverfahren beschuldigt oder vor Erhebung der Beschuldigung eine verfahrenssichernde Maßnahme gegen sie verhängt haben, außer soweit das russische Strafverfahrensrecht einem Verdächtigen oder Beschuldigten die Einsicht in diese Daten erlaubt;

3. personenbezogene Daten nach den Gesetzen zur Bekämpfung der Geldwäsche und der Terrorismusfinanzierung verarbeitet werden;

4. der Zugang der betroffenen Person die Rechte und rechtmäßigen Interessen Dritter beeinträchtigen würde;

5. personenbezogene Daten in den nach russischem Verkehrssicherheitsrecht vorgesehenen Fällen verarbeitet werden, um den stabilen und sicheren Betrieb des Verkehrssystems zu gewährleisten und Personen, die Gesellschaft und den Staat vor rechtswidrigen Eingriffen in dieses System zu schützen.

5.1. Vom Unternehmen durchgeführte Vorgänge mit personenbezogenen Daten

Das Unternehmen führt folgende Vorgänge mit personenbezogenen Daten durch:

1. Zur Einhaltung des russischen Arbeitsrechts: Übermitteln (Zugänglichmachen), Erfassen, Sperren, Ordnen, Übermitteln (Bereitstellen), Verwenden, Löschen, Anonymisieren, Ansammeln, Erheben, Speichern, Berichtigen (Aktualisieren oder Ändern), Vernichten und Abrufen;

2. Zur Begründung und Durchführung vertraglicher Beziehungen: Übermitteln (Verbreiten), Übermitteln (Zugänglichmachen), Erfassen, Sperren, Ordnen, Übermitteln (Bereitstellen), Verwenden, Löschen, Anonymisieren, Ansammeln, Erheben, Speichern, Berichtigen (Aktualisieren oder Ändern), Vernichten und Abrufen.

5.2. Methoden der Verarbeitung personenbezogener Daten

Das Unternehmen verwendet folgende Methoden zur Verarbeitung personenbezogener Daten:

1. Zur Einhaltung des russischen Arbeitsrechts erfolgt eine kombinierte automatisierte und nicht automatisierte Verarbeitung ohne Übertragung über ein internes Netzwerk, jedoch mit Übertragung über das Internet;

2. Zur Begründung und Durchführung vertraglicher Beziehungen erfolgt eine automatisierte Verarbeitung mit Übertragung sowohl über das interne Netzwerk als auch über das Internet.

5.3. Übermittlung personenbezogener Daten an Dritte

Dritter: Domain Name Registrar REG.RU LLC, Steueridentifikationsnummer (INN) 7733568767.

Sitz des Dritten: Leningradski-Prospekt 72, Gebäude 3, Moskau, Gebiet Moskau, 125315, Russland.

Bedingungen der Übermittlung: Auftrag des Verantwortlichen.

Grenzüberschreitende Übermittlung personenbezogener Daten: keine.

Art der Übermittlung an den Dritten: automatisierte Übertragung über das Internet.

Zweck der Übermittlung: Auslagerung der Informationsverarbeitung im System.

Betroffene Personen und übermittelte personenbezogene Daten:

1) Natürliche Personen einschließlich ausländischer Staatsangehöriger, die Leistungen anfragen:

Öffentlich zugängliche personenbezogene Daten: Kontaktdaten (Telefonnummer und E-Mail-Adresse), Nachname, Vorname, Vatersname und Foto.

Verarbeitungsmethoden des Dritten: automatisierte Verarbeitung mit Übertragung über das interne Netzwerk und ohne Übertragung über das Internet.

Dem Dritten gestattete Vorgänge: Sperren, Erfassen, Abrufen, Verwenden, Ansammeln, Übermitteln (Zugänglichmachen), Übermitteln (Bereitstellen), Übermitteln (Verbreiten), Erheben, Ordnen, Löschen, Vernichten, Berichtigen (Aktualisieren oder Ändern) und Speichern.

5.4. Sicherheitsmaßnahmen bei der Verarbeitung personenbezogener Daten

Bei der Verarbeitung personenbezogener Daten trifft und gewährleistet das Unternehmen die erforderlichen rechtlichen, organisatorischen und technischen Maßnahmen zum Schutz vor rechtswidrigem oder versehentlichem Zugriff, Vernichtung, Veränderung, Sperrung, Vervielfältigung, Bereitstellung, Verbreitung und sonstigen rechtswidrigen Handlungen.

Das Unternehmen gewährleistet die Sicherheit personenbezogener Daten unter anderem durch folgende Maßnahmen:

1. Bewertung möglicher Schäden für betroffene Personen infolge von Verstößen gegen das Gesetz über personenbezogene Daten gemäß den Anforderungen der zuständigen Datenschutzbehörde und Abgleich dieser Schäden mit den Schutzmaßnahmen zur Erfüllung der Pflichten nach diesem Gesetz;

2. Durchführung interner Kontrollen und/oder Prüfungen der Einhaltung des Gesetzes über personenbezogene Daten und der internen Unternehmensdokumente zur Verarbeitung personenbezogener Daten;

3. Unterrichtung der unmittelbar an der Verarbeitung beteiligten Beschäftigten über das russische Datenschutzrecht, die Richtlinie des Unternehmens zur Verarbeitung personenbezogener Daten und die internen Verarbeitungsvorschriften und/oder Schulung dieser Beschäftigten;

4. Erlass einer Richtlinie des Unternehmens zur Verarbeitung personenbezogener Daten und interner Vorschriften, die für jeden Verarbeitungszweck die Kategorien und die Liste der personenbezogenen Daten, die Kategorien betroffener Personen, die Verarbeitungsmethoden und Verarbeitungs- und Aufbewahrungsfristen sowie die Verfahren zur Vernichtung der Daten bei Zweckerreichung oder Vorliegen anderer rechtmäßiger Gründe festlegen; außerdem Erlass interner Vorschriften mit Verfahren zur Verhinderung und Erkennung von Verstößen gegen russisches Recht und zur Beseitigung ihrer Folgen;

5. Führung eines Verzeichnisses elektronischer Datenträger mit personenbezogenen Daten;

6. Benennung einer für die Organisation der Verarbeitung personenbezogener Daten zuständigen Person;

7. Wiederherstellung personenbezogener Daten, die durch unbefugten Zugriff verändert oder vernichtet wurden;

8. Einsatz von Informationssicherheitswerkzeugen, die das vorgeschriebene Konformitätsbewertungsverfahren durchlaufen haben;

9. Ermittlung von Sicherheitsbedrohungen für personenbezogene Daten bei der Verarbeitung in Informationssystemen für personenbezogene Daten;

10. Bewertung der Wirksamkeit von Sicherheitsmaßnahmen für personenbezogene Daten vor der Inbetriebnahme eines Informationssystems für personenbezogene Daten;

11. Festlegung von Zugriffsregeln für in einem Informationssystem verarbeitete personenbezogene Daten und Sicherstellung der Aufzeichnung und Nachverfolgung aller Vorgänge mit diesen Daten;

12. Erkennung unbefugter Zugriffe auf personenbezogene Daten und Ergreifen von Maßnahmen, einschließlich der Erkennung und Verhinderung von Computerangriffen auf Informationssysteme für personenbezogene Daten, der Beseitigung ihrer Folgen und der Reaktion auf Computersicherheitsvorfälle;

13. Überwachung der Sicherheitsmaßnahmen für personenbezogene Daten und des Schutzniveaus der Informationssysteme für personenbezogene Daten;

14. Umsetzung organisatorischer und technischer Sicherheitsmaßnahmen, die zur Einhaltung der Datenschutzanforderungen und zur Erreichung der von der Regierung der Russischen Föderation festgelegten Schutzniveaus erforderlich sind;

15. Zusammenarbeit mit dem staatlichen System zur Erkennung und Verhinderung von Computerangriffen auf Informationsressourcen der Russischen Föderation sowie zur Beseitigung ihrer Folgen, einschließlich der Meldung von Computersicherheitsvorfällen, die zu rechtswidrigem Zugriff auf personenbezogene Daten oder deren rechtswidriger Bereitstellung, Verbreitung oder Übermittlung führen.

5.5. Die Datenbanken des Unternehmens mit personenbezogenen Daten befinden sich vollständig in der Russischen Föderation.

5.6. Fristen der Verarbeitung personenbezogener Daten

Die vom Unternehmen verarbeiteten personenbezogenen Daten müssen vernichtet oder anonymisiert werden, wenn:

1. die Verarbeitungszwecke erreicht wurden oder entfallen sind;

2. die betroffene Person ihre Einwilligung in die Verarbeitung widerruft;

3. die Einwilligung in die Verarbeitung abläuft;

4. eine rechtmäßige Verarbeitung nicht gewährleistet werden kann;

5. das Unternehmen seine Tätigkeit einstellt.

5.7. Bedingungen der nicht automatisierten Verarbeitung personenbezogener Daten

Bei der nicht automatisierten Verarbeitung personenbezogener Daten beachtet das Unternehmen die Verordnung Nr. 687 der Regierung der Russischen Föderation vom 15. September 2008 zur Genehmigung der Regelung über die Besonderheiten der Verarbeitung personenbezogener Daten ohne Automatisierung.

Bei dieser Verarbeitung werden personenbezogene Daten von anderen Informationen getrennt, insbesondere durch ihre Erfassung auf gesonderten physischen Datenträgern oder in dafür bestimmten Abschnitten oder Feldern von Formularen.

Personenbezogene Daten werden nur so lange in einer Form gespeichert, die eine Identifizierung der betroffenen Person ermöglicht, wie es für die Verarbeitungszwecke erforderlich ist.