1.1. Objeto de esta Política

Este documento (la Política) establece las finalidades y los principios generales del tratamiento de datos personales, así como las medidas de protección de datos personales aplicadas por la sociedad de responsabilidad limitada MOYA GAVAN (la Sociedad).

La Sociedad es responsable del tratamiento de datos personales. Esta Política es un documento público de la Sociedad que cualquier persona puede consultar.

1.2. Principales derechos de la Sociedad

Los datos personales se tratan de manera lícita y leal, de conformidad con los principios y las normas establecidos por la Ley Federal n.º 152-FZ, de 27 de julio de 2006, sobre Datos Personales (Ley Federal n.º 152-FZ), sobre la base del consentimiento de su titular, salvo en los casos previstos por la Ley Federal n.º 152-FZ.

La Sociedad se reserva el derecho de comprobar que los datos personales facilitados sean completos, exactos y adecuados y, cuando sea necesario, estén actualizados en relación con las finalidades del tratamiento. Si se detectan datos personales incorrectos o incompletos, la Sociedad podrá poner fin a toda relación con su titular.

Si el consentimiento al tratamiento de datos personales se obtiene de un representante de su titular, la Sociedad comprueba que dicho representante esté facultado para consentir en nombre del titular.

La Sociedad podrá obtener datos personales de una persona distinta de su titular, siempre que aporte la confirmación de los fundamentos previstos en los puntos 2–11 del apartado 1 del artículo 6, el apartado 2 del artículo 10 y el apartado 2 del artículo 11 de la Ley Federal n.º 152-FZ.

Si el titular retira su consentimiento al tratamiento de datos personales, la Sociedad podrá seguir tratándolos sin su consentimiento cuando concurran los fundamentos previstos en los puntos 2–11 del apartado 1 del artículo 6, el apartado 2 del artículo 10 y el apartado 2 del artículo 11 de la Ley Federal n.º 152-FZ.

Con el consentimiento del titular, salvo disposición en contrario de una ley federal, la Sociedad podrá encomendar el tratamiento de datos personales a terceros mediante un acuerdo o contrato o mediante la adopción del acto correspondiente (un encargo de la Sociedad). La persona que trate datos personales por encargo de la Sociedad deberá respetar los principios y las normas de la Ley Federal n.º 152-FZ. El encargo deberá especificar los datos personales, las actuaciones u operaciones que se realizarán y las finalidades del tratamiento. Deberá exigir al encargado del tratamiento que mantenga la confidencialidad, cumpla el apartado 5 del artículo 18 y el artículo 18.1 de la Ley Federal n.º 152-FZ y, a petición de la Sociedad durante toda la vigencia del encargo, incluso antes de iniciar el tratamiento, aporte documentos y otra información que acrediten las medidas adoptadas y el cumplimiento de los requisitos establecidos por la Ley Federal n.º 152-FZ para ejecutar el encargo. Deberá exigir la seguridad del tratamiento y especificar los requisitos de protección de datos conforme al artículo 19 de la Ley Federal n.º 152-FZ, incluida la notificación a la Sociedad en los casos previstos en el apartado 3.1 del artículo 21 de dicha ley.

La persona que trate datos personales por encargo de la Sociedad no estará obligada a obtener el consentimiento de su titular.

Cuando la Sociedad encomiende el tratamiento de datos personales a un tercero, seguirá siendo responsable ante el titular de los datos por las actuaciones de dicho tercero. El encargado del tratamiento que actúe por encargo de la Sociedad responderá ante esta.

Si la Sociedad encomienda el tratamiento de datos personales a una persona física o jurídica extranjera, tanto la Sociedad como el encargado del tratamiento que actúe por su encargo responderán ante el titular de los datos por las actuaciones de dichas personas.

1.3. Principales obligaciones de la Sociedad

La Sociedad no recoge ni trata datos personales ni los comunica a terceros sin el consentimiento de su titular, salvo disposición en contrario de la legislación rusa.

Si, a raíz de una consulta o solicitud del titular de los datos, de su representante o de la autoridad competente para la protección de los datos personales, se detecta un tratamiento ilícito, la Sociedad bloquea los datos personales afectados o garantiza su bloqueo cuando los trate otra persona por encargo de la Sociedad, desde la recepción de la consulta o solicitud y durante la comprobación.

Si, a raíz de una consulta o solicitud del titular de los datos o de su representante, o de una solicitud de la autoridad competente para la protección de los datos personales, se detectan datos personales inexactos, la Sociedad bloquea los datos afectados o garantiza su bloqueo cuando los trate otra persona por encargo de la Sociedad, desde la recepción de la consulta o solicitud y durante la comprobación, siempre que el bloqueo no vulnere los derechos e intereses legítimos del titular o de terceros.

Si se confirma la inexactitud, la Sociedad rectifica los datos personales o garantiza su rectificación cuando los trate otra persona por encargo de la Sociedad, en un plazo de 7 días hábiles desde la recepción de la información del titular, de su representante, de la autoridad competente para la protección de los datos personales o de otros documentos necesarios, y levanta el bloqueo.

Si se detecta un tratamiento ilícito de datos personales por parte de la Sociedad o de una persona que actúe por su encargo, la Sociedad pone fin a dicho tratamiento o garantiza que esa persona lo haga en un plazo de 3 días hábiles desde su detección.

Si no es posible garantizar la licitud del tratamiento, la Sociedad destruye los datos personales o garantiza su destrucción en un plazo de 10 días hábiles desde la detección del tratamiento ilícito. La persona encargada de organizar el tratamiento de datos personales en la Sociedad determina si el tratamiento es ilícito y si procede la destrucción, e informa a la dirección. La Sociedad comunica al titular de los datos o a su representante que se han subsanado las infracciones o destruido los datos. Si la consulta del titular o de su representante, o la solicitud de la autoridad competente para la protección de los datos personales, fue remitida por dicha autoridad, la Sociedad también informa a esta.

Si se constata que una transmisión ilícita o accidental de datos personales (comunicación, difusión o acceso) ha vulnerado los derechos de uno o varios titulares, la Sociedad deberá notificar a la autoridad competente para la protección de los datos personales, una vez que el incidente sea detectado por la Sociedad, por dicha autoridad o por otra persona interesada:

1. en un plazo de 24 horas, el incidente, sus causas presuntas, el perjuicio previsto para los derechos de los titulares y las medidas adoptadas para remediar sus consecuencias, así como los datos de la persona autorizada por la Sociedad para comunicarse con la autoridad de protección de datos personales sobre el incidente;

2. en un plazo de 72 horas, los resultados de la investigación interna, así como los datos de las personas cuyas actuaciones hayan provocado el incidente, si se conocen.

Una vez alcanzada la finalidad del tratamiento de datos personales, la Sociedad pone fin al tratamiento y destruye los datos o garantiza que lo haga la persona que los trate por su encargo, en un plazo de 30 días desde que se alcance dicha finalidad. Esto se aplica salvo que se establezca otra cosa en un contrato en el que el titular sea parte, beneficiario o fiador, o en otro acuerdo entre la Sociedad y el titular, o que la Sociedad pueda tratar los datos sin consentimiento conforme a la Ley Federal n.º 152-FZ u otras leyes federales.

Si el titular retira su consentimiento, la Sociedad pone fin al tratamiento o garantiza que lo haga la persona que trate los datos por su encargo. Si ya no es necesaria su conservación para las finalidades del tratamiento, la Sociedad destruye los datos o garantiza su destrucción en un plazo de 30 días desde la recepción de la retirada del consentimiento. Esto se aplica salvo que se establezca otra cosa en un contrato en el que el titular sea parte, beneficiario o fiador, o en otro acuerdo entre la Sociedad y el titular, o que la Sociedad pueda tratar los datos sin consentimiento conforme a la Ley Federal n.º 152-FZ u otras leyes federales.

Si el titular solicita a la Sociedad que deje de tratar sus datos personales, la Sociedad pone fin al tratamiento o garantiza que su encargado lo haga en un plazo de 10 días hábiles desde la recepción de la solicitud, salvo en los casos previstos en los puntos 2–11 del apartado 1 del artículo 6, el apartado 2 del artículo 10 y el apartado 2 del artículo 11 de la Ley Federal n.º 152-FZ. Este plazo podrá ampliarse como máximo 5 días hábiles si la Sociedad envía al titular una notificación motivada que explique la ampliación del plazo para facilitar la información solicitada.

La Sociedad realiza las modificaciones necesarias en un plazo de 7 días hábiles desde que el titular o su representante aporte información que confirme que los datos personales son incompletos, inexactos o están desactualizados.

La Sociedad destruye los datos personales en un plazo de 7 días hábiles desde que el titular o su representante aporte información que confirme que se obtuvieron de manera ilícita o que son innecesarios para la finalidad declarada del tratamiento. La Sociedad informa al titular o a su representante de las modificaciones y medidas adoptadas y realiza esfuerzos razonables para notificar a los terceros a quienes se hayan comunicado los datos.

Si no es posible destruir los datos personales dentro de los plazos indicados, la Sociedad los bloquea o garantiza su bloqueo cuando los trate otra persona por su encargo, y garantiza su destrucción en un plazo no superior a 6 meses, salvo que una ley federal establezca otro plazo.

La destrucción de los datos personales se acredita de conformidad con los requisitos establecidos por la autoridad competente para la protección de los datos personales.

Conforme a la Orden n.º 179, de 28 de octubre de 2022, del Servicio Federal de Supervisión de las Comunicaciones, las Tecnologías de la Información y los Medios de Comunicación, por la que se aprueban los requisitos para acreditar la destrucción de datos personales (los Requisitos), cuando la Sociedad trate datos personales sin medios automatizados, la destrucción se acredita mediante un acta de destrucción de datos personales.

Cuando la Sociedad trate datos personales mediante medios automatizados, la destrucción se acredita mediante un acta que cumpla los puntos 3 y 4 de los Requisitos y una exportación del registro de eventos del sistema de información de datos personales (la exportación del registro).

Si la exportación del registro no puede incluir determinada información exigida por el punto 5 de los Requisitos, la información que falte se incorpora al acta de destrucción.

Cuando la Sociedad trate datos personales tanto con medios automatizados como sin ellos, la destrucción se acredita mediante un acta que cumpla los puntos 3 y 4 de los Requisitos y una exportación del registro que cumpla el punto 5 de los Requisitos.

El acta de destrucción y la exportación del registro deberán conservarse durante 3 años desde la destrucción de los datos personales.

1.4. Principales derechos de los titulares de datos personales

El titular decide si facilita sus datos personales y presta su consentimiento al tratamiento de forma libre, voluntaria y en su propio interés. Cuando lo exija una ley federal, el tratamiento requerirá el consentimiento por escrito del titular. El consentimiento en un documento electrónico firmado con firma electrónica conforme a la legislación federal equivale al consentimiento por escrito en papel con la firma manuscrita del titular.

Para proteger sus intereses legítimos, los titulares de datos personales o sus representantes tienen derecho a:

1. recibir información completa sobre sus datos personales y su tratamiento, incluido el tratamiento automatizado;

2. acceder libremente y sin coste a sus datos personales, incluida la obtención de copias de cualquier registro que los contenga, salvo en los casos previstos en el apartado 8 del artículo 14 de la Ley Federal n.º 152-FZ;

3. solicitar la rectificación, el bloqueo o la destrucción de los datos personales incompletos, desactualizados, inexactos, obtenidos ilícitamente o innecesarios para la finalidad declarada del tratamiento, y adoptar las medidas de protección de sus derechos previstas por la ley. Si la Sociedad se niega a suprimir, rectificar, bloquear o destruir los datos, el titular podrá formular una objeción por escrito con los motivos correspondientes;

4. exigir a la Sociedad que notifique a todas las personas a quienes se hayan facilitado previamente datos personales incorrectos, incompletos, desactualizados, inexactos, obtenidos ilícitamente o innecesarios todas las modificaciones o supresiones, incluido su bloqueo o destrucción por dichos terceros;

5. impugnar ante los tribunales o ante la autoridad competente para la protección de los datos personales las actuaciones u omisiones ilícitas de la Sociedad en el tratamiento y la protección de sus datos personales, si el titular considera que la Sociedad vulnera la Ley Federal n.º 152-FZ o lesiona de otro modo sus derechos y libertades. El titular tiene derecho a defender sus derechos e intereses legítimos, incluida la reclamación judicial de una indemnización por daños y perjuicios o de una compensación por daño moral.

El titular tiene derecho a obtener información sobre el tratamiento de sus datos personales, incluida la siguiente:

1. confirmación de que la Sociedad trata datos personales;

2. los fundamentos jurídicos y las finalidades del tratamiento;

3. las finalidades y los métodos de tratamiento utilizados por la Sociedad;

4. el nombre y el domicilio de la Sociedad, así como información sobre las personas distintas de sus empleados que tengan acceso a los datos personales o a quienes puedan comunicarse en virtud de un contrato con la Sociedad o de una ley federal;

5. los datos personales tratados que se refieran al titular y su procedencia, salvo que una ley federal establezca un procedimiento distinto para facilitar dichos datos;

6. los plazos de tratamiento, incluidos los plazos de conservación;

7. el procedimiento para ejercer los derechos previstos en la Ley Federal n.º 152-FZ;

8. información sobre las transferencias internacionales de datos realizadas o previstas;

9. el nombre o, en su caso, los apellidos, el nombre y el patronímico, así como la dirección de cualquier persona a quien se haya encomendado o se vaya a encomendar el tratamiento de datos personales por encargo de la Sociedad;

10. información sobre cómo cumple la Sociedad sus obligaciones conforme al artículo 18.1 de la Ley Federal n.º 152-FZ;

11. otra información prevista por la Ley Federal n.º 152-FZ u otras leyes federales.

Si, a petición del titular, se le ha permitido acceder a los datos personales objeto de tratamiento, podrá presentar una nueva consulta o solicitud a la Sociedad para obtener información y acceso una vez transcurridos al menos 30 días desde la consulta o solicitud inicial, salvo que una ley federal, una norma dictada en su desarrollo o un contrato en el que el titular sea parte, beneficiario o fiador establezca un plazo más breve.

El titular podrá presentar una nueva consulta o solicitud antes de que transcurra el plazo de 30 días si la información o los datos personales tratados no se facilitaron íntegramente en respuesta a la consulta inicial. La nueva solicitud deberá explicar los motivos de su presentación.

La Sociedad podrá rechazar una solicitud reiterada que no cumpla las condiciones de los apartados 4 y 5 del artículo 14 de la Ley Federal n.º 152-FZ. La negativa deberá estar motivada. Corresponde a la Sociedad demostrar que su negativa está justificada.

El derecho del titular a acceder a sus datos personales podrá restringirse con arreglo a las leyes federales, incluidos los casos siguientes:

1. los datos personales, incluidos los obtenidos mediante actividades operativas de investigación, contrainteligencia e inteligencia, se traten con fines de defensa nacional, seguridad del Estado y mantenimiento del orden público;

2. los datos personales sean tratados por autoridades que hayan detenido al titular por sospecha de haber cometido un delito, lo hayan acusado en un proceso penal o le hayan impuesto una medida cautelar antes de formular la acusación, salvo cuando la legislación procesal penal rusa permita al sospechoso o acusado consultar dichos datos;

3. los datos personales se traten conforme a la legislación contra el blanqueo de capitales y la financiación del terrorismo;

4. el acceso del titular vulnere los derechos e intereses legítimos de terceros;

5. los datos personales se traten en los casos previstos por la legislación rusa sobre seguridad del transporte para garantizar el funcionamiento estable y seguro del sistema de transporte y proteger a las personas, la sociedad y el Estado frente a injerencias ilícitas en dicho sistema.

5.1. Operaciones con datos personales realizadas por la Sociedad

La Sociedad realiza las siguientes operaciones con datos personales:

1. Para cumplir la legislación laboral rusa: transmisión (acceso), registro, bloqueo, organización, transmisión (comunicación), uso, supresión, anonimización, acumulación, recogida, conservación, rectificación (actualización o modificación), destrucción y extracción;

2. Para establecer y ejecutar relaciones contractuales: transmisión (difusión), transmisión (acceso), registro, bloqueo, organización, transmisión (comunicación), uso, supresión, anonimización, acumulación, recogida, conservación, rectificación (actualización o modificación), destrucción y extracción.

5.2. Métodos de tratamiento de datos personales

La Sociedad utiliza los siguientes métodos de tratamiento de datos personales:

1. Para cumplir la legislación laboral rusa se utiliza un tratamiento combinado automatizado y no automatizado, sin transmisión por la red interna, pero con transmisión por Internet;

2. Para establecer y ejecutar relaciones contractuales se utiliza un tratamiento automatizado, con transmisión tanto por la red interna como por Internet.

5.3. Comunicación de datos personales a terceros

Tercero: sociedad de responsabilidad limitada Registrador de Nombres de Dominio REG.RU, número de identificación fiscal (INN) 7733568767.

Domicilio del tercero: avenida Leningradsky, 72, edificio 3, Moscú, región de Moscú, 125315, Rusia.

Condiciones de comunicación: por encargo del Responsable del tratamiento.

Transferencias internacionales de datos personales: ninguna.

Método de transmisión al tercero: transmisión automatizada por Internet.

Finalidad de la transmisión: externalizar el tratamiento de la información en el sistema.

Titulares y datos personales comunicados:

1) personas físicas, incluidos los ciudadanos extranjeros, que soliciten servicios:

Datos personales de acceso público: datos de contacto (número de teléfono y dirección de correo electrónico), apellidos, nombre, patronímico y fotografía.

Métodos de tratamiento del tercero: tratamiento automatizado con transmisión por la red interna y sin transmisión por Internet.

Operaciones permitidas al tercero: bloqueo, registro, extracción, uso, acumulación, transmisión (acceso), transmisión (comunicación), transmisión (difusión), recogida, organización, supresión, destrucción, rectificación (actualización o modificación) y conservación.

5.4. Medidas de seguridad para el tratamiento de datos personales

Al tratar datos personales, la Sociedad adopta y garantiza las medidas jurídicas, organizativas y técnicas necesarias para protegerlos frente al acceso ilícito o accidental, la destrucción, la modificación, el bloqueo, la copia, la comunicación, la difusión y otras actuaciones ilícitas.

La Sociedad garantiza la seguridad de los datos personales mediante medidas que incluyen:

1. evaluar el posible perjuicio para los titulares derivado de infracciones de la Ley sobre Datos Personales, de conformidad con los requisitos de la autoridad competente para la protección de los datos personales, y comparar dicho perjuicio con las medidas de protección destinadas a cumplir las obligaciones establecidas en esa ley;

2. realizar controles internos o auditorías del cumplimiento de la Ley sobre Datos Personales y de los documentos internos de la Sociedad que regulan el tratamiento de datos personales;

3. dar a conocer a los empleados que participen directamente en el tratamiento la legislación rusa sobre datos personales, la política de tratamiento de datos personales de la Sociedad y sus normas internas de tratamiento, o impartirles formación al respecto;

4. aprobar una política de tratamiento de datos personales de la Sociedad y normas internas que especifiquen, para cada finalidad, las categorías y la relación de datos personales, las categorías de titulares, los métodos y los plazos de tratamiento y conservación y los procedimientos de destrucción una vez alcanzadas las finalidades o cuando concurran otros fundamentos jurídicos; y aprobar normas internas que establezcan procedimientos para prevenir y detectar infracciones de la legislación rusa y remediar sus consecuencias;

5. mantener un inventario de los soportes electrónicos que contengan datos personales;

6. designar a una persona encargada de organizar el tratamiento de datos personales;

7. restaurar los datos personales modificados o destruidos como consecuencia de un acceso no autorizado;

8. utilizar herramientas de seguridad de la información que hayan superado el procedimiento de evaluación de conformidad exigido;

9. identificar las amenazas para la seguridad de los datos personales durante su tratamiento en sistemas de información de datos personales;

10. evaluar la eficacia de las medidas de seguridad de los datos personales antes de poner en funcionamiento un sistema de información de datos personales;

11. establecer normas de acceso a los datos personales tratados en un sistema de información y garantizar el registro y seguimiento de todas las operaciones que se realicen sobre esos datos;

12. detectar accesos no autorizados a datos personales y adoptar medidas, incluida la detección y prevención de ataques informáticos contra los sistemas de información de datos personales, la reparación de sus consecuencias y la respuesta a incidentes de seguridad informática;

13. supervisar las medidas de seguridad de los datos personales y el nivel de protección de los sistemas de información de datos personales;

14. aplicar las medidas organizativas y técnicas de seguridad necesarias para cumplir los requisitos de protección de datos personales y alcanzar los niveles de protección establecidos por el Gobierno de la Federación de Rusia;

15. cooperar con el sistema estatal de detección, prevención y reparación de las consecuencias de ataques informáticos contra los recursos de información de la Federación de Rusia, incluida la notificación de incidentes de seguridad informática que den lugar al acceso ilícito, la comunicación, la difusión o la transmisión de datos personales.

5.5. Las bases de datos personales de la Sociedad se encuentran íntegramente en la Federación de Rusia.

5.6. Plazos de tratamiento de datos personales

Los datos personales tratados por la Sociedad deberán destruirse o anonimizarse si:

1. se han alcanzado las finalidades del tratamiento o han dejado de ser necesarias;

2. el titular retira su consentimiento al tratamiento;

3. vence la vigencia del consentimiento al tratamiento;

4. no puede garantizarse la licitud del tratamiento;

5. la Sociedad cesa su actividad.

5.7. Condiciones del tratamiento de datos personales sin medios automatizados

Al tratar datos personales sin medios automatizados, la Sociedad cumple el Decreto n.º 687 del Gobierno de la Federación de Rusia, de 15 de septiembre de 2008, por el que se aprueba el Reglamento sobre las particularidades del tratamiento de datos personales sin medios automatizados.

En este tipo de tratamiento, los datos personales se mantienen separados de otra información, por ejemplo, registrándolos en soportes físicos independientes o en secciones o campos específicos de los formularios.

Los datos personales se conservan en un formato que permita identificar a su titular durante un plazo no superior al necesario para las finalidades del tratamiento.