Политика обработки персональных данных

1. Оператор

S.R.L. «Right Consult Company», IDNO 1022600002005, юридический адрес: MD-2072, мун. Кишинэу, ул. Grenoble 259/6, оф. 57, осуществляющее деятельность под коммерческим наименованием ExpertCont (далее — «Общество»), является оператором персональных данных в отношении операций обработки, цели и средства которых оно определяет.

1. адрес: MD-2072, мун. Кишинэу, ул. Grenoble 259/6, оф. 57;
2. e-mail: [email protected];
3. телефон: +373 60 82 55 81;
4. защита персональных данных: [email protected].

Общество не назначало ответственного за защиту данных в смысле ст. 37 Закона № 195/2024. Обращения, касающиеся обработки персональных данных, направляются по адресу [email protected].

2. Предмет Политики

Настоящая Политика определяет порядок, в котором Общество собирает, использует, просматривает, передаёт, хранит, защищает и удаляет персональные данные лиц, с которыми оно взаимодействует, в соответствии с Законом № 195/2024 о защите персональных данных.

Политика носит общий характер и дополняется специальными уведомлениями для отдельных услуг или операций, в том числе Политикой конфиденциальности сайта, регулирующей онлайн-формы, аналитику посещаемости и файлы cookie. Если специальное уведомление более подробно описывает цель, срок хранения, получателя или передачу данных, оно применяется совместно с настоящей Политикой.

3. Категории субъектов данных

В зависимости от вида деятельности Общество может обрабатывать персональные данные следующих категорий лиц:

1. клиенты и потенциальные клиенты;
2. представители и работники клиентов;
3. контрагенты и их представители;
4. лица, участвующие в делах, которые ведёт Общество;
5. поставщики и их представители;
6. кандидаты на трудоустройство;
7. работники и лица, сотрудничающие с Обществом;
8. лица, обращающиеся в Общество;
9. посетители онлайн-ресурсов Общества.

4. Категории обрабатываемых данных

В зависимости от конкретного правоотношения могут обрабатываться следующие категории данных:

1. фамилия и имя;
2. IDNP и сведения из документов, удостоверяющих личность, если они необходимы;
3. адрес, номер телефона и адрес электронной почты;
4. должность и подпись;
5. профессиональные, договорные и финансовые сведения;
6. переписка;
7. документы, предоставленные для оказания услуг;
8. сведения о спорах и иных процедурах;
9. технические данные и данные безопасности;
10. иные сведения, необходимые для ведения дела.

Специальные категории данных и данные о судимостях и правонарушениях обрабатываются только в случаях, когда этого требует характер услуги и имеется соответствующее правовое основание. Общество не запрашивает и намеренно не собирает данные, не требующиеся для заявленной цели. Если переданный Обществу документ содержит избыточные данные, доступ к ним и их использование ограничиваются объёмом, необходимым для ведения дела или исполнения требований закона.

5. Цели обработки

Персональные данные обрабатываются в следующих целях:

1. рассмотрение обращений и совершение преддоговорных действий;
2. заключение и исполнение договоров, в том числе оказание бухгалтерских, юридических и консалтинговых услуг;
3. ведение дел и взаимодействие с клиентами и иными участвующими лицами;
4. исполнение требований законодательства, в том числе в области бухгалтерского учёта, налогообложения, предупреждения и противодействия отмыванию денег и финансированию терроризма;
5. установление, осуществление или защита прав и законных интересов;
6. обеспечение безопасности информационных систем, предотвращение мошенничества и несанкционированного доступа;
7. рассмотрение запросов субъектов данных;
8. подбор персонала.

Использование данных в новой цели, несовместимой с первоначальной, допускается только после проверки правового основания и предоставления сведений, предусмотренных законом.

6. Правовые основания

Правовое основание определяется отдельно для каждой цели обработки и может состоять в следующем:

1. исполнение договора или совершение преддоговорных действий по запросу субъекта данных — для рассмотрения обращений, подготовки предложений и оказания услуг;
2. исполнение обязанности, предусмотренной законом, — для бухгалтерского учёта, налоговой отчётности и мер по предупреждению отмывания денег;
3. законный интерес Общества или третьего лица — для обеспечения безопасности систем, предотвращения мошенничества и защиты прав, за исключением случаев, когда преобладают интересы либо права и свободы субъекта данных;
4. согласие субъекта данных — только при отсутствии более подходящего основания, например для хранения резюме в целях последующего подбора персонала или для аналитики посещаемости сайта;
5. защита жизненно важных интересов субъекта данных или иного физического лица.

Для обработки специальных категорий данных дополнительно определяется одно из условий, предусмотренных законом. Общедоступность сведений сама по себе не допускает их использования в любых целях.

7. Согласие

Общество не запрашивает согласие, если обработка основана на ином, более подходящем правовом основании. Если обработка основана на согласии:

1. согласие запрашивается отдельно для каждой цели;
2. субъект данных вправе отказать в согласии без необоснованных последствий;
3. согласие может быть отозвано в любой момент так же просто, как оно было дано;
4. отзыв согласия не влияет на законность обработки, осуществлённой до отзыва.

После отзыва согласия обработка, основанная исключительно на нём, прекращается, за исключением случаев, когда имеется иное правовое основание, о котором субъект данных уведомляется.

8. Источники данных

Персональные данные могут быть получены:

1. непосредственно от субъекта данных;
2. от клиента, заказавшего услугу;
3. от представителей;
4. из документов дела;
5. от государственных органов;
6. из реестров и общедоступных источников;
7. от контрагентов;
8. от поставщиков или партнёров, если передача данных является законной.

Для каждого дела используются только источники, относящиеся к конкретной цели. Если данные получены не от субъекта данных, Общество предоставляет предусмотренную законом информацию в установленные сроки с учётом применимых исключений.

9. Получатели данных

В необходимом объёме данные могут передаваться:

1. уполномоченным работникам и сотрудничающим с Обществом лицам;
2. адвокатам, консультантам, экспертам и переводчикам;
3. органам публичной власти и судам;
4. нотариусам и судебным исполнителям;
5. финансовым учреждениям;
6. бухгалтерам и аудиторам;
7. поставщикам информационных, облачных услуг и услуг электронной почты;
8. иным лицам, если передача необходима и имеет правовое основание.

Каждый получатель получает только данные, необходимые для выполнения его функций. Общество не продаёт персональные данные. Получатель, обрабатывающий данные в собственных целях, несёт ответственность за такую обработку в соответствии с законом.

10. Уполномоченные лица

Общество привлекает только уполномоченных лиц, предоставляющих достаточные гарантии применения надлежащих технических и организационных мер. Отношения с ними регулируются договором в соответствии с требованиями закона. При оценке уполномоченных лиц учитываются характер услуги, меры безопасности, конфиденциальность, субуполномоченные лица, место обработки, порядок работы с инцидентами и удаления данных.

Для электронной почты Общество использует сервисы Zoho. Доступ к рабочим пространствам предоставляется персонально, публичный доступ к документам, содержащим персональные данные, отключён, а личные учётные записи работников не используются для хранения рабочих материалов.

11. Трансграничная передача данных

При передаче данных в государство за пределами Европейской экономической зоны или международной организации, в том числе при удалённом доступе поставщика из такого государства, Общество проверяет наличие одного из следующих механизмов, предусмотренных Законом № 195/2024:

1. решения о надлежащем уровне защиты;
2. надлежащих гарантий, в том числе соответствующих договорных положений;
3. обязательных корпоративных правил;
4. иных механизмов, предусмотренных законом;
5. в ограниченных случаях — предусмотренного законом исключения.

Субъект данных вправе запросить дополнительные сведения о гарантиях, применяемых к касающейся его передаче данных.

12. Сроки хранения

Данные хранятся только в течение срока, необходимого для достижения цели, исполнения договора, выполнения требований закона, разрешения спора или процедуры либо защиты права. Ориентировочно применяются следующие сроки:

1. обращения и предложения, не повлёкшие заключения договора, — 12 месяцев с момента последнего взаимодействия;
2. дело клиента — в течение срока действия договора, бухгалтерские и налоговые документы — в течение срока, установленного бухгалтерским и налоговым законодательством;
3. данные, полученные в рамках мер по предупреждению отмывания денег, — в течение срока, установленного профильным законодательством;
4. резюме кандидатов, не принятых на работу, — 6 месяцев, а с согласия кандидата — до 12 месяцев;
5. журналы безопасности — от 6 до 12 месяцев в зависимости от уровня риска.

Удаление данных, необходимых для спора, проверки, аудита или расследования, приостанавливается только в отношении соответствующих данных до отпадения основания. По истечении применимого срока данные удаляются, уничтожаются или обезличиваются.

13. Безопасность данных

Общество применяет технические и организационные меры, соразмерные рискам, в том числе:

1. контроль доступа на основе ролей по принципу служебной необходимости;
2. многофакторную аутентификацию;
3. шифрование данных;
4. правила в отношении паролей;
5. резервное копирование;
6. журналирование доступа;
7. защиту устройств;
8. обучение персонала и обязательства о конфиденциальности;
9. внутреннюю процедуру реагирования на инциденты.

Меры периодически пересматриваются, а права доступа отзываются, когда в них отпадает необходимость.

14. Права субъекта данных

На условиях Закона № 195/2024 субъект данных имеет:

1. право на информацию;
2. право доступа;
3. право на исправление;
4. право на удаление;
5. право на ограничение обработки;
6. право на переносимость данных;
7. право на возражение;
8. права в отношении автоматизированных индивидуальных решений;
9. право отозвать согласие;
10. право подать жалобу в Национальный центр по защите персональных данных;
11. право на обращение в суд.

Указанные права не являются абсолютными и могут подлежать условиям и исключениям, предусмотренным законом. Если запрос не может быть удовлетворён полностью, Общество сообщает причины.

15. Порядок осуществления прав

Запросы об осуществлении прав направляются по адресу электронной почты [email protected] или почтой по адресу MD-2072, мун. Кишинэу, ул. Grenoble 259/6, оф. 57.

Общество отвечает без необоснованной задержки и в любом случае не позднее одного месяца с момента получения запроса. С учётом сложности и количества запросов срок может быть продлён не более чем на два месяца; субъект данных уведомляется о продлении и его причинах в течение первоначального срока. Для подтверждения личности могут запрашиваться только строго необходимые сведения, соразмерно характеру запроса и чувствительности данных.

16. Автоматизированное принятие решений

Общество использует следующие процессы, основанные на автоматизированной обработке данных:

1. расчёт ориентировочной стоимости услуг на основании данных, введённых пользователем в калькулятор на сайте; результат носит ориентировочный характер, не влечёт юридических последствий для субъекта данных, а окончательное предложение подтверждается специалистом;
2. проверка потенциальных клиентов, их администраторов и бенефициарных собственников по международным санкционным спискам, спискам политически значимых лиц и иным соответствующим базам данных в соответствии с законодательством о предупреждении и противодействии отмыванию денег и финансированию терроризма; любое совпадение рассматривается специалистом до принятия решения о деловых отношениях.

Субъект данных вправе требовать вмешательства человека, выражать свою позицию и оспаривать решение. Данные, обрабатываемые в рамках этих процессов, доступны только уполномоченным лицам и хранятся только в течение срока, необходимого для достижения цели. Сведения о логике расчёта ориентировочной стоимости приведены в Политике конфиденциальности сайта.

17. Данные детей

Общество намеренно не собирает данные детей, не требующиеся для оказываемой услуги. Если такие данные обрабатываются, в том числе в кадровых делах клиентов, применяются дополнительные меры защиты и проверяется соответствующее правовое основание.

18. Нарушение безопасности данных

Общество применяет внутреннюю процедуру выявления, оценки и документирования инцидентов безопасности. Если нарушение может повлечь риск для прав и свобод физических лиц, о нём уведомляется Национальный центр по защите персональных данных без необоснованной задержки и, по возможности, не позднее 72 часов с момента обнаружения. При высоком уровне риска субъекты данных уведомляются без необоснованной задержки, за исключением случаев, предусмотренных законом.

19. Изменение Политики

Настоящая Политика может обновляться в связи с изменениями законодательства, услуг, технологий или поставщиков либо введением новых операций по обработке. Дата последнего обновления указана в начале документа. О существенных изменениях субъекты данных уведомляются разумными способами в зависимости от доступного канала связи.