تحدّد هذه الوثيقة قواعد شركة «شمس موسكو» ذات المسؤولية المحدودة وشركة «الشركة الإدارية «عجلة المشاهدة»» ذات المسؤولية المحدودة (المشار إليهما فيما بعد بـ«الشركة») فيما يتعلق بمعالجة البيانات الشخصية.

وُضعت قواعد معالجة البيانات الشخصية (المشار إليها فيما بعد بـ«القواعد») وفقًا للتشريعات النافذة في الاتحاد الروسي بشأن البيانات الشخصية.

يسري مفعول القواعد على جميع عمليات جمع البيانات الشخصية وتسجيلها وتصنيفها وتجميعها وتخزينها وتصحيحها (تحديثها وتعديلها) واستخراجها واستخدامها ونقلها (نشرها وإتاحتها والوصول إليها) وإخفاء هويتها وحجبها وحذفها وإتلافها، سواء تمت باستخدام وسائل مؤتمتة أو من دونها.

١. مبادئ معالجة البيانات الشخصية

تتم معالجة البيانات الشخصية استنادًا إلى المبادئ التالية:

• تتم معالجة البيانات الشخصية على أساس مشروع وعادل؛

• تقتصر معالجة البيانات الشخصية على تحقيق أغراض محدّدة ومعلومة سلفًا ومشروعة؛

• لا يجوز معالجة البيانات الشخصية على نحو لا يتوافق مع أغراض جمعها؛

• لا يجوز دمج قواعد البيانات المتضمّنة بيانات شخصية تُعالَج لأغراض غير متوافقة فيما بينها؛

• لا تخضع للمعالجة إلا البيانات الشخصية التي تتوافق مع أغراض معالجتها؛

• يتوافق مضمون البيانات الشخصية المعالَجة وحجمها مع أغراض المعالجة المعلنة. ولا تكون البيانات الشخصية المعالَجة زائدة عن الحاجة بالنسبة إلى أغراض المعالجة المعلنة؛

• يُكفل عند معالجة البيانات الشخصية دقّتها وكفايتها، وعند الاقتضاء حداثتها بالنسبة إلى أغراض معالجتها المعلنة؛

• إتلاف البيانات الشخصية أو إخفاء هويتها عند تحقّق أغراض معالجتها، أو في حال زوال الحاجة إلى تحقيق تلك الأغراض، وعند تعذّر إزالة المخالفات المرتكبة من جانب الشركة بشأن البيانات الشخصية، ما لم ينص قانون اتحادي على خلاف ذلك.

٢. شروط معالجة البيانات الشخصية

تتم معالجة البيانات الشخصية مع مراعاة المبادئ والقواعد المقرّرة بموجب القانون الاتحادي رقم ١٥٢-ف ز الصادر في ٢٧ يوليو «بشأن البيانات الشخصية» (المشار إليه فيما بعد بـ«قانون البيانات الشخصية»). ويُسمح بمعالجة البيانات الشخصية في الحالات التالية:

• أن تتم معالجة البيانات الشخصية بموافقة صاحب البيانات الشخصية على معالجة بياناته الشخصية؛

• أن تكون معالجة البيانات الشخصية لازمة لتحقيق الأغراض المنصوص عليها في معاهدة دولية للاتحاد الروسي أو في القانون، ولممارسة وأداء المهام والصلاحيات والواجبات المنوطة بالمشغّل بموجب تشريعات الاتحاد الروسي؛

• أن تكون معالجة البيانات الشخصية لازمة لإقامة العدل، أو لتنفيذ حكم قضائي أو قرار صادر عن جهة أخرى أو عن موظف مختص واجب التنفيذ وفقًا لتشريعات الاتحاد الروسي بشأن إجراءات التنفيذ؛

• أن تكون معالجة البيانات الشخصية لازمة لتنفيذ عقد يكون صاحب البيانات الشخصية طرفًا فيه أو مستفيدًا منه أو كفيلًا بموجبه، وكذلك لإبرام عقد بمبادرة من صاحب البيانات الشخصية أو عقد يكون صاحب البيانات الشخصية بموجبه مستفيدًا أو كفيلًا؛

• أن تكون معالجة البيانات الشخصية لازمة لحماية حياة صاحب البيانات الشخصية أو صحته أو غير ذلك من مصالحه الحيوية، إذا تعذّر الحصول على موافقته؛

• أن تكون معالجة البيانات الشخصية لازمة لممارسة حقوق المشغّل أو الأطراف الثالثة ومصالحهم المشروعة، أو لتحقيق أغراض ذات أهمية اجتماعية، بشرط ألا تُنتهك بذلك حقوق صاحب البيانات الشخصية وحرياته؛

• أن تتم معالجة البيانات الشخصية لأغراض إحصائية أو بحثية أخرى، بشرط إخفاء هوية البيانات الشخصية وجوبًا. ويُستثنى من ذلك معالجة البيانات الشخصية بغرض الترويج للسلع والأعمال والخدمات في السوق عن طريق الاتصال المباشر بالمستهلك المحتمل بواسطة وسائل الاتصال، وكذلك لأغراض الدعاية السياسية؛

• أن تتم معالجة بيانات شخصية أتاح صاحبها الوصول إليها لعدد غير محدود من الأشخاص، أو تمّت إتاحتها بناءً على طلبه (المشار إليها فيما بعد بـ«البيانات الشخصية التي جعلها صاحبها متاحة للعموم»)؛

• أن تتم معالجة بيانات شخصية واجبة النشر أو الإفصاح الإلزامي وفقًا لقانون اتحادي.

يجوز للشركة إدراج البيانات الشخصية لأصحابها ضمن مصادر البيانات الشخصية المتاحة للعموم، وتحصل الشركة في هذه الحالة على موافقة خطية من صاحب البيانات على معالجة بياناته الشخصية.

يجوز للشركة معالجة فئات خاصة من البيانات الشخصية تتعلق بالأصل العرقي والانتماء القومي والحالة الصحية، وتلتزم الشركة في هذه الحالة بالحصول على موافقة خطية من صاحب البيانات على معالجة بياناته الشخصية.

تُعالَج البيانات الشخصية البيومترية (المعلومات التي تصف الخصائص الفسيولوجية والبيولوجية للإنسان والتي يمكن على أساسها تحديد هويته ويستخدمها المشغّل لتحديد هوية صاحب البيانات الشخصية) لدى الشركة وفقًا لأحكام القانون.

لا تقوم الشركة بالنقل عبر الحدود للبيانات الشخصية إلا إلى أقاليم الدول الأجنبية التي تكفل حماية كافية لحقوق أصحاب البيانات الشخصية.

لا تُتخذ، استنادًا حصريًا إلى المعالجة المؤتمتة للبيانات الشخصية، قراراتٌ ترتّب آثارًا قانونية تجاه صاحب البيانات الشخصية أو تمسّ بحقوقه ومصالحه المشروعة على نحو آخر.

لا تتضمّن شروط ترخيص مزاولة نشاط الشركة حظرًا على نقل البيانات الشخصية إلى أطراف ثالثة من دون موافقة خطية من صاحب البيانات الشخصية.

في حال عدم لزوم الموافقة الخطية من صاحب البيانات على معالجة بياناته الشخصية، يجوز أن تصدر الموافقة عن صاحب البيانات الشخصية أو عن ممثّله بأي شكل يتيح إثبات واقعة الحصول عليها.

يحق للشركة أن تعهد بمعالجة البيانات الشخصية إلى شخص آخر بموافقة صاحب البيانات الشخصية، ما لم ينص قانون اتحادي على خلاف ذلك، وذلك بموجب عقد يُبرم مع ذلك الشخص (المشار إليه فيما بعد بـ«تكليف المشغّل»). وتُلزم الشركة في العقد الشخصَ الذي يعالج البيانات الشخصية بتكليف منها بالتقيّد بمبادئ وقواعد معالجة البيانات الشخصية المنصوص عليها في هذا القانون الاتحادي.

في حال عهدت الشركة بمعالجة البيانات الشخصية إلى شخص آخر، تتحمّل الشركة المسؤولية تجاه صاحب البيانات الشخصية عن أفعال ذلك الشخص. ويتحمّل الشخص الذي يعالج البيانات الشخصية بتكليف من الشركة المسؤولية تجاه الشركة.

تلتزم الشركة، وتُلزم سائر الأشخاص الذين حصلوا على حق الوصول إلى البيانات الشخصية، بعدم إفشاء البيانات الشخصية لأطراف ثالثة وعدم نشرها من دون موافقة صاحب البيانات الشخصية، ما لم ينص قانون اتحادي على خلاف ذلك. 

٣. حقوق صاحب البيانات الشخصية

يتخذ صاحب البيانات الشخصية قرار تقديم بياناته الشخصية ويمنح موافقته على معالجتها بحرّية وبمحض إرادته وبما يحقّق مصلحته. ويجوز أن تصدر الموافقة على معالجة البيانات الشخصية عن صاحبها أو عن ممثّله بأي شكل يتيح تأكيد واقعة الحصول عليها، ما لم يقرّر قانون اتحادي خلاف ذلك.

يقع على عاتق الشركة عبء تقديم الدليل على الحصول على موافقة صاحب البيانات الشخصية على معالجة بياناته الشخصية، أو الدليل على توافر الأسس المنصوص عليها في قانون البيانات الشخصية.

يحق لصاحب البيانات الشخصية الحصول على المعلومات المتعلقة بمعالجة بياناته الشخصية، ما لم يكن هذا الحق مقيّدًا وفقًا للقوانين الاتحادية. ويحق لصاحب البيانات الشخصية أن يطالب الشركة بتصحيح بياناته الشخصية أو حجبها أو إتلافها إذا كانت البيانات الشخصية ناقصة أو قديمة أو غير دقيقة أو تم الحصول عليها بصورة غير مشروعة أو لم تعد لازمة لغرض المعالجة المعلن، وكذلك أن يتخذ التدابير التي يقرّرها القانون لحماية حقوقه.

لا يُسمح بمعالجة البيانات الشخصية بغرض الترويج للسلع والأعمال والخدمات في السوق عن طريق الاتصال المباشر بالمستهلك المحتمل بواسطة وسائل الاتصال، وكذلك لأغراض الدعاية السياسية، إلا بشرط الحصول على موافقة مسبقة من صاحب البيانات الشخصية. وتُعدّ هذه المعالجة قد تمّت من دون موافقة مسبقة من صاحب البيانات الشخصية ما لم تثبت الشركة أن هذه الموافقة قد تم الحصول عليها.

تلتزم الشركة، بناءً على طلب صاحب البيانات الشخصية، بالوقف الفوري لمعالجة بياناته الشخصية للأغراض المذكورة أعلاه.

يُحظر أن تُتخذ، استنادًا حصريًا إلى المعالجة المؤتمتة للبيانات الشخصية، قراراتٌ ترتّب آثارًا قانونية تجاه صاحب البيانات الشخصية أو تمسّ بحقوقه ومصالحه المشروعة على نحو آخر، باستثناء الحالات المنصوص عليها في القوانين الاتحادية أو عند وجود موافقة خطية من صاحب البيانات الشخصية.

إذا رأى صاحب البيانات الشخصية أن الشركة تعالج بياناته الشخصية بالمخالفة لمقتضيات القانون الاتحادي «بشأن البيانات الشخصية» أو تنتهك حقوقه وحرياته على نحو آخر، فله الحق في التظلّم من أفعال الشركة أو امتناعها عن الفعل أمام الجهة المختصة بحماية حقوق أصحاب البيانات الشخصية أو أمام القضاء.

يحق لصاحب البيانات الشخصية حماية حقوقه ومصالحه المشروعة، بما في ذلك التعويض عن الأضرار و/أو التعويض عن الضرر المعنوي عن طريق القضاء.

٤. تدابير ضمان أمن البيانات الشخصية أثناء معالجتها

تتخذ الشركة عند معالجة البيانات الشخصية التدابير القانونية والتنظيمية والتقنية اللازمة لحماية البيانات الشخصية من الوصول غير المشروع أو العارض إليها، ومن إتلافها أو تعديلها أو حجبها أو نسخها أو إتاحتها أو نشرها، وكذلك من سائر الأفعال غير المشروعة المتعلقة بالبيانات الشخصية.

معلومات عن متطلبات حماية البيانات الشخصية المطبَّقة.

• جرى تعيين شخص مسؤول عن تنظيم معالجة البيانات الشخصية.

• جرى اعتماد مستندات تحدّد سياسة المؤسسة في مجال معالجة البيانات الشخصية وترسي إجراءات ترمي إلى منع مخالفات التشريعات وكشفها، وهي:

• خطة تدابير ضمان أمن البيانات الشخصية؛

• قائمة البيانات الشخصية الخاضعة للحماية؛

• قائمة نظم معلومات البيانات الشخصية؛

• لائحة تنظيم صلاحيات الوصول إلى البيانات الشخصية؛

• قرار باعتماد قائمة الأشخاص المصرَّح لهم بمعالجة البيانات الشخصية؛

• لائحة معالجة البيانات الشخصية وحمايتها؛

• قواعد معالجة البيانات الشخصية؛

• قرار باعتماد أماكن تخزين البيانات الشخصية والأشخاص المسؤولين عن الحفاظ على سرّية البيانات الشخصية أثناء تخزينها؛

تتم إزالة آثار مخالفات تشريعات الاتحاد الروسي وفقًا للتشريعات النافذة في الاتحاد الروسي، ووفقًا للائحة معالجة البيانات الشخصية وحمايتها، وكذلك وفقًا لتعليمات مسؤول أمن البيانات الشخصية ووفقًا لإجراءات النسخ الاحتياطي واستعادة صلاحية عمل الوسائل التقنية والبرمجيات وقواعد البيانات ووسائل حماية المعلومات.

تتم الرقابة الداخلية على مدى مطابقة معالجة البيانات الشخصية لتشريعات الاتحاد الروسي في هذا المجال وفقًا لخطة عمليات التدقيق الداخلي وتعليمات مسؤول الأمن ولائحة معالجة البيانات الشخصية وحمايتها.

نُشرت على موقع www.moscow-sun.ru اتفاقية المستخدم المتعلقة بمعالجة البيانات الشخصية.

يجري تسجيل وسائط التخزين في السجل المخصّص لذلك.

يتم كشف وقائع الوصول غير المصرّح به إلى البيانات الشخصية واتخاذ التدابير اللازمة بواسطة وسائل حماية المعلومات المستخدَمة ووفقًا لتعليمات مسؤول الأمن.

اعتُمدت قواعد الوصول إلى البيانات الشخصية في اللائحة المخصّصة لذلك.

يخضع الموظفون المصرَّح لهم بمعالجة البيانات الشخصية لدورات توجيهية في أمن المعلومات، ويوقّعون اتفاقية عدم إفشاء البيانات الشخصية، ويطّلعون على مستندات حماية البيانات الشخصية بالتوقيع.

يتحقّق ضمان أمن البيانات الشخصية، على وجه الخصوص، من خلال:

• تحديد التهديدات التي يتعرّض لها أمن البيانات الشخصية أثناء معالجتها في نظم معلومات البيانات الشخصية؛

• تطبيق التدابير التنظيمية والتقنية اللازمة لضمان أمن البيانات الشخصية أثناء معالجتها في نظم معلومات البيانات الشخصية، بما يفي بمتطلبات حماية البيانات الشخصية التي يكفل تنفيذها مستويات حماية البيانات الشخصية المقرّرة من حكومة الاتحاد الروسي؛

• استخدام وسائل حماية المعلومات التي اجتازت إجراءات تقييم المطابقة وفق الأصول المقرّرة؛

• تقييم فعالية التدابير المتخذة لضمان أمن البيانات الشخصية قبل تشغيل نظام معلومات البيانات الشخصية؛

• تسجيل وسائط التخزين المحتوية على البيانات الشخصية؛

• كشف وقائع الوصول غير المصرّح به إلى البيانات الشخصية واتخاذ التدابير اللازمة؛

• استعادة البيانات الشخصية التي عُدِّلت أو أُتلفت نتيجة الوصول غير المصرّح به إليها؛

• إرساء قواعد الوصول إلى البيانات الشخصية المعالَجة في نظام معلومات البيانات الشخصية، وكذلك ضمان تسجيل وحصر جميع الإجراءات التي تُنفَّذ على البيانات الشخصية في نظام معلومات البيانات الشخصية؛

• مراقبة التدابير المتخذة لضمان أمن البيانات الشخصية ومستوى حماية نظم معلومات البيانات الشخصية.