ООО «101 ГРУПП» की व्यक्तिगत डेटा प्रसंस्करण नियमावली

ООО «101 ГРУПП» की व्यक्तिगत डेटा प्रसंस्करण प्रक्रिया संबंधी यह नियमावली (आगे — नियमावली) व्यक्तिगत डेटा के प्रसंस्करण के उद्देश्य, शर्तें और प्रक्रिया निर्धारित करती है तथा ООО «101 ГРУПП» (आगे — कंपनी) द्वारा स्वचालित साधनों से या उनके बिना संसाधित व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने की सामान्य आवश्यकताएँ स्थापित करती है।

यह ऐप 27.07.2006 के संघीय कानून संख्या 152-ФЗ “व्यक्तिगत डेटा के बारे में” की आवश्यकताओं को ध्यान में रखकर विकसित किया गया है।

1. शब्द और परिभाषाएँ

नियमावली में 27.07.2006 के संघीय कानून संख्या 152-ФЗ “व्यक्तिगत डेटा के बारे में” के अनुच्छेद 3 के अनुसार निम्नलिखित शब्द और परिभाषाएँ प्रयुक्त हैं:

1.1. व्यक्तिगत डेटा को अवरुद्ध करना — व्यक्तिगत डेटा के प्रसंस्करण को अस्थायी रूप से रोकना, उन मामलों को छोड़कर जहाँ डेटा स्पष्ट करने के लिए प्रसंस्करण आवश्यक हो।

1.2. व्यक्तिगत डेटा सूचना प्रणाली — डेटाबेस में मौजूद व्यक्तिगत डेटा तथा उनके प्रसंस्करण को संभव बनाने वाली सूचना प्रौद्योगिकियों और तकनीकी साधनों का समुच्चय।

1.3. व्यक्तिगत डेटा का व्यक्तिरहितकरण — ऐसी कार्रवाइयाँ जिनके परिणामस्वरूप अतिरिक्त जानकारी के बिना यह निर्धारित करना असंभव हो जाता है कि व्यक्तिगत डेटा किसी विशिष्ट डेटा विषय से संबंधित है।

1.4. व्यक्तिगत डेटा का प्रसंस्करण — स्वचालित साधनों से या उनके बिना व्यक्तिगत डेटा पर की गई कोई कार्रवाई (संचालन) या कार्रवाइयों (संचालनों) का समूह, जिसमें संग्रह, अभिलेखन, व्यवस्थापन, संचय, भंडारण, स्पष्टीकरण (अद्यतन, परिवर्तन), निष्कर्षण, अवरोधन, विलोपन और विनाश शामिल हैं।

1.5. ऑपरेटर — कोई सरकारी निकाय, नगरपालिका निकाय, विधिक या प्राकृतिक व्यक्ति, जो स्वतंत्र रूप से या अन्य व्यक्तियों के साथ व्यक्तिगत डेटा प्रसंस्करण का आयोजन और/या निष्पादन करता है तथा प्रसंस्करण के उद्देश्य, संसाधित किए जाने वाले डेटा की संरचना और उन पर की जाने वाली कार्रवाइयाँ (संचालन) निर्धारित करता है।

1.6. व्यक्तिगत डेटा — प्रत्यक्ष या अप्रत्यक्ष रूप से पहचाने गए या पहचाने जा सकने वाले प्राकृतिक व्यक्ति (व्यक्तिगत डेटा विषय) से संबंधित कोई भी जानकारी।

1.7. व्यक्तिगत डेटा का प्रसार — अनिर्धारित व्यक्तियों के समूह के समक्ष व्यक्तिगत डेटा प्रकट करने के उद्देश्य से की गई कार्रवाइयाँ।

1.8. व्यक्तिगत डेटा का सीमा-पार अंतरण — किसी विदेशी राज्य के क्षेत्र में, उसके सरकारी निकाय को, किसी विदेशी प्राकृतिक व्यक्ति या विदेशी विधिक व्यक्ति को व्यक्तिगत डेटा का अंतरण।

1.9. व्यक्तिगत डेटा का विनाश — ऐसी कार्रवाइयाँ जिनसे व्यक्तिगत डेटा सूचना प्रणाली में डेटा की सामग्री पुनः प्राप्त करना असंभव हो जाता है और/या व्यक्तिगत डेटा वाले भौतिक माध्यम नष्ट हो जाते हैं।

1.10. व्यक्तिगत डेटा का स्वचालित प्रसंस्करण — कंप्यूटिंग उपकरणों की सहायता से व्यक्तिगत डेटा का प्रसंस्करण।

1.11. व्यक्तिगत डेटा प्रदान करना — किसी विशिष्ट व्यक्ति या निर्धारित व्यक्तियों के समूह के समक्ष व्यक्तिगत डेटा प्रकट करने के उद्देश्य से की गई कार्रवाइयाँ।

2. सामान्य प्रावधान

2.1. नियमावली के उद्देश्य और कार्यक्षेत्र

नियमावली व्यक्तिगत डेटा प्रसंस्करण के उद्देश्य निर्धारित करती है और कंपनी द्वारा स्वचालित साधनों से या उनके बिना संसाधित डेटा की सुरक्षा सुनिश्चित करने की सामान्य आवश्यकताएँ स्थापित करती है।

व्यक्तिगत डेटा संसाधित करने वाले कंपनी के प्रत्येक कर्मचारी को नियमावली से परिचित कराया जाना चाहिए और उसके हस्ताक्षर लिए जाने चाहिए। अपने हस्ताक्षर से कर्मचारी पुष्टि करता है कि उसे उसके द्वारा व्यक्तिगत डेटा के प्रसंस्करण और संसाधित डेटा की श्रेणियों के बारे में सूचित किया गया है तथा उसने अपने पदगत कर्तव्यों से संबंधित सीमा तक नियमावली और प्रसंस्करण को विनियमित करने वाले अन्य आंतरिक दस्तावेजों की प्रसंस्करण और सुरक्षा आवश्यकताओं को समझ लिया है।

2.2. व्यक्तिगत डेटा प्रसंस्करण के सिद्धांत

व्यक्तिगत डेटा का प्रसंस्करण निम्नलिखित सिद्धांतों के आधार पर होना चाहिए:

• प्रसंस्करण के उद्देश्यों और तरीकों की वैधता तथा सद्भावना
• प्रसंस्करण उद्देश्यों का डेटा संग्रह के समय पहले से निर्धारित और घोषित उद्देश्यों तथा कंपनी की शक्तियों के अनुरूप होना
• संसाधित डेटा की मात्रा, प्रकृति और प्रसंस्करण विधियों का प्रसंस्करण उद्देश्यों के अनुरूप होना
• डेटा की सटीकता और उद्देश्यों के लिए पर्याप्तता; संग्रह के समय घोषित उद्देश्यों की तुलना में अत्यधिक डेटा के प्रसंस्करण की मनाही
• परस्पर असंगत उद्देश्यों के लिए बनाए गए व्यक्तिगत डेटा सूचना प्रणालियों के डेटाबेस को मिलाने की मनाही।

2.3. व्यक्तिगत डेटा का भंडारण

व्यक्तिगत डेटा ऐसे रूप में रखा जाना चाहिए जिससे डेटा विषय की पहचान हो सके। उसे प्रसंस्करण उद्देश्यों के लिए आवश्यक अवधि से अधिक नहीं रखा जाना चाहिए, जब तक कि संघीय कानून या ऐसा अनुबंध भंडारण अवधि निर्धारित न करे जिसमें डेटा विषय पक्षकार, लाभार्थी या गारंटर हो। उद्देश्य पूरा हो जाने या उसकी आवश्यकता समाप्त होने पर संसाधित डेटा नष्ट या व्यक्तिरहित किया जाना चाहिए, जब तक कि संघीय कानून में अन्यथा न हो।

2.4. व्यक्तिगत डेटा प्रसंस्करण की विधियाँ

कंपनी स्वचालित साधनों से या उनके बिना व्यक्तिगत डेटा संसाधित कर सकती है। प्रसंस्करण के दौरान सभी सुरक्षा उपाय कागजी और इलेक्ट्रॉनिक दोनों सूचना माध्यमों पर लागू होते हैं।

व्यक्तिगत डेटा प्रसंस्करण के दौरान कंपनी निम्नलिखित कार्रवाइयाँ कर सकती है:

• संग्रह
• अभिलेखन
• व्यवस्थापन
• संचय
• भंडारण
• स्पष्टीकरण (अद्यतन, परिवर्तन)
• निष्कर्षण
• उपयोग
• अंतरण (प्रसार, प्रदान करना, पहुँच)
• व्यक्तिरहितकरण
• अवरोधन
• विलोपन
• विनाश।

2.5. व्यक्तिगत डेटा विषयों के अधिकारों की रक्षा करने वाले अधिकृत निकाय को सूचना देने की आवश्यकता

कंपनी को 27.07.2006 के संघीय कानून संख्या 152-ФЗ “व्यक्तिगत डेटा के बारे में” के अनुच्छेद 22 के अनुसार अधिकृत निकाय को व्यक्तिगत डेटा प्रसंस्करण के बारे में सूचित करना अनिवार्य है।

3. व्यक्तिगत डेटा विषय और श्रेणियाँ

3.1. व्यक्तिगत डेटा विषय

कंपनी निम्नलिखित श्रेणियों के डेटा विषयों का व्यक्तिगत डेटा संसाधित कर सकती है:

• वे कर्मचारी जिनका कंपनी के साथ पहले या वर्तमान में रोजगार संबंध रहा है
• वे प्राकृतिक व्यक्ति जिनका कंपनी के साथ पहले या वर्तमान में संविदात्मक या अन्य सिविल विधि संबंध रहा है
• मोबाइल उपकरणों के लिए 101 GROUP ऐप के उपयोगकर्ता (आगे — मोबाइल ऐप)
• वेबसाइट के आगंतुक 101-app.com (आगे — वेबसाइट)।

व्यक्तिगत डेटा की निम्नलिखित श्रेणियाँ अलग करने की सिफारिश की जाती है:

• 27.07.2006 के संघीय कानून संख्या 152-ФЗ “व्यक्तिगत डेटा के बारे में” के अनुसार विशेष श्रेणियों में आने वाला डेटा
• 27.07.2006 के संघीय कानून संख्या 152-ФЗ “व्यक्तिगत डेटा के बारे में” के अनुसार बायोमेट्रिक व्यक्तिगत डेटा में आने वाला डेटा
• 27.07.2006 के संघीय कानून संख्या 152-ФЗ “व्यक्तिगत डेटा के बारे में” के अनुसार सार्वजनिक रूप से उपलब्ध या व्यक्तिरहित डेटा में आने वाला डेटा
• ऐसा डेटा जिसे विशेष श्रेणियों, बायोमेट्रिक, सार्वजनिक रूप से उपलब्ध या व्यक्तिरहित व्यक्तिगत डेटा में वर्गीकृत नहीं किया जा सकता।

कंपनी की सूचना प्रणालियों में निम्नलिखित व्यक्तिगत डेटा का प्रसंस्करण नहीं होना चाहिए:

• नस्लीय या जातीय पहचान, राजनीतिक विचार, धार्मिक या दार्शनिक विश्वास, स्वास्थ्य, अंतरंग जीवन या आपराधिक दोषसिद्धि से संबंधित विशेष श्रेणी का डेटा
• निजी जीवन, सार्वजनिक संघों में डेटा विषयों की सदस्यता या उनकी ट्रेड यूनियन गतिविधियों से संबंधित व्यक्तिगत डेटा।

नियमावली के खंड 3.2.2 में उल्लिखित डेटा का प्रसंस्करण केवल कानून द्वारा निर्धारित मामलों में हो सकता है।

4. व्यक्तिगत डेटा प्रसंस्करण के उद्देश्य

कंपनी ने व्यक्तिगत डेटा प्रसंस्करण के निम्नलिखित उद्देश्य निर्धारित किए हैं:

4.1. कंपनी के कर्मचारियों का व्यक्तिगत डेटा निम्नलिखित उद्देश्यों के लिए संसाधित किया जा सकता है:

• कर्मचारियों के अभिलेखों का आयोजन
• कार्मिक और लेखांकन अभिलेख रखना
• कर्मचारियों को रोजगार में सहायता देना
• प्रशिक्षण
• पदोन्नति
• कर्मचारियों की व्यक्तिगत सुरक्षा सुनिश्चित करना
• किए गए कार्य की मात्रा और गुणवत्ता की निगरानी
• संपत्ति की सुरक्षा सुनिश्चित करना
• वेतन भुगतान के लिए कर्मचारियों के व्यक्तिगत बैंक खाते खोलना
• स्वैच्छिक चिकित्सा बीमा कार्यक्रमों के अंतर्गत बीमा
• गैर-सरकारी पेंशन निधियों में बीमा अंशदान भेजना
• रूसी संघ की श्रम संहिता, कर संहिता, अन्य संघीय कानूनों तथा कंपनी के चार्टर और विनियमों के अनुसार विभिन्न लाभों का उपयोग करना।

4.2. कंपनी के साथ पहले या वर्तमान में संविदात्मक या अन्य सिविल विधि संबंध रखने वाले प्राकृतिक व्यक्तियों का डेटा निम्नलिखित उद्देश्यों के लिए संसाधित किया जाता है:

• लाभ अर्जित करना
• अनुबंध करना और किए गए अनुबंधों के दायित्वों को पूरा करना
• कंपनी के संस्थापना दस्तावेजों में निर्धारित गतिविधियाँ करना।

4.3. मोबाइल ऐप उपयोगकर्ताओं का व्यक्तिगत डेटा निम्नलिखित उद्देश्यों के लिए संसाधित किया जाता है:

• मोबाइल ऐप उपयोगकर्ताओं का पंजीकरण और प्राधिकरण
• उपयोगकर्ताओं को सूचनात्मक और सेवा संदेश भेजना
• टेलीफोन कॉल द्वारा उपयोगकर्ताओं को जानकारी देना
• मोबाइल ऐप के संचालन का मूल्यांकन और विश्लेषण
• मोबाइल ऐप के संचालन और कार्यक्षमताओं में सुधार
• मोबाइल ऐप उपयोगकर्ताओं को नए उत्पादों और सेवाओं, विशेष प्रस्तावों तथा विभिन्न आयोजनों की सूचनाएँ भेजना।

4.4. वेबसाइट आगंतुकों का व्यक्तिगत डेटा निम्नलिखित उद्देश्यों के लिए संसाधित किया जाता है:

• आगंतुकों से संपर्क करना और उन्हें वेबसाइट तथा सेवाओं के संचालन से संबंधित सूचनाएँ, अनुरोध और जानकारी भेजना
• आगंतुकों के साथ हुए समझौतों का निष्पादन और उनके अनुरोधों तथा आवेदनों का प्रसंस्करण
• कंपनी की सेवाओं और गतिविधियों की समय-समय पर जानकारी देना
• वेबसाइट के संचालन का मूल्यांकन और विश्लेषण
• वेबसाइट के संचालन और कार्यक्षमताओं में सुधार
• टेलीफोन कॉल द्वारा वेबसाइट आगंतुकों को जानकारी देना।

5. व्यक्तिगत डेटा की मात्रा और सामग्री

नियमावली के भाग 4 में निर्धारित उद्देश्यों के लिए डेटा की निम्नलिखित मात्रा और सामग्री निर्धारित है:

5.1. कंपनी के कर्मचारियों के व्यक्तिगत डेटा की मात्रा और सामग्री:

• उपनाम, प्रथम नाम और पितृनाम
• जन्म तिथि
• जन्म स्थान
• लिंग
• नागरिकता
• पासपोर्ट या अन्य पहचान दस्तावेज का विवरण (श्रृंखला, संख्या, जारी करने की तिथि और जारीकर्ता)
• शारीरिक विशेषताओं की जानकारी (चेहरे की छवि)
• निवास का पता
• टेलीफोन नंबर
• ईमेल पता
• अन्य संपर्क जानकारी
• शिक्षा, योग्यता, विशेष ज्ञान और विशेष प्रशिक्षण की जानकारी
• रोजगार गतिविधि, वेतन तथा अन्य आय और व्यय की जानकारी
• सैन्य पंजीकरण की जानकारी
• वैवाहिक स्थिति और बच्चों की जानकारी
• अनिवार्य और/या स्वैच्छिक चिकित्सा बीमा पॉलिसियों की जानकारी
• करदाता पहचान संख्या की जानकारी
• रोजगार अनुबंध और रोजगार अभिलेख पुस्तिका
• नियुक्ति, स्थानांतरण, बर्खास्तगी, वेतन वृद्धि, बोनस, प्रोत्साहन और दंड संबंधी आदेशों की प्रतियाँ
• Т-2 प्रपत्र में व्यक्तिगत कार्ड
• कर्मचारी के आवेदन, स्पष्टीकरण और आंतरिक ज्ञापन
• उपरोक्त उद्देश्यों के लिए आवश्यक और वर्तमान श्रम कानून में निर्धारित अन्य जानकारी।

5.2. कंपनी के साथ पहले या वर्तमान में संविदात्मक या अन्य सिविल विधि संबंध रखने वाले प्राकृतिक व्यक्तियों के डेटा की मात्रा और सामग्री:

• उपनाम, प्रथम नाम और पितृनाम
• जन्म तिथि
• जन्म स्थान
• लिंग
• नागरिकता
• पासपोर्ट या अन्य पहचान दस्तावेज का विवरण (श्रृंखला, संख्या, जारी करने की तिथि और जारीकर्ता)
• शारीरिक विशेषताओं की जानकारी (चेहरे की छवि)
• करदाता पहचान संख्या की जानकारी
• निवास का पता
• टेलीफोन नंबर
• ईमेल पता
• अन्य संपर्क जानकारी
• उपरोक्त उद्देश्यों के लिए आवश्यक और वर्तमान श्रम कानून में निर्धारित अन्य जानकारी।

5.3. मोबाइल ऐप उपयोगकर्ताओं के व्यक्तिगत डेटा की मात्रा और सामग्री:

• उपनाम, प्रथम नाम और पितृनाम
• टेलीफोन नंबर
• ईमेल पता
• आगंतुकों के बारे में व्यक्तिरहित डेटा, जो Yandex Metrica और Google Analytics सेवाओं द्वारा संसाधित किया जाता है।

5.4. वेबसाइट पर आने वाले प्राकृतिक व्यक्तियों के व्यक्तिगत डेटा की मात्रा और सामग्री:

• उपनाम, प्रथम नाम और पितृनाम
• टेलीफोन नंबर
• ईमेल पता
• आगंतुकों के बारे में व्यक्तिरहित डेटा, जो Yandex Metrica और Google Analytics सेवाओं द्वारा संसाधित किया जाता है।

6. व्यक्तिगत डेटा प्रसंस्करण की अवधि

नियमावली के भाग 4 में निर्धारित उद्देश्यों के लिए निम्नलिखित प्रसंस्करण अवधियाँ निर्धारित हैं:

1. कंपनी के कर्मचारियों के डेटा के लिए — रोजगार अनुबंध की अवधि के दौरान। पूर्व कर्मचारियों का डेटा कंपनी रूसी संघ की कर संहिता के प्रथम भाग के अनुच्छेद 24 के भाग 3 के खंड 5 तथा 06.12.2011 के संघीय कानून संख्या 402-ФЗ “लेखांकन के बारे में” के अनुच्छेद 29 के भाग 1 में निर्धारित अवधि तक संसाधित करती है।
2. कंपनी के साथ पहले या वर्तमान में संविदात्मक या अन्य सिविल विधि संबंध रखने वाले प्राकृतिक व्यक्तियों के डेटा के लिए — उनके साथ किए गए अनुबंधों की अवधि के दौरान। अनुबंध समाप्त होने के बाद कंपनी ग्राहकों का डेटा रूसी संघ की कर संहिता के प्रथम भाग के अनुच्छेद 24 के भाग 3 के खंड 5 तथा 06.12.2011 के संघीय कानून संख्या 402-ФЗ “लेखांकन के बारे में” के अनुच्छेद 29 के भाग 1 में निर्धारित अवधि तक संसाधित कर सकती है।
3. मोबाइल ऐप उपयोगकर्ताओं के डेटा के लिए — मोबाइल ऐप का खाता हटाए जाने तक।
4. वेबसाइट आगंतुकों के डेटा के लिए — व्यक्तिगत डेटा प्रसंस्करण का उद्देश्य पूरा होने तक।

7. व्यक्तिगत डेटा प्रसंस्करण के लिए सहमति की आवश्यकता

नियमावली के खंड 3.1 में उल्लिखित श्रेणियों के डेटा विषयों का डेटा केवल उनकी लिखित सहमति से संसाधित किया जा सकता है।

खंड 3.1 में निर्धारित प्रत्येक श्रेणी के लिए व्यक्तिगत डेटा प्रसंस्करण सहमति प्रपत्र तैयार किया जाना चाहिए और कंपनी प्रमुख के आदेश से अनुमोदित होना चाहिए। यह प्रपत्र 27.07.2006 के संघीय कानून संख्या 152-ФЗ “व्यक्तिगत डेटा के बारे में” की आवश्यकताओं के अनुसार तैयार होना चाहिए।

8. व्यक्तिगत डेटा प्रसंस्करण की शर्तें

8.1. व्यक्तिगत डेटा की गोपनीयता

रूसी संघ के राष्ट्रपति के 06.03.1997 के आदेश संख्या 188 “गोपनीय प्रकृति की जानकारी की सूची के अनुमोदन के बारे में” के अनुसार व्यक्तिगत डेटा गोपनीय जानकारी है।

8.1.1 कंपनी को संसाधित व्यक्तिगत डेटा की सूची दस्तावेजित और अनुमोदित करनी चाहिए।

8.1.2. कंपनी और डेटा तक पहुँच रखने वाले तृतीय पक्षों द्वारा प्रसंस्करण के दौरान गोपनीयता सुनिश्चित की जानी चाहिए, अर्थात ऐसी परिस्थितियाँ बनाई जानी चाहिए जो डेटा विषय की सहमति के बिना प्रसार रोकें, निम्नलिखित मामलों को छोड़कर:

• जब व्यक्तिगत डेटा व्यक्तिरहित कर दिया गया हो
• सार्वजनिक रूप से उपलब्ध व्यक्तिगत डेटा के संबंध में।

8.2. व्यक्तिगत डेटा प्रसंस्करण का कार्य तृतीय पक्ष को सौंपना

यदि कंपनी अनुबंध के आधार पर डेटा प्रसंस्करण किसी अन्य व्यक्ति को सौंपती है, तो प्रसंस्करण के दौरान डेटा की गोपनीयता और सुरक्षा सुनिश्चित करने का उस व्यक्ति का दायित्व अनुबंध की अनिवार्य शर्त होगा।

8.3. व्यक्तिगत डेटा का भंडारण और विनाश

डेटा ऐसे रूप में रखा जाना चाहिए जिससे विषय की पहचान हो सके और उसकी अवधि प्रसंस्करण उद्देश्यों के लिए आवश्यक अवधि से अधिक न हो।

जब तक कानून में अन्यथा न हो, कंपनी को निम्नलिखित मामलों में कानून द्वारा निर्धारित समय के भीतर प्रसंस्करण रोकना और एकत्रित व्यक्तिगत डेटा नष्ट करना चाहिए:

• प्रसंस्करण उद्देश्य पूरा होने या उसे पूरा करने की आवश्यकता समाप्त होने पर
• डेटा विषय या उसके अधिकारों की रक्षा करने वाले अधिकृत निकाय के अनुरोध पर, यदि डेटा अपूर्ण, पुराना, गलत, अवैध रूप से प्राप्त या घोषित उद्देश्य के लिए अनावश्यक हो
• डेटा विषय द्वारा प्रसंस्करण की सहमति वापस लेने पर, यदि ऐसी सहमति कानून के अनुसार आवश्यक हो
• यदि ऑपरेटर प्रसंस्करण के दौरान हुए उल्लंघनों का निवारण न कर सके।

8.4. वस्तुओं और सेवाओं के प्रचार के लिए व्यक्तिगत डेटा प्रसंस्करण

संचार साधनों द्वारा संभावित उपभोक्ताओं से सीधे संपर्क करके बाजार में वस्तुओं और सेवाओं के प्रचार के लिए डेटा प्रसंस्करण केवल डेटा विषय की पूर्व सहमति से अनुमत है, जो नियमावली के खंड 7.2 के अनुसार तैयार और अनुमोदित हो।

8.5. व्यक्तिगत डेटा का सीमा-पार अंतरण

सीमा-पार अंतरण (रूसी संघ की राज्य सीमा के पार किसी विदेशी राज्य के निकाय, प्राकृतिक या विधिक व्यक्ति को अंतरण) केवल डेटा विषय की लिखित सहमति से हो सकता है, जो नियमावली के खंड 7.2 के अनुसार तैयार और अनुमोदित हो।

निम्नलिखित मामलों में डेटा विषय की सहमति के बिना सीमा-पार अंतरण हो सकता है:

• ऐसे अनुबंध का निष्पादन जिसमें डेटा विषय पक्षकार हो
• डेटा विषय या अन्य व्यक्तियों के जीवन, स्वास्थ्य या अन्य महत्वपूर्ण हितों की रक्षा, जब डेटा विषय की लिखित सहमति प्राप्त करना असंभव हो।

8.6. निवेदनों और अनुरोधों का निपटारा

कंपनी को डेटा विषयों के अधिकारों की रक्षा करने वाले अधिकृत निकायों या व्यक्तिगत डेटा क्षेत्र में नियंत्रण और पर्यवेक्षण करने वाले अन्य निकायों के अनुरोधों पर कार्रवाई की प्रक्रिया निर्धारित और दस्तावेजित करनी चाहिए।

9. व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के उपाय

9.1. सामान्य प्रावधान

व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के उपाय कंपनी की गतिविधियों का अभिन्न अंग हैं।

9.1.1 सुरक्षा की विधियाँ और साधन चुनने तथा लागू करने के लिए ऐसी संस्था को शामिल किया जा सकता है जिसके पास गोपनीय जानकारी के तकनीकी संरक्षण संबंधी गतिविधियों का विधिवत जारी लाइसेंस हो।

9.1.2. कंपनी को उन व्यक्तियों की सूची निर्धारित, दस्तावेजित और अनुमोदित करनी चाहिए जिन्हें अपने आधिकारिक, रोजगार या पदगत कर्तव्यों के निष्पादन के लिए कंपनी की सूचना प्रणालियों में संसाधित व्यक्तिगत डेटा तक पहुँच आवश्यक हो।

9.1.3. कर्मचारियों को उनके पद के अनुसार भूमिका के आधार पर सूची में रखा जा सकता है, निम्नलिखित आवश्यकताओं के अधीन:

• कर्मचारियों की भूमिकाएँ अलग-अलग निर्धारित और दस्तावेजित होनी चाहिए।
• भूमिकाएँ विशिष्ट व्यक्तियों को सौंपी जानी चाहिए और उनके निष्पादन की जिम्मेदारी निर्धारित करके पद विवरण में दस्तावेजित की जानी चाहिए।
• ऐसे कर्मचारियों की गतिविधियों की निगरानी की प्रक्रियाएँ दस्तावेजित और लागू होनी चाहिए जिनकी सम्मिलित शक्तियाँ (भूमिकाएँ) कंपनी की संरक्षित सूचना संपत्ति पर नियंत्रण प्राप्त करने देती हैं।
• सूचना सुरक्षा को प्रभावित करने वाली भर्ती प्रक्रियाएँ दस्तावेजित होनी चाहिए और जाँच के परिणाम दर्ज करने का प्रावधान होना चाहिए। उनमें प्रस्तुत दस्तावेजों की प्रामाणिकता, घोषित योग्यता, जीवनी संबंधी तथ्यों की सटीकता और पूर्णता का सत्यापन, पेशेवर कौशल की जाँच और पेशेवर उपयुक्तता का मूल्यांकन शामिल होना चाहिए।
• कर्मचारियों के पेशेवर कौशल और उपयुक्तता की नियमित जाँच की प्रक्रियाएँ परिणामों के दस्तावेजीकरण सहित निर्धारित और दस्तावेजित होनी चाहिए। असामान्य व्यवहार, सूचना सुरक्षा घटनाओं में भागीदारी या ऐसे व्यवहार अथवा भागीदारी का संदेह मिलने पर परिणाम दर्ज करने वाली अनिर्धारित जाँच भी निर्धारित होनी चाहिए।
• कंपनी के सभी कर्मचारियों को गोपनीयता बनाए रखने और कॉर्पोरेट नैतिकता के नियमों, हितों के टकराव से बचने की आवश्यकताओं सहित, का पालन करने की लिखित प्रतिबद्धता देनी चाहिए।
• बाहरी संस्थाओं और ग्राहकों से व्यवहार करते समय सूचना सुरक्षा आवश्यकताएँ उनके साथ किए गए अनुबंधों (समझौतों) के प्रावधानों से विनियमित होनी चाहिए।
• सूचना सुरक्षा आवश्यकताओं के पालन का कर्मचारी दायित्व रोजगार अनुबंधों और/या पद विवरणों में शामिल होना चाहिए।

9.1.4. कंपनी कर्मचारियों की व्यक्तिगत डेटा तक पहुँच और कर्मचारियों के व्यक्तिगत डेटा का प्रसंस्करण केवल उनके पदगत कर्तव्यों के निष्पादन के लिए होना चाहिए।

9.1.5. कंपनी को उन परिसरों में कर्मचारियों और अन्य व्यक्तियों के प्रवेश की प्रक्रिया निर्धारित और दस्तावेजित करनी चाहिए जहाँ व्यक्तिगत डेटा संसाधित होता है।

9.1.6. कर्मचारियों द्वारा सूचना सुरक्षा आवश्यकताओं का पालन न करना पदगत कर्तव्यों के निष्पादन में विफलता के समान माना जाना चाहिए और कम से कम अनुशासनात्मक उत्तरदायित्व का कारण होना चाहिए।

9.2. स्वचालित प्रसंस्करण में व्यक्तिगत डेटा सुरक्षा के उपाय

सूचना प्रणालियों में प्रसंस्करण के दौरान डेटा की सुरक्षा ऐसी व्यक्तिगत डेटा सुरक्षा प्रणाली से सुनिश्चित की जाती है जिसमें संगठनात्मक उपाय, सूचना संरक्षण साधन और उन प्रणालियों में प्रयुक्त सूचना प्रौद्योगिकियाँ शामिल हैं।

9.2.1. कंपनी की प्रत्येक व्यक्तिगत डेटा सूचना प्रणाली के खतरों के प्रकार अनिवार्य रूप से निर्धारित किए जाने चाहिए।

9.2.2. कंपनी को सूचना प्रणालियों के खतरों के प्रकार निम्नलिखित के अनुसार निर्धारित करने चाहिए:

• रूसी संघ की सरकार के 01.11.2012 के संकल्प संख्या 1119 द्वारा अनुमोदित व्यक्तिगत डेटा सूचना प्रणालियों में प्रसंस्करण के दौरान डेटा सुरक्षा की आवश्यकताएँ।
• खतरों के प्रकार निर्धारित करने के परिणाम उचित औपचारिक अभिलेख में दर्ज किए जाने चाहिए।
• स्वचालित प्रणालियों (АБС) को व्यक्तिगत डेटा सूचना प्रणालियों में वर्गीकृत करने के लिए यह तरीका लागू होता है: जिन स्वचालित प्रणालियों के निर्माण और उपयोग के उद्देश्यों में व्यक्तिगत डेटा प्रसंस्करण भी शामिल है, उन्हें डेटा प्रसंस्करण करने वाली सूचना प्रणालियों की सूची में रखा जाना चाहिए।
• हर प्रणाली के लिए प्रसंस्करण उद्देश्य, संसाधित डेटा की मात्रा और सामग्री, डेटा पर की जाने वाली कार्रवाइयों की सूची तथा प्रसंस्करण विधियाँ निर्धारित होनी चाहिए।
• भूमिकाएँ विशिष्ट व्यक्तियों को सौंपी जानी चाहिए और उनके निष्पादन की जिम्मेदारी निर्धारित करके पद विवरण में दस्तावेजित की जानी चाहिए।
• डेटा की मात्रा और सामग्री तथा कार्रवाइयों की सूची और प्रसंस्करण विधियाँ प्रसंस्करण उद्देश्यों के अनुरूप होनी चाहिए।
• बाहरी संस्थाओं और ग्राहकों से व्यवहार करते समय सूचना सुरक्षा आवश्यकताएँ उनके साथ किए गए अनुबंधों (समझौतों) के प्रावधानों से विनियमित होनी चाहिए।

9.2.3. कंपनी की सूचना प्रणालियों में संसाधित डेटा के सुरक्षा स्तर निर्धारित और दस्तावेजित किए जाने चाहिए।

9.3. स्वचालित साधनों के बिना प्रसंस्करण में व्यक्तिगत डेटा सुरक्षा के उपाय

कंपनी द्वारा कागजी माध्यमों पर डेटा संसाधित करते समय, विशेषकर ऐसे मानक दस्तावेज प्रपत्रों का उपयोग करते समय जिनकी जानकारी की प्रकृति व्यक्तिगत डेटा शामिल करना अपेक्षित या अनुमत करती हो, रूसी संघ की सरकार के 15.09.2008 के संकल्प संख्या 687 द्वारा अनुमोदित “स्वचालित साधनों के बिना व्यक्तिगत डेटा प्रसंस्करण की विशिष्टताओं संबंधी नियमावली” की आवश्यकताओं का पालन होना चाहिए।

9.3.1. स्वचालित साधनों के बिना प्रसंस्करण इस प्रकार होना चाहिए कि प्रत्येक डेटा श्रेणी के लिए भंडारण स्थानों (भौतिक माध्यमों) और डेटा संसाधित करने वाले या उस तक पहुँच रखने वाले व्यक्तियों की सूची निर्धारित की जा सके।

9.3.2. अलग-अलग उद्देश्यों के लिए संसाधित डेटा (भौतिक माध्यम) अलग रखे जाने चाहिए।

9.3.3. भौतिक माध्यम ऐसी परिस्थितियों में रखे जाने चाहिए जो व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करें और अनधिकृत पहुँच रोकें।

9.3.4. भौतिक माध्यमों का भंडारण उन परिस्थितियों के पालन के अधीन अनुमत है जो व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करें और अनधिकृत पहुँच रोकें।

9.3.5. स्वचालन के बिना डेटा संसाधित करने वाले कर्मचारियों को ऐसे प्रसंस्करण के तथ्य, संसाधित डेटा की श्रेणियों तथा इस प्रसंस्करण की विशिष्टताओं और नियमों की जानकारी दी जानी चाहिए।

9.3.6. स्वचालित साधनों के बिना संसाधित डेटा के भंडारण स्थानों की सूची कंपनी प्रमुख के आदेश से अनुमोदित होती है।

9.3.7. ऐसे मानक प्रपत्रों का उपयोग करते समय जिनकी जानकारी की प्रकृति व्यक्तिगत डेटा शामिल करना अपेक्षित या अनुमत करती हो, निम्नलिखित शर्तों का पालन होना चाहिए:

मानक प्रपत्र में निम्नलिखित होना चाहिए:

• व्यक्तिगत डेटा प्रसंस्करण के उद्देश्य की जानकारी
• कंपनी का नाम और पता
• डेटा विषय का उपनाम, प्रथम नाम, पितृनाम और पता
• प्रसंस्करण के दौरान डेटा पर की जाने वाली कार्रवाइयों की सूची
• कंपनी द्वारा प्रयुक्त व्यक्तिगत डेटा प्रसंस्करण विधियों का सामान्य विवरण।

9.3.8. मानक प्रपत्र में ऐसा स्थान होना चाहिए जहाँ डेटा विषय अपने व्यक्तिगत डेटा के प्रसंस्करण की सहमति का चिह्न लगा सके।

9.3.9. भौतिक माध्यमों पर मौजूद डेटा के प्रसंस्करण उद्देश्य पूरे होने पर वे माध्यम नष्ट किए जाने चाहिए, जब तक कानून में अन्यथा न हो (उन माध्यमों के डेटा का पूर्ण, भौतिक और अपरिवर्तनीय विनाश)। कंपनी को व्यक्तिगत डेटा के भौतिक माध्यमों के विनाश की प्रक्रिया निर्धारित और दस्तावेजित करनी चाहिए।

9.4. डेटा माध्यमों के भंडारण में व्यक्तिगत डेटा सुरक्षा के उपाय

कंपनी में भौतिक डेटा माध्यमों के लेखे और भंडारण की प्रक्रिया निर्धारित और दस्तावेजित होनी चाहिए, जिसमें निम्नलिखित तय हों:

• व्यक्तिगत डेटा माध्यमों के भंडारण स्थान
• माध्यमों के भंडारण के दौरान व्यक्तिगत डेटा सुरक्षा की आवश्यकताएँ
• व्यक्तिगत डेटा सुरक्षा आवश्यकताएँ लागू करने के लिए जिम्मेदार व्यक्ति
• माध्यमों के भंडारण के दौरान सुरक्षा आवश्यकताओं के पालन की निगरानी की प्रक्रिया।

10. व्यक्तिगत डेटा संरक्षण के कार्य करने वाला व्यक्ति

10.1 व्यक्तिगत डेटा प्रसंस्करण के लिए जिम्मेदार व्यक्ति कंपनी में डेटा संरक्षण के आयोजन के कार्य करता है।

10.2. व्यक्तिगत डेटा प्रसंस्करण के लिए जिम्मेदार व्यक्ति कंपनी प्रमुख के आदेश से नियुक्त होता है।

10.3. व्यक्तिगत डेटा प्रसंस्करण के लिए जिम्मेदार व्यक्ति कंपनी प्रमुख के आदेश से नियुक्त होता है।

10.4. जिम्मेदार व्यक्ति अपने कार्य में व्यक्तिगत डेटा संरक्षण संबंधी रूसी संघ के विधायी और नियामक कानूनी अधिनियमों, इस नियमावली तथा कंपनी के अन्य विनियमों का पालन करता है।

10.5. जिम्मेदार व्यक्ति के अधिकार, कर्तव्य और उत्तरदायित्व पद विवरण में निर्धारित होते हैं।

11. नियमावली के अनुपालन की निगरानी

11.1. नियमावली की आवश्यकताओं के पालन की निगरानी की जाती है।

11.2. निगरानी उपायों की सूची और आवृत्ति व्यक्तिगत डेटा सुरक्षा निगरानी योजना द्वारा निर्धारित होती है, जिसमें आंतरिक निगरानी तथा स्वतंत्र बाहरी जाँच संस्थाओं की भागीदारी से निगरानी दोनों शामिल हैं।

11.3. निगरानी में सूचना संरक्षण के नियामक दस्तावेजों की आवश्यकताओं के पालन की जाँच और किए गए उपायों के औचित्य तथा प्रभावशीलता का मूल्यांकन शामिल है।

11.4. निगरानी के परिणामों पर निष्कर्ष तैयार किया जाता है।

11.5. निगरानी उपाय बाहरी संस्थाओं द्वारा अनुबंध के आधार पर किए जा सकते हैं।

11.6. नियमावली का उल्लंघन करने वाले व्यक्ति कानून के अनुसार सिविल, प्रशासनिक, अनुशासनात्मक, आपराधिक और अन्य उत्तरदायित्व वहन करते हैं।