1.1. Objet de la présente Politique

Le présent document (la Politique) définit les finalités et les principes généraux du traitement des données personnelles ainsi que les mesures de protection mises en œuvre par la SOCIÉTÉ À RESPONSABILITÉ LIMITÉE MOYA GAVAN (la Société).

La Société est un opérateur de données personnelles. La présente Politique est un document public de la Société que toute personne peut consulter.

1.2. Principaux droits de la Société

Les données personnelles sont traitées de manière licite et loyale, dans le respect des principes et règles établis par la loi fédérale n° 152-FZ du 27 juillet 2006 relative aux données personnelles (loi fédérale n° 152-FZ), sur la base du consentement de la personne concernée, sauf dans les cas prévus par cette loi.

La Société se réserve le droit de vérifier l’exhaustivité, l’exactitude et l’adéquation des données personnelles fournies et, si nécessaire, leur actualité au regard des finalités du traitement. Si des données personnelles incorrectes ou incomplètes sont constatées, la Société peut mettre fin à toute relation avec la personne concernée.

Si le consentement au traitement des données personnelles est obtenu auprès d’un représentant de la personne concernée, la Société vérifie les pouvoirs de ce représentant pour consentir en son nom.

La Société peut obtenir des données personnelles auprès d’une autre personne que la personne concernée, à condition de justifier des fondements prévus aux points 2 à 11 de la partie 1 de l’article 6, à la partie 2 de l’article 10 et à la partie 2 de l’article 11 de la loi fédérale n° 152-FZ.

Si la personne concernée retire son consentement au traitement, la Société peut poursuivre le traitement sans consentement lorsque les fondements prévus aux points 2 à 11 de la partie 1 de l’article 6, à la partie 2 de l’article 10 et à la partie 2 de l’article 11 de la loi fédérale n° 152-FZ s’appliquent.

Avec le consentement de la personne concernée, sauf disposition contraire d’une loi fédérale, la Société peut confier le traitement des données personnelles à des tiers au titre d’un accord ou d’un contrat, ou par l’adoption d’un acte approprié (instruction de la Société). La personne traitant les données sur instruction doit respecter les principes et règles de la loi fédérale n° 152-FZ. L’instruction doit préciser les données personnelles, les actions ou opérations à effectuer et les finalités du traitement. Elle doit imposer au sous-traitant de préserver la confidentialité, de respecter la partie 5 de l’article 18 et l’article 18.1 de cette loi et, à la demande de la Société pendant toute la durée de l’instruction, y compris avant le début du traitement, de fournir des documents et autres informations attestant les mesures prises et le respect des exigences établies par cette loi pour exécuter l’instruction. Elle doit imposer la sécurité du traitement et préciser les exigences de protection prévues à l’article 19 de cette loi, notamment la notification à la Société dans les cas prévus à la partie 3.1 de l’article 21.

La personne traitant les données personnelles sur instruction de la Société n’est pas tenue d’obtenir le consentement de la personne concernée.

Lorsque la Société confie le traitement à un tiers, elle reste responsable envers la personne concernée des actes de ce tiers. Le sous-traitant agissant sur instruction de la Société est responsable envers celle-ci.

Si la Société confie le traitement à une personne physique ou morale étrangère, la Société et le sous-traitant agissant sur son instruction sont tous deux responsables envers la personne concernée des actes de ces personnes.

1.3. Principales obligations de la Société

La Société ne collecte ni ne traite de données personnelles et ne les transfère pas à des tiers sans le consentement de la personne concernée, sauf disposition contraire du droit russe.

Si un traitement illicite est constaté à la suite d’une démarche ou d’une demande de la personne concernée, de son représentant ou de l’autorité compétente de protection des données personnelles, la Société bloque les données concernées ou fait procéder à leur blocage par la personne agissant sur ses instructions, dès réception de la démarche ou de la demande et pendant toute la durée de la vérification.

Si des données personnelles inexactes sont constatées à la suite d’une démarche ou d’une demande de la personne concernée ou de son représentant, ou d’une demande de l’autorité compétente de protection des données personnelles, la Société bloque les données concernées ou les fait bloquer par la personne agissant sur ses instructions, dès réception et pendant la vérification, à condition que le blocage ne porte pas atteinte aux droits et intérêts légitimes de la personne concernée ou de tiers.

Si l’inexactitude est confirmée, la Société rectifie les données ou fait procéder à leur rectification par la personne agissant sur ses instructions dans les 7 jours ouvrables suivant la réception des informations de la personne concernée, de son représentant, de l’autorité compétente ou d’autres documents nécessaires, puis lève le blocage.

Si un traitement illicite par la Société ou par une personne agissant sur ses instructions est constaté, la Société y met fin ou fait en sorte que cette personne y mette fin dans les 3 jours ouvrables suivant la constatation.

Si le traitement ne peut être rendu licite, la Société détruit les données ou les fait détruire dans les 10 jours ouvrables suivant la constatation du traitement illicite. La personne responsable de l’organisation du traitement au sein de la Société détermine si le traitement est illicite et si la destruction est nécessaire, et en informe la direction. La Société informe la personne concernée ou son représentant de la correction des violations ou de la destruction des données. Si la démarche de la personne concernée ou de son représentant, ou la demande de l’autorité compétente, a été transmise par cette autorité, la Société en informe également celle-ci.

Lorsqu’il est constaté qu’un transfert illicite ou accidentel de données personnelles (communication, diffusion ou accès) a porté atteinte aux droits d’une ou plusieurs personnes concernées, la Société doit notifier l’autorité compétente après la découverte de l’incident par la Société, cette autorité ou toute autre personne intéressée :

1. dans les 24 heures, de l’incident, de ses causes présumées, du préjudice attendu pour les droits des personnes concernées et des mesures prises pour remédier à ses conséquences, et fournir les coordonnées de la personne habilitée par la Société à communiquer avec l’autorité au sujet de l’incident ;

2. dans les 72 heures, des résultats de l’enquête interne, et fournir les informations sur les personnes dont les actes ont causé l’incident, si elles sont connues.

Lorsque la finalité du traitement est atteinte, la Société cesse le traitement et détruit les données, ou fait en sorte que la personne agissant sur ses instructions le fasse, dans les 30 jours suivant la réalisation de cette finalité. Cette règle s’applique sauf disposition contraire d’un contrat auquel la personne concernée est partie, bénéficiaire ou caution, ou d’un autre accord entre elle et la Société, ou si la Société est autorisée à traiter les données sans consentement en vertu de la loi fédérale n° 152-FZ ou d’autres lois fédérales.

Si la personne concernée retire son consentement, la Société cesse le traitement ou fait en sorte que la personne agissant sur ses instructions le fasse. Si la conservation n’est plus nécessaire aux finalités du traitement, la Société détruit les données ou les fait détruire dans les 30 jours suivant la réception du retrait. Cette règle s’applique sauf disposition contraire d’un contrat auquel la personne concernée est partie, bénéficiaire ou caution, ou d’un autre accord entre elle et la Société, ou si la Société est autorisée à traiter les données sans consentement en vertu de la loi fédérale n° 152-FZ ou d’autres lois fédérales.

Si la personne concernée demande l’arrêt du traitement, la Société y met fin ou veille à ce que son sous-traitant le fasse dans les 10 jours ouvrables suivant la réception de la demande, sauf dans les cas prévus aux points 2 à 11 de la partie 1 de l’article 6, à la partie 2 de l’article 10 et à la partie 2 de l’article 11 de la loi fédérale n° 152-FZ. Ce délai peut être prolongé de 5 jours ouvrables au maximum si la Société adresse à la personne concernée un avis motivé expliquant la prolongation du délai de fourniture des informations demandées.

La Société apporte les modifications nécessaires dans les 7 jours ouvrables suivant la fourniture, par la personne concernée ou son représentant, d’informations confirmant que les données sont incomplètes, inexactes ou obsolètes.

La Société détruit les données personnelles dans les 7 jours ouvrables suivant la fourniture, par la personne concernée ou son représentant, d’informations confirmant qu’elles ont été obtenues illicitement ou sont inutiles à la finalité déclarée. Elle informe la personne concernée ou son représentant des modifications et mesures prises et entreprend des démarches raisonnables pour informer les tiers auxquels les données ont été transférées.

Si les données ne peuvent être détruites dans les délais ci-dessus, la Société les bloque ou les fait bloquer par la personne agissant sur ses instructions, et garantit leur destruction dans un délai maximal de 6 mois, sauf si une loi fédérale prévoit un autre délai.

La destruction des données personnelles est confirmée conformément aux exigences de l’autorité compétente de protection des données personnelles.

Conformément à l’arrêté n° 179 du 28 octobre 2022 du Service fédéral de supervision des communications, des technologies de l’information et des médias, relatif à l’approbation des exigences de confirmation de la destruction des données personnelles (les Exigences), lorsque la Société traite les données sans automatisation, la destruction est confirmée par un procès-verbal de destruction des données personnelles.

Lorsque la Société traite les données de manière automatisée, la destruction est confirmée par un procès-verbal conforme aux points 3 et 4 des Exigences et par un export du journal des événements du système d’information de données personnelles (export du journal).

Si l’export du journal ne peut pas contenir certaines informations requises par le point 5 des Exigences, les informations manquantes sont inscrites dans le procès-verbal de destruction.

Lorsque la Société traite les données à la fois de manière automatisée et non automatisée, la destruction est confirmée par un procès-verbal conforme aux points 3 et 4 des Exigences et par un export du journal conforme au point 5.

Le procès-verbal de destruction et l’export du journal doivent être conservés pendant 3 ans après la destruction des données personnelles.

1.4. Principaux droits des personnes concernées

La personne concernée décide de fournir ses données personnelles et consent à leur traitement librement, volontairement et dans son propre intérêt. Lorsque la loi fédérale l’exige, le traitement nécessite son consentement écrit. Le consentement donné dans un document électronique signé au moyen d’une signature électronique conformément à la loi fédérale équivaut à un consentement écrit sur papier portant la signature manuscrite de la personne concernée.

Pour protéger leurs intérêts légitimes, les personnes concernées ou leurs représentants ont le droit de :

1. recevoir des informations complètes sur leurs données personnelles et leur traitement, y compris automatisé ;

2. accéder librement et gratuitement à leurs données personnelles, notamment obtenir une copie de tout document les contenant, sauf dans les cas prévus à la partie 8 de l’article 14 de la loi fédérale n° 152-FZ ;

3. demander la rectification, le blocage ou la destruction des données incomplètes, obsolètes, inexactes, obtenues illicitement ou inutiles à la finalité déclarée, et prendre les mesures légales de protection de leurs droits. Si la Société refuse la suppression, la rectification, le blocage ou la destruction, la personne concernée peut présenter une objection écrite dûment motivée ;

4. exiger que la Société informe toutes les personnes ayant précédemment reçu des données incorrectes, incomplètes, obsolètes, inexactes, obtenues illicitement ou inutiles de toutes les modifications ou suppressions, y compris de leur blocage ou destruction par ces tiers ;

5. contester devant un tribunal ou l’autorité compétente les actes ou omissions illicites de la Société dans le traitement et la protection de leurs données, si la personne concernée estime que la Société enfreint la loi fédérale n° 152-FZ ou porte autrement atteinte à ses droits et libertés. La personne concernée peut protéger ses droits et intérêts légitimes, notamment en demandant réparation des dommages et/ou du préjudice moral devant les tribunaux.

La personne concernée a le droit d’obtenir des informations sur le traitement de ses données personnelles, notamment :

1. la confirmation que la Société traite des données personnelles ;

2. les fondements juridiques et les finalités du traitement ;

3. les finalités et les méthodes de traitement utilisées par la Société ;

4. la dénomination et le siège de la Société, ainsi que des informations sur les personnes autres que ses employés ayant accès aux données ou pouvant en recevoir communication en vertu d’un contrat avec la Société ou d’une loi fédérale ;

5. les données traitées concernant la personne concernée et leur source, sauf si une loi fédérale prévoit une autre procédure de communication ;

6. les durées de traitement, y compris les durées de conservation ;

7. la procédure d’exercice des droits prévus par la loi fédérale n° 152-FZ ;

8. les informations sur les transferts transfrontaliers effectués ou envisagés ;

9. la dénomination ou les nom, prénom et patronyme, ainsi que l’adresse de toute personne à laquelle le traitement est ou sera confié sur instruction de la Société ;

10. les informations sur la manière dont la Société remplit ses obligations au titre de l’article 18.1 de la loi fédérale n° 152-FZ ;

11. les autres informations prévues par la loi fédérale n° 152-FZ ou d’autres lois fédérales.

Si la personne concernée a obtenu, à sa demande, l’accès aux données traitées, elle peut adresser une nouvelle démarche ou demande d’informations et d’accès à la Société au plus tôt 30 jours après la première, sauf délai plus court prévu par une loi fédérale, un texte adopté sur son fondement ou un contrat auquel elle est partie, bénéficiaire ou caution.

La personne concernée peut renouveler sa démarche ou sa demande avant l’expiration des 30 jours si les informations et/ou les données traitées n’ont pas été intégralement fournies en réponse à la demande initiale. La demande renouvelée doit en expliquer les motifs.

La Société peut refuser une demande renouvelée qui ne satisfait pas aux conditions des parties 4 et 5 de l’article 14 de la loi fédérale n° 152-FZ. Le refus doit être motivé. Il incombe à la Société de prouver que ce refus est justifié.

Le droit d’accès d’une personne à ses données personnelles peut être limité par les lois fédérales, notamment lorsque :

1. les données, y compris celles obtenues dans le cadre d’activités d’enquête opérationnelle, de contre-espionnage et de renseignement, sont traitées aux fins de défense nationale, de sécurité de l’État et de maintien de l’ordre ;

2. les données sont traitées par les autorités qui ont placé la personne concernée en détention en raison de soupçons d’infraction, l’ont mise en accusation dans une procédure pénale ou ont pris une mesure préventive avant l’inculpation, sauf lorsque le droit russe de procédure pénale permet au suspect ou à l’accusé de consulter ces données ;

3. les données sont traitées en vertu des lois de lutte contre le blanchiment de capitaux et le financement du terrorisme ;

4. l’accès par la personne concernée porterait atteinte aux droits et intérêts légitimes de tiers ;

5. les données sont traitées dans les cas prévus par le droit russe relatif à la sécurité des transports afin d’assurer le fonctionnement stable et sûr du système de transport et de protéger les personnes, la société et l’État contre les interventions illicites dans ce système.

5.1. Opérations sur les données personnelles effectuées par la Société

La Société effectue les opérations suivantes :

1. Pour respecter le droit du travail russe : transfert (accès), enregistrement, blocage, organisation, transfert (communication), utilisation, suppression, anonymisation, accumulation, collecte, conservation, rectification (mise à jour ou modification), destruction et extraction ;

2. Pour établir et exécuter les relations contractuelles : transfert (diffusion), transfert (accès), enregistrement, blocage, organisation, transfert (communication), utilisation, suppression, anonymisation, accumulation, collecte, conservation, rectification (mise à jour ou modification), destruction et extraction.

5.2. Méthodes de traitement des données personnelles

La Société utilise les méthodes de traitement suivantes :

1. Pour respecter le droit du travail russe, un traitement combiné automatisé et non automatisé est utilisé, sans transmission sur le réseau interne, mais avec transmission sur Internet ;

2. Pour établir et exécuter les relations contractuelles, un traitement automatisé est utilisé, avec transmission sur le réseau interne et sur Internet.

5.3. Transfert des données personnelles à des tiers

Tiers : Domain Name Registrar REG.RU LLC, numéro d’identification fiscale (INN) 7733568767.

Adresse du tiers : 72 avenue Leningradsky, bâtiment 3, Moscou, région de Moscou, 125315, Russie.

Conditions du transfert : instructions de l’Opérateur.

Transferts transfrontaliers de données personnelles : aucun.

Méthode de transfert au tiers : transmission automatisée sur Internet.

Finalité du transfert : externalisation du traitement des informations dans le système.

Personnes concernées et données personnelles transférées :

1) les personnes physiques, y compris les ressortissants étrangers, qui demandent des services :

Données personnelles accessibles au public : coordonnées (numéro de téléphone et adresse e-mail), nom, prénom, patronyme et photographie.

Méthodes de traitement du tiers : traitement automatisé avec transmission sur le réseau interne et sans transmission sur Internet.

Opérations autorisées au tiers : blocage, enregistrement, extraction, utilisation, accumulation, transfert (accès), transfert (communication), transfert (diffusion), collecte, organisation, suppression, destruction, rectification (mise à jour ou modification) et conservation.

5.4. Mesures de sécurité du traitement des données personnelles

Lors du traitement, la Société prend et fait appliquer les mesures juridiques, organisationnelles et techniques nécessaires pour protéger les données contre l’accès illicite ou accidentel, la destruction, la modification, le blocage, la copie, la communication, la diffusion et toute autre action illicite.

La Société assure la sécurité des données personnelles notamment par les mesures suivantes :

1. évaluer le préjudice potentiel pour les personnes concernées résultant de violations de la loi relative aux données personnelles, conformément aux exigences de l’autorité compétente, et comparer ce préjudice aux mesures de protection destinées à remplir les obligations prévues par cette loi ;

2. effectuer des contrôles internes et/ou des audits du respect de la loi relative aux données personnelles et des documents internes de la Société régissant leur traitement ;

3. informer les employés directement impliqués dans le traitement du droit russe des données personnelles, de la politique de la Société et des règles internes de traitement, et/ou les former ;

4. adopter une politique de traitement des données personnelles et des règles internes précisant, pour chaque finalité, les catégories et la liste des données, les catégories de personnes concernées, les méthodes et durées de traitement et de conservation, ainsi que les procédures de destruction une fois les finalités atteintes ou en présence d’autres fondements licites ; adopter des règles internes établissant les procédures de prévention et de détection des violations du droit russe et de traitement de leurs conséquences ;

5. tenir un inventaire des supports électroniques contenant des données personnelles ;

6. désigner une personne responsable de l’organisation du traitement des données personnelles ;

7. restaurer les données personnelles modifiées ou détruites à la suite d’un accès non autorisé ;

8. utiliser des outils de sécurité de l’information ayant passé la procédure prescrite d’évaluation de conformité ;

9. identifier les menaces pour la sécurité des données lors de leur traitement dans les systèmes d’information de données personnelles ;

10. évaluer l’efficacité des mesures de sécurité avant la mise en service d’un système d’information de données personnelles ;

11. établir des règles d’accès aux données traitées dans un système d’information et garantir l’enregistrement et le suivi de toutes les opérations qui les concernent ;

12. détecter les accès non autorisés et prendre des mesures, notamment détecter et prévenir les attaques informatiques contre les systèmes d’information de données personnelles, remédier à leurs conséquences et répondre aux incidents de sécurité informatique ;

13. contrôler les mesures de sécurité des données et le niveau de protection des systèmes d’information de données personnelles ;

14. mettre en œuvre les mesures organisationnelles et techniques nécessaires au respect des exigences de protection des données et à l’atteinte des niveaux de protection fixés par le Gouvernement de la Fédération de Russie ;

15. coopérer avec le système national de détection, de prévention et de traitement des conséquences des attaques informatiques contre les ressources informationnelles de la Fédération de Russie, notamment en signalant les incidents de sécurité entraînant un accès, une communication, une diffusion ou un transfert illicites de données personnelles.

5.5. Les bases de données personnelles de la Société sont intégralement situées en Fédération de Russie.

5.6. Durées de traitement des données personnelles

Les données personnelles traitées par la Société doivent être détruites ou anonymisées si :

1. les finalités du traitement ont été atteintes ou ne sont plus nécessaires ;

2. la personne concernée retire son consentement au traitement ;

3. le consentement au traitement expire ;

4. la licéité du traitement ne peut être assurée ;

5. la Société cesse son activité.

5.7. Conditions du traitement non automatisé des données personnelles

Lorsqu’elle traite les données sans automatisation, la Société respecte le décret n° 687 du Gouvernement de la Fédération de Russie du 15 septembre 2008 portant approbation du règlement relatif aux particularités du traitement non automatisé des données personnelles.

Dans ce type de traitement, les données personnelles sont séparées des autres informations, notamment par leur enregistrement sur des supports physiques distincts ou dans des rubriques ou champs désignés des formulaires.

Les données sont conservées sous une forme permettant d’identifier la personne concernée pendant une durée n’excédant pas celle nécessaire aux finalités du traitement.