1.1. Finalità della presente Politica

Il presente documento (la Politica) stabilisce le finalità e i principi generali del trattamento dei dati personali e le misure di protezione dei dati personali adottate dalla SOCIETÀ A RESPONSABILITÀ LIMITATA MOYA GAVAN (la Società).

La Società è titolare del trattamento dei dati personali. La presente Politica è un documento della Società accessibile al pubblico che chiunque può consultare.

1.2. Diritti principali della Società

I dati personali vengono trattati in modo lecito e corretto, nel rispetto dei principi e delle regole stabiliti dalla Legge federale n. 152-FZ del 27 luglio 2006, sui dati personali (Legge federale n. 152-FZ), sulla base del consenso dell’interessato, salvo i casi previsti dalla Legge federale n. 152-FZ.

La Società si riserva il diritto di verificare la completezza, l’accuratezza e l’adeguatezza dei dati personali forniti e, se necessario, il loro aggiornamento rispetto alle finalità del trattamento. Qualora siano rilevati dati personali errati o incompleti, la Società può interrompere ogni rapporto con l’interessato.

Se il consenso al trattamento dei dati personali è ottenuto da un rappresentante dell’interessato, la Società verifica i poteri di tale rappresentante a prestare il consenso per conto dell’interessato.

La Società può ottenere dati personali da un soggetto diverso dall’interessato, a condizione che fornisca conferma dell’esistenza dei presupposti indicati nei punti 2–11 della parte 1 dell’articolo 6, nella parte 2 dell’articolo 10 e nella parte 2 dell’articolo 11 della Legge federale n. 152-FZ.

Se l’interessato revoca il consenso al trattamento dei dati personali, la Società può proseguire il trattamento senza consenso qualora sussistano i presupposti indicati nei punti 2–11 della parte 1 dell’articolo 6, nella parte 2 dell’articolo 10 e nella parte 2 dell’articolo 11 della Legge federale n. 152-FZ.

Con il consenso dell’interessato, salvo diversa disposizione della legge federale, la Società può affidare a terzi il trattamento dei dati personali mediante accordo o contratto oppure adottando un atto appropriato (incarico della Società). Chi tratta dati personali su incarico della Società deve rispettare i principi e le regole della Legge federale n. 152-FZ. L’incarico deve specificare i dati personali, le azioni od operazioni da eseguire e le finalità del trattamento. Deve imporre all’incaricato di mantenere la riservatezza, rispettare la parte 5 dell’articolo 18 e l’articolo 18.1 della Legge federale n. 152-FZ e fornire, su richiesta della Società per tutta la durata dell’incarico, anche prima dell’inizio del trattamento, documenti e altre informazioni che confermino le misure adottate e il rispetto dei requisiti stabiliti ai sensi della Legge federale n. 152-FZ per eseguire l’incarico. Deve imporre un trattamento sicuro e specificare i requisiti di protezione dei dati previsti dall’articolo 19 della Legge federale n. 152-FZ, inclusa la notifica alla Società nei casi previsti dalla parte 3.1 dell’articolo 21 della stessa legge.

Chi tratta dati personali su incarico della Società non è tenuto a ottenere il consenso dell’interessato.

Quando la Società affida a terzi il trattamento dei dati personali, rimane responsabile nei confronti dell’interessato per le azioni di tali soggetti. Il soggetto che tratta i dati su incarico della Società risponde nei confronti della Società.

Se la Società affida il trattamento dei dati personali a una persona fisica o giuridica estera, sia la Società sia il soggetto che tratta i dati su suo incarico rispondono nei confronti dell’interessato per le azioni di tali persone.

1.3. Obblighi principali della Società

La Società non raccoglie né tratta dati personali e non li trasferisce a terzi senza il consenso dell’interessato, salvo diversa disposizione della legge russa.

Se, a seguito di una domanda o richiesta dell’interessato, del suo rappresentante o dell’autorità competente per la protezione dei dati personali, viene rilevato un trattamento illecito, la Società blocca i dati personali interessati, oppure ne garantisce il blocco se trattati da un’altra persona su incarico della Società, dal ricevimento della domanda o richiesta per tutta la durata della verifica.

Se, a seguito di una domanda o richiesta dell’interessato o del suo rappresentante, o di una richiesta dell’autorità competente per la protezione dei dati personali, vengono rilevati dati personali inesatti, la Società blocca tali dati, oppure ne garantisce il blocco se trattati da un’altra persona su incarico della Società, dal ricevimento della domanda o richiesta per tutta la durata della verifica, purché il blocco non violi i diritti e gli interessi legittimi dell’interessato o di terzi.

Se l’inesattezza viene confermata, la Società rettifica i dati personali, oppure ne garantisce la rettifica se trattati da un’altra persona su incarico della Società, entro 7 giorni lavorativi dal ricevimento delle informazioni fornite dall’interessato, dal suo rappresentante, dall’autorità competente per la protezione dei dati personali o degli altri documenti necessari e rimuove il blocco.

Se viene rilevato un trattamento illecito dei dati personali da parte della Società o di un soggetto che agisce su suo incarico, la Società interrompe il trattamento illecito, oppure ne garantisce l’interruzione da parte di tale soggetto, entro 3 giorni lavorativi dal rilevamento.

Se non è possibile rendere lecito il trattamento, la Società distrugge i dati personali o ne garantisce la distruzione entro 10 giorni lavorativi dal rilevamento del trattamento illecito. La persona responsabile dell’organizzazione del trattamento dei dati personali presso la Società determina se il trattamento è illecito e se è necessaria la distruzione e ne informa la direzione. La Società comunica all’interessato o al suo rappresentante che le violazioni sono state sanate o che i dati sono stati distrutti. Se la domanda dell’interessato o del suo rappresentante, oppure la richiesta dell’autorità competente per la protezione dei dati personali, è stata inoltrata da tale autorità, la Società informa anche quest’ultima.

Se viene accertato che un trasferimento illecito o accidentale di dati personali (comunicazione, diffusione o accesso) ha violato i diritti di uno o più interessati, la Società deve informare l’autorità competente per la protezione dei dati personali dopo che l’incidente è stato rilevato dalla Società, da tale autorità o da un altro soggetto interessato:

1. entro 24 ore, comunicando l’incidente, le sue presunte cause, il danno previsto ai diritti degli interessati e le misure adottate per affrontarne le conseguenze, nonché informazioni sulla persona autorizzata dalla Società a comunicare con l’autorità per la protezione dei dati personali in merito all’incidente;

2. entro 72 ore, comunicando i risultati dell’indagine interna e fornendo informazioni sulle persone le cui azioni hanno causato l’incidente, se note.

Quando la finalità del trattamento dei dati personali è stata raggiunta, la Società interrompe il trattamento e distrugge i dati, oppure garantisce che il soggetto che li tratta su suo incarico provveda in tal senso, entro 30 giorni dal raggiungimento della finalità. Ciò si applica salvo diversa previsione di un contratto di cui l’interessato sia parte, beneficiario o garante, o di un altro accordo tra la Società e l’interessato, oppure salvo che la Società possa trattare i dati senza consenso ai sensi della Legge federale n. 152-FZ o di altre leggi federali.

Se l’interessato revoca il consenso, la Società interrompe il trattamento, oppure garantisce che il soggetto che tratta i dati su suo incarico provveda in tal senso. Se la conservazione non è più necessaria per le finalità del trattamento, la Società distrugge i dati o ne garantisce la distruzione entro 30 giorni dal ricevimento della revoca. Ciò si applica salvo diversa previsione di un contratto di cui l’interessato sia parte, beneficiario o garante, o di un altro accordo tra la Società e l’interessato, oppure salvo che la Società possa trattare i dati senza consenso ai sensi della Legge federale n. 152-FZ o di altre leggi federali.

Se l’interessato richiede alla Società di interrompere il trattamento dei dati personali, la Società lo interrompe o garantisce che il proprio incaricato lo interrompa entro 10 giorni lavorativi dal ricevimento della richiesta, salvo i casi previsti dai punti 2–11 della parte 1 dell’articolo 6, dalla parte 2 dell’articolo 10 e dalla parte 2 dell’articolo 11 della Legge federale n. 152-FZ. Tale termine può essere prorogato di non oltre 5 giorni lavorativi se la Società invia all’interessato una comunicazione motivata che spiega la proroga del termine per fornire le informazioni richieste.

La Società apporta le modifiche necessarie entro 7 giorni lavorativi dalla presentazione, da parte dell’interessato o del suo rappresentante, di informazioni che confermano che i dati personali sono incompleti, inesatti o non aggiornati.

La Società distrugge i dati personali entro 7 giorni lavorativi dalla presentazione, da parte dell’interessato o del suo rappresentante, di informazioni che confermano che sono stati ottenuti illecitamente o sono superflui rispetto alla finalità dichiarata del trattamento. La Società informa l’interessato o il suo rappresentante delle modifiche e delle misure adottate e compie sforzi ragionevoli per informare i terzi ai quali i dati sono stati trasferiti.

Se i dati personali non possono essere distrutti entro i termini sopra indicati, la Società li blocca, oppure ne garantisce il blocco se trattati da un’altra persona su suo incarico, e ne garantisce la distruzione entro un massimo di 6 mesi, salvo che la legge federale stabilisca un altro termine.

La distruzione dei dati personali è confermata in conformità ai requisiti stabiliti dall’autorità competente per la protezione dei dati personali.

Ai sensi dell’Ordinanza n. 179 del 28 ottobre 2022 del Servizio federale per la supervisione delle comunicazioni, delle tecnologie dell’informazione e dei mass media, sull’approvazione dei requisiti per la conferma della distruzione dei dati personali (i Requisiti), quando la Società tratta dati personali senza mezzi automatizzati, la distruzione è confermata da un verbale di distruzione dei dati personali.

Quando la Società tratta dati personali mediante mezzi automatizzati, la distruzione è confermata da un verbale conforme ai punti 3 e 4 dei Requisiti e da un’esportazione del registro degli eventi del sistema informativo di dati personali (esportazione del registro).

Se l’esportazione del registro non può includere determinate informazioni richieste dal punto 5 dei Requisiti, le informazioni mancanti vengono inserite nel verbale di distruzione.

Quando la Società tratta dati personali sia con sia senza mezzi automatizzati, la distruzione è confermata da un verbale conforme ai punti 3 e 4 dei Requisiti e da un’esportazione del registro conforme al punto 5 dei Requisiti.

Il verbale di distruzione e l’esportazione del registro devono essere conservati per 3 anni dopo la distruzione dei dati personali.

1.4. Diritti principali degli interessati

L’interessato decide se fornire dati personali e presta il consenso al trattamento liberamente, volontariamente e nel proprio interesse. Nei casi previsti dalla legge federale, il trattamento richiede il consenso scritto dell’interessato. Il consenso contenuto in un documento elettronico firmato con firma elettronica in conformità alla legge federale equivale al consenso scritto su carta recante la firma autografa dell’interessato.

Per tutelare i propri interessi legittimi, gli interessati o i loro rappresentanti hanno il diritto di:

1. ricevere informazioni complete sui propri dati personali e sul loro trattamento, incluso il trattamento automatizzato;

2. accedere liberamente e gratuitamente ai propri dati personali, anche ottenendo copie di qualsiasi documento che li contenga, salvo i casi previsti dalla parte 8 dell’articolo 14 della Legge federale n. 152-FZ;

3. richiedere la rettifica, il blocco o la distruzione dei dati personali incompleti, non aggiornati, inesatti, ottenuti illecitamente o superflui rispetto alla finalità dichiarata del trattamento e adottare le misure previste dalla legge per proteggere i propri diritti. Se la Società rifiuta di rimuovere, rettificare, bloccare o distruggere i dati, l’interessato può presentare un’obiezione scritta adeguatamente motivata;

4. richiedere che la Società informi tutti i soggetti ai quali sono stati precedentemente forniti dati personali errati, incompleti, non aggiornati, inesatti, ottenuti illecitamente o superflui di tutte le modifiche o rimozioni, inclusi il blocco o la distruzione da parte di tali terzi;

5. contestare in giudizio o presso l’autorità competente per la protezione dei dati personali atti od omissioni illeciti della Società nel trattamento e nella protezione dei propri dati personali, se l’interessato ritiene che la Società violi la Legge federale n. 152-FZ o leda in altro modo i suoi diritti e le sue libertà. L’interessato ha il diritto di tutelare i propri diritti e interessi legittimi, anche chiedendo in giudizio il risarcimento dei danni e/o del danno morale.

L’interessato ha il diritto di ottenere informazioni sul trattamento dei propri dati personali, tra cui:

1. conferma che la Società tratta dati personali;

2. basi giuridiche e finalità del trattamento;

3. finalità e modalità di trattamento utilizzate dalla Società;

4. denominazione e sede della Società e informazioni sui soggetti diversi dai dipendenti della Società che hanno accesso ai dati personali o ai quali essi possono essere comunicati in base a un contratto con la Società o alla legge federale;

5. dati personali trattati relativi all’interessato e loro fonte, salvo che la legge federale preveda una diversa procedura per fornire tali dati;

6. periodi di trattamento, inclusi i periodi di conservazione;

7. procedura per esercitare i diritti previsti dalla Legge federale n. 152-FZ;

8. informazioni sui trasferimenti transfrontalieri di dati effettuati o previsti;

9. denominazione oppure cognome, nome e patronimico e indirizzo di qualsiasi soggetto cui sia stato o sarà affidato il trattamento dei dati personali su incarico della Società;

10. informazioni su come la Società adempie ai propri obblighi ai sensi dell’articolo 18.1 della Legge federale n. 152-FZ;

11. altre informazioni previste dalla Legge federale n. 152-FZ o da altre leggi federali.

Se, su sua richiesta, all’interessato è stato concesso accesso ai dati personali trattati, può presentare alla Società una nuova domanda o richiesta di informazioni e di accesso non prima di 30 giorni dalla domanda o richiesta iniziale, salvo che sia stabilito un termine più breve dalla legge federale, da una disposizione adottata in base a essa o da un contratto di cui l’interessato sia parte, beneficiario o garante.

L’interessato può presentare una nuova domanda o richiesta prima della scadenza del termine di 30 giorni se le informazioni e/o i dati personali trattati non sono stati forniti integralmente in risposta alla domanda iniziale. La richiesta ripetuta deve spiegarne i motivi.

La Società può rifiutare una richiesta ripetuta che non soddisfi le condizioni delle parti 4 e 5 dell’articolo 14 della Legge federale n. 152-FZ. Il rifiuto deve essere motivato. Spetta alla Società dimostrare che il rifiuto è giustificato.

Il diritto dell’interessato di accedere ai propri dati personali può essere limitato ai sensi delle leggi federali, anche nei casi in cui:

1. i dati personali, inclusi quelli ottenuti mediante attività investigative operative, di controspionaggio e di intelligence, sono trattati per la difesa nazionale, la sicurezza dello Stato e l’applicazione della legge;

2. i dati personali sono trattati da autorità che hanno fermato l’interessato per sospetto di reato, lo hanno accusato in un procedimento penale o hanno disposto una misura cautelare prima della formulazione delle accuse, salvo quando la legge processuale penale russa consente all’indagato o all’imputato di consultare tali dati;

3. i dati personali sono trattati ai sensi della normativa contro il riciclaggio di denaro e il finanziamento del terrorismo;

4. l’accesso da parte dell’interessato violerebbe i diritti e gli interessi legittimi di terzi;

5. i dati personali sono trattati nei casi previsti dalla normativa russa sulla sicurezza dei trasporti per garantire un funzionamento stabile e sicuro del sistema dei trasporti e proteggere le persone, la società e lo Stato da interferenze illecite in tale sistema.

5.1. Operazioni sui dati personali effettuate dalla Società

La Società esegue le seguenti operazioni sui dati personali:

1. Per rispettare la normativa russa sul lavoro: trasferimento (accesso), registrazione, blocco, organizzazione, trasferimento (comunicazione), utilizzo, cancellazione, anonimizzazione, accumulo, raccolta, conservazione, rettifica (aggiornamento o modifica), distruzione ed estrazione;

2. Per instaurare ed eseguire rapporti contrattuali: trasferimento (diffusione), trasferimento (accesso), registrazione, blocco, organizzazione, trasferimento (comunicazione), utilizzo, cancellazione, anonimizzazione, accumulo, raccolta, conservazione, rettifica (aggiornamento o modifica), distruzione ed estrazione.

5.2. Modalità di trattamento dei dati personali

La Società utilizza le seguenti modalità di trattamento dei dati personali:

1. Per rispettare la normativa russa sul lavoro, viene utilizzato un trattamento misto, automatizzato e non automatizzato, senza trasmissione su una rete interna ma con trasmissione tramite Internet;

2. Per instaurare ed eseguire rapporti contrattuali, viene utilizzato un trattamento automatizzato con trasmissione sia sulla rete interna sia tramite Internet.

5.3. Trasferimento dei dati personali a terzi

Terzo: Domain Name Registrar REG.RU LLC, numero di identificazione fiscale (INN) 7733568767.

Sede del terzo: viale Leningradsky 72, edificio 3, Mosca, regione di Mosca, 125315, Russia.

Condizioni del trasferimento: incarico del Titolare del trattamento.

Trasferimenti transfrontalieri di dati personali: nessuno.

Modalità di trasferimento al terzo: trasmissione automatizzata tramite Internet.

Finalità del trasferimento: affidamento all’esterno del trattamento delle informazioni nel sistema.

Interessati e dati personali trasferiti:

1) persone fisiche, inclusi cittadini stranieri, che richiedono servizi:

Dati personali accessibili al pubblico: recapiti (numero di telefono e indirizzo email), cognome, nome, patronimico e fotografia.

Modalità di trattamento da parte del terzo: trattamento automatizzato con trasmissione sulla rete interna e senza trasmissione tramite Internet.

Operazioni consentite al terzo: blocco, registrazione, estrazione, utilizzo, accumulo, trasferimento (accesso), trasferimento (comunicazione), trasferimento (diffusione), raccolta, organizzazione, cancellazione, distruzione, rettifica (aggiornamento o modifica) e conservazione.

5.4. Misure di sicurezza per il trattamento dei dati personali

Nel trattamento dei dati personali, la Società adotta e garantisce le misure giuridiche, organizzative e tecniche necessarie per proteggerli da accessi illeciti o accidentali, distruzione, modifica, blocco, copia, comunicazione, diffusione e altre azioni illecite.

La Società garantisce la sicurezza dei dati personali mediante misure che includono:

1. valutare il danno potenziale agli interessati derivante da violazioni della legge sui dati personali, in conformità ai requisiti dell’autorità competente per la protezione dei dati personali, e confrontare tale danno con le misure di protezione volte ad adempiere agli obblighi previsti dalla legge;

2. effettuare controlli interni e/o verifiche del rispetto della legge sui dati personali e dei documenti interni della Società che disciplinano il trattamento dei dati personali;

3. informare i dipendenti direttamente coinvolti nel trattamento sulla normativa russa in materia di dati personali, sulla politica della Società sul trattamento dei dati personali e sui regolamenti interni di trattamento e/o formare tali dipendenti;

4. adottare una politica della Società sul trattamento dei dati personali e regolamenti interni che specifichino, per ogni finalità del trattamento, le categorie e l’elenco dei dati personali, le categorie di interessati, le modalità e i periodi di trattamento e conservazione e le procedure di distruzione dei dati una volta raggiunte le finalità o al verificarsi di altri presupposti legittimi; adottare inoltre regolamenti interni che stabiliscano procedure per prevenire e rilevare violazioni della legge russa e affrontarne le conseguenze;

5. tenere un inventario dei supporti elettronici contenenti dati personali;

6. designare una persona responsabile dell’organizzazione del trattamento dei dati personali;

7. ripristinare i dati personali modificati o distrutti a seguito di accessi non autorizzati;

8. utilizzare strumenti di sicurezza delle informazioni che abbiano superato la procedura di valutazione della conformità prevista;

9. individuare le minacce alla sicurezza dei dati personali durante il trattamento nei sistemi informativi di dati personali;

10. valutare l’efficacia delle misure di sicurezza dei dati personali prima della messa in funzione di un sistema informativo di dati personali;

11. stabilire regole di accesso ai dati personali trattati in un sistema informativo e garantire la registrazione e la tracciabilità di tutte le operazioni che riguardano tali dati;

12. rilevare accessi non autorizzati ai dati personali e intervenire, anche individuando e prevenendo attacchi informatici ai sistemi informativi di dati personali, affrontandone le conseguenze e rispondendo agli incidenti di sicurezza informatica;

13. monitorare le misure di sicurezza dei dati personali e il livello di protezione dei sistemi informativi di dati personali;

14. attuare le misure organizzative e tecniche di sicurezza necessarie per soddisfare i requisiti di protezione dei dati personali e raggiungere i livelli di protezione stabiliti dal Governo della Federazione Russa;

15. collaborare con il sistema statale per il rilevamento, la prevenzione e la gestione delle conseguenze degli attacchi informatici alle risorse informative della Federazione Russa, anche segnalando incidenti di sicurezza informatica che comportano accesso, comunicazione, diffusione o trasferimento illeciti di dati personali.

5.5. Le banche dati personali della Società si trovano interamente nella Federazione Russa.

5.6. Periodi di trattamento dei dati personali

I dati personali trattati dalla Società devono essere distrutti o anonimizzati se:

1. le finalità del trattamento sono state raggiunte o non sono più necessarie;

2. l’interessato revoca il consenso al trattamento;

3. il consenso al trattamento scade;

4. non è possibile garantire un trattamento lecito;

5. la Società cessa la propria attività.

5.7. Condizioni del trattamento dei dati personali senza mezzi automatizzati

Nel trattamento dei dati personali senza mezzi automatizzati, la Società rispetta il Decreto del Governo della Federazione Russa n. 687 del 15 settembre 2008, sull’approvazione del regolamento relativo alle particolarità del trattamento dei dati personali senza mezzi automatizzati.

In tale trattamento, i dati personali vengono separati dalle altre informazioni, anche mediante registrazione su supporti fisici distinti o in sezioni o campi appositi dei moduli.

I dati personali vengono conservati in una forma che consenta di identificare l’interessato per un periodo non superiore a quello richiesto dalle finalità del trattamento.