1. 总则

1.1. “TopTech”有限责任公司根据2006年7月27日第152-FZ号《关于个人信息》联邦法律（以下简称 《个人信息法》）的第18.1条第1款第2项的要求制定个人信息处理政策（以下称为“政策”），以确保在处理个人信息时保护该用户和公民的权利和自由，包括保护隐私权、私生活和家庭秘密的权利。

1.2. 本政策适用于“TopTech”有限责任公司（以下称“运营方”或“TopTech”公司）处理的所有个人信息。

1.3. 本政策适用于本政策批准之前和之后运营方对个人信息的处理事项。

1.4. 为满足《个人信息法》第18.1条第2款的要求，本政策在运营方网站的信息和电信互联网上免费发布。

1.5. 本政策中使用的主要概念：

• 个人信息，是指能够用于直接或间接识别或可识别自然人（个人信息主体）的各种信息；
• 个人信息运营方（运营方）是指，独立或与其他人共同组织和（或）进行个人信息处理、确定个人信息处理目的、所处理的个人信息构成、使用个人信息执行的行动（操作）的国家机关、市政机构、法人或自然人；
• 个人信息处理是指，利用或不使用自动化工具对个人信息采取的任何行为（操作）或一系列行为（操作）的总合。个人信息处理包括：
  • 收集；
  • 记录；
  • 系统化；
  • 积累；
  • 存储；
  • 澄清（更新、变更）；
  • 摘录；
  • 使用；
  • 传输（传播、提供、访问）；
  • 匿名化；
  • 禁用；
  • 删除；
  • 销毁；
• 个人信息自动化处理是指，借助计算机设备处理个人信息；
• 个人信息的传播是指，旨在向不确定人群披露个人信息的行动；
• 提供个人信息是指，旨在向不确定人士或不确定人群披露个人信息的行动；
• 禁用个人信息是指，暂时停止处理个人信息（为澄清个人信息而必须进行处理的情况除外）；
• 销毁个人信息是指，此操作后无法在个人信息系统中恢复个人信息内容、和（或）其后果是销毁个人信息物理载体的行为；
• 个人信息的匿名化是指，此操作后，若不使用补充信息，无法确定个人信息是否属于特定个人信息主体的行为；
• 个人信息的信息系统是指个人信息数据库中包含并确保其处理的一整套信息技术和技术手段总和；
• 跨境传送个人信息是指，将个人信息转移至外国领土，转交给外国政府机构、外国自然人或外国法人的行为。

1.6. 运营方的基本权利和义务。

1.6.1. 运营方有权：

• 若《个人信息法》或其他联邦法律无另行规定，自行确定必要且充分的措施组成和清单，以确保履行《个人信息法》和根据该法通过的法律法规所规定的义务；
• 若联邦法律无另行规定，在征得个人信息主体同意的情况下，委托其他方基于与该方签订的合同处理个人信息。运营方委托进行个人信息处理的人员应遵守《个人信息法》规定的个人信息处理原则和规则，尊重个人信息的保密性，采取必要措施确保履行《个人信息法》规定的义务；
• 若个人信息主体撤回对个人信息处理的同意书，在有《个人信息法》规定正当理由条件下，运营方有权在未经个人信息主体同意的情况下继续处理个人信息。

1.6.2. 运营方应：

• 根据《个人信息法》要求组织处理个人信息；
• 根据《个人信息法》的要求，回复个人信息主体及其法律代表的请求和要求；
• 若个人信息主体权利保护全权机构（联邦通信、信息技术和大众传媒监督局）提出要求，在收到要求之日起10个工作日内向该机构报告必要信息。这一期限可以延长，但不得超过五个工作日。为此运营方应向俄联邦通信、信息技术和大众传媒监督局（Roskomnadzor）发送合理通知，并在通知中指出延长提供所需信息日期的理由；
• 根据联邦安全领域全权执行机构规定的程序，确保与发现、预防对俄联邦信息资源的计算机攻击及消除相关后果国家系统的互动，包括向其通报导致个人信息非法转移（提供、传播、访问）的计算机事件。

1.7. 个人信息主体的主要权利。个人信息主体有权：

• 获得有关处理其个人信息的消息，法律规定的相关情况除外。运营方应以可及的形式向个人信息主体提供信息，其中不得包含属于个人信息主体的个人信息，除非披露此类个人信息有合法依据。信息清单及其获取办法由《个人信息法》规定；
• 如果个人信息不完整、过时、不准确，信息为非法获取或不是既定处理目的所必需，可要求运营方澄清、屏蔽或销毁其个人信息，也可采取法律规定措施保护自己的权利；
• 在以推销商品、工作和服务为目的处理个人信息时，提出事先征得同意的条件；
• 就运营方在个人信息处理中的不法行为或不作为向俄联邦通信、信息技术和大众传媒监督局投诉运营方或起诉运营方。

1.8. 对遵守本政策要求的管理由运营方指定的个人信息处理事务全权人员来进行。

1.9. 根据俄罗斯联邦法律确定违反俄联邦法律和“TopTech”公司规定的个人信息处理和保护方面要求的责任。

2. 个人信息收集的目的

2.1. 个人信息处理仅限于用于实现具体的早前确定的合法目的。禁止进行与个人信息收集目的不相符的个人信息处理。

2.2. 只能处理符合其处理目的的个人信息。

2.3. 运营方进行个人信息处理的目的如下：

• 确保遵守《俄罗斯联邦宪法》、联邦法律和俄罗斯联邦其他法律法规；
• 根据“TopTech”公司章程完成自己的行为；
• 进行人事管理；
• 协助员工就业、获得教育和晋升，确保员工人身安全，管理所完成工作数量和质量，确保财产安全；
• 吸引和遴选应聘者到运营方工作；
• 组织员工在强制养老保险系统中进行个人（识别）登记；
• 填写并向执行机关和其他授权组织提交所需的报告表格；
• 履行民事法律关系；
• 会计；
• 实施门禁制度。

2.4. 处理员工个人信息的唯一目的是确保遵守法律和其他法规。

3. 个人信息处理的法律依据

3.1. 个人信息处理的法律依据是一整套法律法规，运营方遵循这些法律法规来进行个人信息处理，其中包括：

• 俄罗斯联邦宪法；
• 俄罗斯联邦民法；
• 俄罗斯联邦劳动法；
• 俄罗斯联邦税法；
• 1998年2月8日第14-FZ号 《关于有限责任公司》的联邦法律；
• 2011年12月6日第402-FZ号 《关于会计》的联邦法律；
• 2001年12月5日第167-FZ号 《关于俄罗斯联邦强制养老保险》的联邦法律；
• 规范与运营方活动相关关系的其他法律法规。

3.2. 属于个人信息处理的法律依据还有：

• “TopTech”公司章程；
• 运营方与个人信息主体之间签订的合同；
• 个人资料主体对处理其个人信息的同意书。

4. 所处理个人信息的量和分类，个人信息主体分类

4.1. 所处理的个人信息的内容和数量应符合本政策第2条所声明的处理目的。所处理的个人信息不得超出所声明的处理目的。

4.2. 运营方可处理一下类别个人信息主体的个人信息。

4.2.1. 应聘运营方工作岗位的候选人；

• 姓名，父称；
• 性别；
• 国籍；
• 出生日期和地址；
• 联系信息；
• 关于教育、工作经验和技能的信息；
• 候选在在简历或伴随信件中通知的其他个人信息。

4.2.2. 运营方员工和前员工：

• 姓名，父称；
• 性别；
• 国籍；
• 出生日期和地址；
• 图像（照片）；
• 护照信息；
• 住所登记地址；
• 实际居住地址；
• 联系信息；
• 个人纳税识别号；
• 个人账户保险号
• 关于教育、技能、专业准备和提高技能的信息；
• 家庭状况，是否有孩子，家庭关系；
• 有关工作情况的信息，包括激励、奖励和（或）纪律处罚；
• 婚姻登记信息；
• 军事登记信息；
• 关于残疾的信息；
• 关于扣除赡养费的信息；
• 关于前一个工作岗位收入的信息；
• 以及根据劳动法要求员工提供的其他个人信息。

4.2.3. 运营方员工家庭成员：

• 姓名，父称；
• 亲属关系；
• 出生年份；
• 以及根据劳动法要求员工提供的其他个人信息。

4.2.4. 运营方的客户和对手方（自然人）：

• 姓名，父称；
• 出生日期和地址；
• 护照信息；
• 住所登记地址；
• 联系信息；
• 职务；
• 个人纳税识别号；
• 结算账号；
• 运营方客户和对手方（自然人）为签订和履行合同所提供的其他个人信息。

4.2.5. 运营方客户和对手方（法人）的代表（员工）：

• 姓名，父称；
• 护照信息；
• 联系信息；
• 职务；
• 运营方客户和对手方的代表（员工）为签订和履行合同所提供的其他个人信息。

4.3. 运营方对个人生物信息（表明一个人的生理和生物特征的信息，可通过该信息确定其身份）的处理依据俄罗斯联邦法律进行。个人生物信息的提供不是强制的，除非法律另有规定。如果根据联邦法律，运营方获取个人生物信息处理同意不是强制的，运营方无权要求个人信息主体提供其个人生物信息和（或）同意对该其进行处理。

4.4. 运营方不处理与种族、国籍、政治观点、宗教或哲学信仰、健康状况、私生活有关的特殊类别个人信息，但俄罗斯联邦法律规定的情况除外。

5. 个人信息处理办法和条件

5.1. 运营方根据俄罗斯联邦法律要求处理个人信息处理。

5.2. 个人信息的处理需经个人信息主体同意，在俄罗斯联邦法律规定的情况下可无需个人信息主体同意。

5.3. 运营方既可自动化也可非自动化处理个人信息。

5.4. 职责义务包括个人信息处理的运营方员工允许进行个人信息的处理。

5.5. 个人信息处理通过以下方式进行：

• 直接从个人信息主体以口头或书面形式获得个人信息；
• 从公开渠道获取个人信息；
• 将个人信息列入运营方的日志、登记簿和信息系统；
• 使用个人信息其他处理方式。

5.6. 若联邦法律无另行规定，不得未经个人信息主体同意就向第三方披露和传播个人信息。个人信息主体允许进行传播的个人信息处理同意书，与个人信息主体就其个人信息处理的同意书分开制定。

对个人信息主体允许进行传播的个人信息处理同意书内容的要求，在俄联邦通信、信息技术和大众传媒监督局（Roskomnadzor）2021年2月24日第18号命令中被批准。

5.7. 根据俄罗斯联邦法律的要求向讯问和调查机构、联邦税务局、俄罗斯社会基金及其他全权执行权力机构和组织传送个人信息。

5.8. 运营方采取必要的法律、组织和技术措施，保护个人信息免遭非法或意外的访问、破坏、篡改、封锁、传播和其他未经授权的行为，包括：

• 在处理个人信息时发现对个人信息有安全性的威胁；
• 采用地方法规和调节个人信息处理和保护领域关系的其他文件；
• 指定负责在运营方结构部门和信息系统中保障个人信息安全的人员；
• 为处理个人信息工作创建必要条件；
• 组织对包含个人信息的文件进行统计；
• 组织进行个人信息处理的信息系统的工作；
• 在保证个人信息完整性且排除非法访问的条件下存储个人信息；
• 对运营方进行个人信息处理的员工进行培训。

5.9. 除非联邦法律、合同规定了个人信息的存储期限，否则运营方应以能够识别个人信息主体的形式存储个人信息，且存储时间不得超过个人信息处理目的所需的时间。

5.10. 在收集个人信息时，包括通过信息和电信网络收集个人信息时，除《个人信息法》规定的情况外，运营方确保使用位于俄罗斯联邦境内的数据库记录、系统化、积累、存储、澄清（更新、变更）、提取俄罗斯联邦公民的个人信息。

6. 个人信息的 更新、更正、删除和销毁，就主体对个人信息访问询问的回复

6.1. 运营方确认处理个人信息的事实，个人信息处理的法律依据和目的以及《个人信息法》第14条第7款规定其他信息，运营方应在收到个人信息主体或其代表询问请求的10个工作日内提供给个人信息主体或其代表。这一期限可以延长，但不得超过五个工作日。为此运营方应向个人信息主体发送合理通知，并在通知中指出延长提供所需信息日期的理由；

所提供信息中不得包含属于个人信息主体的个人信息，除非披露此类个人信息有合法依据。

询问应包含：

• 个人信息主体或其代表的主要身份证件号码、上述证件的签发日期和签发机构信息；
• 确认个人信息主体参与与运营方关系的信息（合同编号、合同签订日期、词汇代号和（或）其他信息），或以其他方式确认运营方处理个人信息这一事实的信息；
• 个人信息主体或其代表的签字。

询问可以通过电子文件形式发送，并根据俄罗斯联邦法律使用电子签名签字。

如果个人信息主体的询问（请求）没有按照《个人信息法》的要求反映所有必要信息，或者主体无权利访问所请求信息，会向其发送据理拒绝函。

根据《个人信息法》第14条第8款的规定，个人信息主体访问其个人信息的权利可受到限制，包括如个人信息主体对其个人信息的访问侵犯第三方人士合法权益的情况。

6.2. 如果在个人信息主体或其代表询问请求中或俄联邦通信、信息技术和大众传媒监督局（Roskomnadzor）询问中发现不准确的个人信息，运营方禁用属于该个人信息主体的个人信息，自该请求或收到指定询问之时起到检查期，如果禁用个人信息不侵犯该个人信息主体或第三方人士合法权益。

若确定个人信息不准确这一事实，运营方基于个人信息主体或其代表或俄联邦通信、信息技术和大众传媒监督局（Roskomnadzor）提供的信息，或其他必要文件，在这些信息提交后的七个工作日内澄清个人信息并对其进行解禁。

6.3. 如果在个人信息主体或其代表或运营方俄联邦通信、信息技术和大众传媒监督局（Roskomnadzor）的请求（询问）时发现违法处理个人信息行为，自该请求或收到询问之时起运营方禁用被违法处理的属于该个人信息主体的个人信息。

6.4. 在运营方、俄联邦通信、信息技术和大众传媒监督局（Roskomnadzor）或其他相关方发现违法或意外转交（提供、传播）个人信息（个人信息访问权限）时，导致侵犯个人信息主体的权利，运营方：

• 在24小时内通知俄联邦通信、信息技术和大众传媒监督局（Roskomnadzor）关于发生的事件、导致违反个人信息主体权利的假定原因、对个人信息主体权利的预计损害、消除事件后果所采取的措施，同时提供就该事件与俄联邦通信、信息技术和大众传媒监督局（Roskomnadzor）协作的运营方指定联系人信息。
• 在72小时内通知俄联邦通信、信息技术和大众传媒监督局（Roskomnadzor）所发现事件内部调查结果，并提供导致事件发生的人员信息（若存在）。

6.5. 在个人信息处理目的达成时，以及在个人信息主体撤回个人信息处理同意书时，个人信息应予以销毁，如果：

• 个人信息主体为一方、受益人或担保人的合同未做另行规定的话；
• 未经个人信息主体基于《个人信息法》或其他联邦法律规定依据的同意，运营方无权对该主体个人信息进行处理。
• 若运营方和个人信息主体之间其他协议未做规定。

6.6. 在个人信息主体要求运营方在运营方收到相关要求10个工作日内停止处理个人信息情况下，个人信息的处理将停止，《个人信息法》规定的情况除外。所指期限可以延长，但不得超过五个工作日。为此运营方应向个人信息主体发送合理通知，并在通知中指出延长期限的理由。