Политика в отношении обработки персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Мы заботимся о защите персональных данных. В настоящей Политике обработки персональных данных (далее – Политика) указано, какую информацию мы собираем, о ком, для каких целей и какими средствами, на каких основаниях, а также каковы права субъектов персональных данных и механизмы их реализации.

1.2. Оператором относительно обработки персональных данных в соответствии с настоящей Политикой является упрощенное акционерное общество «LES LABORATOIRES SERVIER» (Французская Республика) (далее – Servier), действующее в Республике Беларусь через своё Представительство, открытое в соответствии с установленным законодательством порядком (юридический адрес в Республике Беларусь: г. Минск, ул. Мясникова А.Ф., д. 70, офис 303; адрес электронной почты: office@srvbel.by ).

1.3. Издание Политики в отношении обработки персональных данных является одной из обязательных принимаемых Оператором мер по обеспечению защиты персональных данных, предусмотренных ст. 17 Закона Республики Беларусь от 07 мая 2021 года № 99-З «О защите персональных данных» (далее – Закон).

Политика является локальным правовым актом Представительства, обязательным для соблюдения и исполнения работниками, а также иными лицами, участвующими в обработке персональных данных в соответствии с настоящей Политикой.

1.4. В настоящей Политике используются термины и их определения в значении, определенном Законом.

1.5. Оператор оставляет за собой право вносить изменения в настоящую Политику в любой момент в одностороннем порядке.

2. СФЕРА ДЕЙСТВИЯ

2.1. Настоящая Политика применяется к обработке персональных данных лишь в части деятельности на территории Республики Беларусь Представительства Оператора, открытого в установленном законодательством порядке. Обработка персональных данных иностранной организацией Servier за пределами Республики Беларусь не является предметом регулирования настоящей Политики.

2.2. Настоящая Политика применяется, по общему правилу, к обработке персональных данных любых физических лиц, независимо от того, в какой форме и / или среде были сообщены персональные данные субъекта персональных данных (например, в бумажном виде или используя электронную почту).

Политика не применяется к обработке персональных данных в процессе трудовой деятельности и при осуществлении административных процедур (в отношении работников и бывших работников), а также при обработке файлов куки, собираемых Оператором при использовании субъектом персональных данных сайта Servier в доменной зоне by (https://servier.by/ ).

2.3. Политика распространяется на все процессы, связанные с обработкой персональных данных в Представительстве Оператора в Республике Беларусь (подробно о регламентации процессов обработки персональных данных см. раздел 3 настоящей Политики, а также Приложение 1 к настоящей Политике).

3. НАПРАВЛЕНИЯ, ЦЕЛИ И ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

Оператор может обрабатывать персональные данные для различных целей и по разным правовым основаниям, в том числе обработка может осуществляться для нескольких целей одновременно.

Оператор также может использовать собранные данные в статистических и исследовательских целях при условии их обезличивания.

Оператор осуществляет обработку персональных данных по следующим основным направлениям:

3.1. Заключение и исполнение договора

Оператор может обрабатывать персональные данные для заключения договора с субъектом персональных данных (в том числе проведения оценок, проверок контрагента перед заключением договора), его исполнения (совершения действий, установленных этим договором).

Категория субъектов персональных данных	Виды персональных данных	Правовое основание
Сторона по заключаемому (заключенному) договору, представитель юридического лица	Идентификационные данные (ФИО, данные документа, удостоверяющего личность), Контактная информация (номер телефона, адрес электронной почты, адрес проживания), Данные об образовании, опыте работы и профессиональной деятельности (если необходимо для заключения, исполнения договора), Иные персональные данные, которые указаны в договоре либо получены в процессе его заключения (исполнения).	В случае заключения договора с физическим лицом получение персональных данных на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором (абз. 15 ст. 6 Закона). В случае заключения договора с юридическим лицом обработка персональных данных в связи с осуществлением трудовой (служебной) деятельности субъекта персональных данных в случаях, предусмотренных законодательством (абзац 8 ст. 6 Закона)

3.2. Маркетинговая деятельность (реклама, информирование)

Оператор может обрабатывать персональные данные, чтобы информировать физических лиц о продуктах, новостях, маркетинговых мероприятиях (конференциях, семинарах), др.

Категория субъектов персональных данных	Виды персональных данных	Правовое основание
Любые физические лица, выразившие желание (давшие согласие) на получение соответствующей информации	Идентификационные данные (ФИО), Контактная информация (номер телефона, адрес электронной почты), Данные о месте работы и профессиональной деятельности.	Согласие на обработку персональных данных (ст. 5 Закона).

3.3. Организация участия в проводимых мероприятиях

Оператор может обрабатывать персональные данные для организации участия субъектов персональных данных в проводимых Оператором / Представительством (или иным лицом) мероприятиях, в том числе, направленных на повышение профессионального уровня медицинских и фармацевтических работников, участия в научных конференциях, семинарах, советах экспертов, круглых столах, вебинарах, информирование участников о лекарственных средствах и иных продуктах компании Servier.

Категория субъектов персональных данных	Виды персональных данных	Правовое основание
Участники проводимых Оператором (или иным лицом) мероприятий	Идентификационные данные (ФИО, данные документа, удостоверяющего личность), Контактная информация (номер телефона, адрес электронной почты), Данные об образовании, стаже и месте работы, Иные персональные данные, необходимые для организации участия в проводимых мероприятиях.	Согласие на обработку персональных данных (ст. 5 Закона), если отсутствует иное правовое основание, предусмотренное законодательством.

3.4. Рассмотрение резюме соискателей на трудоустройство

В целях формирования штата квалифицированных специалистов, Оператор может обрабатывать персональные данные кандидатов на замещение вакантных должностей, направленные Представительству в любом виде (например, в виде анкеты, резюме, др.) и любым способом (на электронную почту, бумажным отправлением, посредством специально созданного программного обеспечения / интернет — ресурса).

Категория субъектов персональных данных	Виды персональных данных	Правовое основание
Соискатели на трудоустройство	Идентификационные данные (ФИО, дата рождения), Данные об образовании, стаже и местах работы, Контактная информация (номер телефона, адрес электронной почты), Иные данные, указанные в резюме, анкетах, формах и прочих документах, направляемых субъектом персональных данных.	Согласие на обработку персональных данных при направлении резюме на электронную почту или посредством интернет-сайта (ст. 5 Закона) или обработка персональных данных на основании их указания в документе, адресованном Оператору / Представительству и подписанном субъектом персональных данных (абз. 16 ст. 6 Закона).

3.5. Коммуникация с физическими лицами в процессе рассмотрения поступивших обращений, сообщений

Оператор может обрабатывать персональные данные в целях рассмотрения поступивших от субъектов персональных данных (в любом виде и любым способом) сообщений, обращений, подготовки и направления ответов на них (в том числе, сообщений, поступивших в рамках системы фармаконадзора).

Категория субъектов персональных данных	Виды персональных данных	Правовое основание
Обращающееся физическое лицо, иные физические лица, чьи персональные данные указаны в обращении	Персональные данные, указанные субъектом в обращении, сообщении (в том числе, ФИО, адрес электронной почты).	Обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами (абз. 20 ст. 6 Закона).

3.6. Иные цели, предусмотренные законодательством или текстом согласия

Оператор может обрабатывать персональные данные субъектов персональных данных в целях, не указанных в п. 3.1 — 3.5 настоящей Политики в случае, если цель предусмотрена законодательством Республики Беларусь, настоящей Политикой (Приложение 1), текстом согласия на обработку персональных данных.

3.7. Подробно о категориях субъектов персональных данных, целях и правовых основаниях обработки их данных в Приложении 1 к настоящей Политике.

4. ДЕЙСТВИЯ, ОСУЩЕСТВЛЯЕМЫЕ С ПЕРСОНАЛЬНЫМИ ДАННЫМИ

Оператор вправе совершать любые действия (совокупность действий) по обработке персональных данных, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, предоставление, трансграничную передачу, уничтожение, удаление персональных данных, если иное не предусмотрено законодательством, текстом согласия на обработку персональных данных, иным документом, имеющим юридическую силу и регулирующим обработку персональных данных в конкретной ситуации.

При этом, Оператор вправе осуществлять обработку персональных данных как с использованием средств автоматизации, так и без использования таких средств. Обработка персональных данных в любом случае должна ограничиваться достижением конкретных целей обработки.

4.1. Передача персональных данных третьим лицам (предоставление доступа к ним)

4.1.1. Оператор при необходимости может передавать персональные данные (предоставлять к ним доступ) следующим категориям сторонних получателей:

• субъектам, которые обеспечивают функционирование автоматизированных систем, используемых для обработки соответствующих персональных данных (таким как организации, владеющие и / или обслуживающие серверы, корпоративные информационные системы (ресурсы), средства доставки электронной почты и контента),
• лицам, входящим в группу компаний Servier (с перечнем подобных лиц можно ознакомиться по ссылке: https://servier.com/en/servier-group/servier-throughout-the-world/),
• государственным органам, когда такая передача требуется согласно применимому законодательству,
• субъектам, оказывающим услуги, связанные с осуществлением деятельности Представительства на территории Республики Беларусь, в том числе,

услуги по ведению бухгалтерского учета и проведению аудита, юридические услуги, маркетинговые и рекламные услуги, услуги по организации и проведению мероприятий (по организации проживания, питания, проезда в рамках проводимых мероприятий).

4.1.2. Когда Оператор передает персональные данные (предоставляет к ним доступ) сторонним получателям, он гарантирует соблюдение требований применимого законодательства о персональных данных, в частности:

• Оператор / Представительство передает только минимальный объем данных, необходимый конкретному получателю для конкретной цели,
• Оператор / Представительство работает только с теми получателями данных, которые могут обеспечить надлежащий уровень защиты персональных данных,
• если получатель данных действует как Уполномоченное лицо, Представительство предпринимает все разумные меры для того, чтобы персональные данные обрабатывались Уполномоченным лицом только в соответствии с инструкциями Оператора и в соответствии с договором с ним.

Если для обработки персональных данных во исполнение договора с уполномоченным лицом необходимо получение согласия субъекта персональных данных, такое согласие получает Представительство.

4.1.3. В целях обеспечения надлежащего уровня защиты персональных данных при их обработке уполномоченными лицами на уровне не ниже, чем у Оператора, Представительство:

— осуществляет периодический контроль за выполнением уполномоченными лицами необходимых (в соответствии с законодательством Республики Беларусь) и достаточных мер по обеспечению защиты прав субъектов персональных данных при обработке их персональных данных;

— допускает привлечение уполномоченными лицами субуполномоченных лиц только при условии получения предварительного письменного разрешения Представительства либо письменного уведомления Представительства в соответствии с условиями заключенного с уполномоченным лицом договора.

4.1.4. Перечень уполномоченных лиц, обрабатывающих персональные данные по поручению Представительства, содержится в Приложении 2 к настоящей Политике.

4.2. Трансграничная передача персональных данных

4.2.1. Оператор может передавать отдельные персональные данные субъектов сторонним получателям, указанным в п. 4.1 настоящей Политики, расположенным на территории иностранных государств. При подобной передаче, Оператор / Представительство гарантирует, что Представительством:

— будут приняты необходимые меры, направленные на обеспечение надлежащего и достаточного уровня защиты персональных данных с учетом нормативных и договорных обязательств на уровне не ниже того, который действует в Республике Беларусь, в том числе принципы передачи, указанные в п. 4.1 настоящей Политики,

— будут соблюдены положения применимого законодательства (в том числе, Общего регламента защиты персональных данных (GDPR) Европейского союза).

4.2.2. В связи с тем, что Представительство (УАО) «LES LABORATOIRES SERVIER» в Республике Беларусь является обособленным структурным подразделением Оператора, расположенного на территории Французской Республики, передача персональных данных Представительством головному офису (иному структурному подразделению Оператора), является движением данных внутри компании, не признается передачей стороннему получателю, однако признается трансграничной передачей в государство с надлежащим уровнем защиты.

4.2.3.Обмен информацией в рамках группы компаний Servier осуществляется в отношении персональных данных кандидатов при приеме на работу и работников Представительства в объеме, необходимом для кадрового администрирования, обеспечения внутреннего комплаенса.

Указанный обмен и обработка данных осуществляются с использованием следующих централизованных систем, администрируемых головным офисом:

внутренней платформы SH@RE II (на базе SAP) – для внесения сведений о сотрудниках и ведения кадрового учета при приеме на работу;

облачных сервисов Microsoft 365 – для текущего внутрикорпоративного взаимодействия и документооборота.

Функционирование указанных платформ предполагает размещение персональных данных на серверах в Европейском союзе (ЕС), а также осуществление доступа к данным в целях кросс-функционального взаимодействия со стороны головного офиса и региональных компаний (подразделений), расположенных во Франции и РФ. Уровень защиты персональных данных в данных юрисдикциях является надлежащим.

4.2.4. Представительство осуществляет маркетинговую деятельность (информирование, рекламу) с использованием CRM-системы Veeva на платформе Salesforce, а также размещает информацию об участниках мероприятий, проводимых компанией Servier и её Представительством, в сети Интернет, включая социальные сети и мессенджеры (Viber, Telegram). Для сбора необходимых сведений, учета участников и автоматизации системы информирования могут использоваться онлайн-сервисы (Google Forms, Google Docs, их аналоги). Для повышения эффективности деятельности Представительства — анализа аудитории, оптимизации логистики мероприятий, улучшения качества сервисов, точного планирования и повышения прозрачности процессов — применяются инструменты экосистемы Google Workspace (включая Gmail, Google Drive), а также специализированные аналитические и картографические сервисы.

Использование указанных интернет-платформ связано с трансграничной передачей персональных данных. При этом установить государство, куда осуществляется трансграничная передача персональных данных с достоверностью не всегда представляется возможным, в связи с чем существует вероятность отсутствия условий для обеспечения надлежащей защиты прав субъектов персональных данных. В связи с этим Представительство предупреждает о возможных рисках трансграничной передачи персональных данных в государства с ненадлежащим уровнем защиты.

4.2.5. Осуществление трансграничной передачи персональных данных на территорию иностранного государства с ненадлежащим уровнем защиты может осуществляться Представительством в случаях, предусмотренных пунктом 1 ст. 9 Закона, в том числе:

а) дано согласие субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня защиты;

б) персональные данные, получены на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором;

в) получено соответствующее разрешение Национального центра защиты персональных данных (НЦЗПД);

г) обработка персональных данных является необходимой для выполнения обязанностей (полномочий), предусмотренных законодательными актами.

4.2.6. При передаче персональных данных в государство с ненадлежащим уровнем защиты существуют риски трансграничной передачи персональных данных, в частности:

• отнесение к персональным данным ограниченного круга сведений о физическом лице;
• отсутствие уполномоченного органа по защите прав субъектов персональных данных;
• ограниченный перечень прав / отсутствие легально закрепленных прав субъектов персональных данных;
• централизованно либо нормативно неконтролируемый перечень оснований доступа к персональным данным.

Возможны иные риски нарушения прав субъектов персональных данных, возникающие в связи с трансграничной передачей персональных данных.

4.2.7. При отсутствии оснований и условий, предусмотренных п. 4.2 настоящей Политики, трансграничная передача персональных данных запрещена. Лицо, уполномоченное Представительством на обработку персональных данных, перед передачей персональных данных на территорию иностранного государства обязано убедиться в соблюдении вышеуказанных условий.

5. СРОКИ ХРАНЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Оператор будет хранить персональные данные до тех пор, пока существует цель и правовое основание для обработки персональных данных. При этом, в отношении обработки некоторых персональных данных законодательство (в частности, законодательство об архивном деле и делопроизводстве) устанавливает сроки хранения, которые Оператор / Представительство обязуются соблюдать.

5.2. Сроки хранения персональных данных в привязке к конкретизированным целям определены в Приложении 1 к настоящей Политике.

5.3. Когда вышеуказанные сроки хранения данных закончатся, Оператор удалит или обезличит персональные данные.

6. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Любой субъект, чьи персональные данные обрабатываются Оператором / Представительством в соответствии с настоящей Политикой, имеет следующие права:

• получать информацию, касающуюся обработки своих персональных данных,
• требовать от Оператора внесения изменений в свои персональные данные, которые являются устаревшими, неполными или неточными,
• получать информацию о предоставлении своих персональных данных третьим лицам (один раз в календарный год бесплатно, если иное не предусмотрено законодательством),
• требовать прекратить обработку своих персональных данных, включая их удаление (при отсутствии оснований для обработки). При этом, Оператор не может удалить данные, которые он обязан обрабатывать и хранить в соответствии с законодательством,
• отозвать согласие на обработку персональных данных в любое время, если такая обработка осуществляется на основании такого согласия. При этом, отзыв согласия не повлияет на законность обработки, основанной на согласии, до его отзыва, а также на обработку персональных данных, которые Оператор обрабатывает, имея иные законные обоснования. Отзыв согласия не имеет обратной силы. Печатные издания, аудио- либо видеозаписи программ, иная информационная продукция, содержащие персональные данные, выпущенные до момента отзыва согласия субъектом персональных данных, не подлежат изъятию из гражданского оборота.

6.2. Для того, чтобы воспользоваться вышеназванными правами, субъект персональных данных может подать заявление в письменной форме либо в виде электронного документа, которое должно содержать: ФИО, адрес места жительства (места пребывания), дату рождения, суть требований, личную подпись или электронную цифровую подпись субъекта. Контактные данные для направления заявления:

• адрес электронной почты: office@srvbel.by ,
• почтовый адрес: г. Минск, ул. Мясникова А.Ф., д.70, офис 303.

Для ответа на запросы субъекта персональных данных Представительство может запросить дополнительную информацию, подтверждающую участие субъекта персональных данных в отношениях с Servier, его Представительством (номер договора, дата заключения, иные сведения), либо сведения иным образом подтверждающие факт обработки персональных данных Оператором.

6.3. Оператор гарантирует обработку (рассмотрение) заявления и предоставление ответа в течение 15 календарных дней после получения заявления (за исключением случая рассмотрения заявления о получении информации, касающейся обработки персональных данных, срок ответа на который составляет 5 рабочих дней после его получения). Ответ направляется в форме, соответствующей форме подачи заявления, если в самом запросе на осуществление прав не указано иное.

6.4. Субъект персональных данных вправе обжаловать действия (бездействие) и решения Оператора / Представительства, нарушающие его права при обработке персональных данных, в уполномоченный орган по защите прав субъектов персональных данных (в Республике Беларусь – Национальный центр защиты персональных данных Республики Беларусь; https://cpd.by/ ) в порядке, установленном законодательством об обращениях граждан и юридических лиц. Принятое уполномоченным органом по защите прав субъектов персональных данных решение может быть обжаловано субъектом в суд.

6.5. В случае дачи согласия на обработку персональных данных, такие данные будут обрабатываться Оператором в порядке и на условиях, определенных текстом соответствующего согласия и настоящей Политикой. В случае отказа в даче такого согласия персональные данные обрабатываться Оператором не будут, за исключением обработки персональных данных, которые Оператор обрабатывает, имея иные законные основания.

6.6. За содействием в реализации прав, связанных с обработкой персональных данных, субъект персональных данных может обратиться к лицу, ответственному за осуществление внутреннего контроля за обработкой персональных данных в Представительстве, направив сообщение на электронный адрес office@srvbel.by с пометкой «Обработка персональных данных».

7. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ. ПОРЯДОК ДОСТУПА К ПЕРСОНАЛЬНЫМ ДАННЫМ

При обработке персональных данных Оператор / Представительство принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. В частности, он предпринимает следующие меры:

• утверждает настоящую Политику, иные документы, позволяющие регламентировать процесс обработки персональных данных, организует ознакомление работников Представительства с ними, а также требованиями законодательства Республики Беларусь о защите персональных данных и мерами ответственности за нарушение требований по защите персональных данных;
• назначает лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных в Представительстве Оператора в Республике Беларусь;
• обеспечивает доступ к персональным данным только лицам, ознакомленным с настоящей Политикой и требованиями законодательства о защите персональных данных, организует обучение таких работников. Работникам, допущенным к обработке персональных данных, запрещается сообщать сведения, являющиеся персональными данными, лицам, не имеющим права доступа к этим сведениям;
• устанавливает порядок доступа к персональным данным, в том числе обрабатываемым в информационном ресурсе (системе); организует доступ к корпоративным внутренним системам, содержащим обрабатываемые персональные данные, на основании индивидуальных паролей; организует контроль доступа в помещения Представительства.

8. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

8.1. Представительство вправе вносить изменения и дополнения в Политику в отношении обработки персональных данных. Новая редакция Политики вступает в силу с момента ее размещения на сайте по адресу https://servier.by, если иное не предусмотрено приказом Главы Представительства.

8.2. Настоящая Политика является общедоступной. Общедоступность Политики обеспечивается путем ее размещения по месту нахождения Представительства по адресу: Республика Беларусь, город Минск, ул. Мясникова, д. 70, офис 303, а также на сайте по адресу https://servier.by .