个人数据处理政策

1. 总则

本个人数据处理政策是根据2006年7月27日第152-FZ号联邦法律《关于个人数据》（以下简称《个人数据法》）制定，本政策规定了由萨拉耶娃·迪安娜·谢尔盖耶夫娜个体工商户（以下简称“运营商”）实施的个人数据处理程序以及个人数据安全保障措施。

1.1. 本运营商将尊重个人和公民在处理其个人数据时的权利和自由作为其最重要的目标和开展经营的条件，包括保护个人隐私权、个人和家庭秘密权。

1.2. 本运营商关于处理个人数据的政策（以下简称“政策”）适用于运营商可对于访问https://gca.studio网站的访客获取的所有信息。

2. 本政策中使用的基本定义

2.1. 个人数据的自动化处理是指以计算机技术对个人数据进行处理。

2.2. 个人数据的封锁是指暂时停止对个人数据的处理（除非因明确个人数据而必须进行处理）。

2.3. 网站是指由图形和信息材料、计算机程序及数据库组成的一套整体，通过互联网地址https://gca.studio提供访问。

2.4. 个人数据信息系统是指包含在数据库中的个人数据以及用于处理此种数据的信息技术和技术手段的组合整体。

2.5. 个人数据去识别化是指在不使用额外信息的情况下，使无法确定个人数据属于特定用户或其他个人数据主体的措施。

2.6. 个人数据处理是指使用自动化手段或不使用此类手段对个人数据进行的任何行动（操作）或一系列行动（操作），包括个人数据收集、记录、整理、积累、存储、修订（更新、修改）、提取、使用、传输（传播、提供、访问）、去识别化、封锁、删除、销毁。

2.7. 运营商是指国家机关、地方行政机关、法人实体或自然人，单独或与他人共同组织和/或实施个人数据处理，并确定个人数据的处理目的、待处理个人数据的范围以及对个人数据进行的行动（操作）。

2.8. 个人数据是指与特定或可确定的https://gca.studio网站用户直接或间接相关的任何信息。

2.9. 个人数据主体允许传播的个人数据是指个人数据主体根据《个人数据法》规定的程序，通过同意处理个人数据，允许无限数的人士访问的个人数据（以下简称“允许传播的个人数据”）。

2.10. 用户是指访问网站https://gca.studio的任何访客。

2.11. 个人数据提供是指旨在向特定人士或特定群体披露个人数据的行为。

2.12. 个人数据传播是指旨在向不特定群体披露个人数据（个人数据的传输）或向不特定人群查阅个人数据的任何行为，包括通过媒体公开个人数据、在电信信息网络上登载个人数据或以其他方式提供个人数据访问权限。

2.13. 跨境传输个人数据是指将个人数据传输至外国境内，提供给外国政府机构、外国自然人或外国法人实体。

2.14. 个人数据的销毁是指导致个人数据不可逆转地被销毁，且无法在个人数据信息系统中后来恢复个人数据内容，以及/或销毁个人数据的物理载体的任何行为。

3. 运营商的主要权利和义务

3.1. 运营商有权：

• 从个人数据主体获取真实的个人数据信息和/或包含个人数据的文件；
• 在个人数据主体撤回对个人数据处理的同意，并提交要求停止处理个人数据的申请时，运营商有权在符合《个人数据法》规定的条件下，未经个人数据主体同意继续处理个人数据；
• 自行确定为履行《个人数据法》及根据该法制定的规范性法律文件规定的义务所需的充分措施的组成和清单，除非《个人数据法》或其他联邦法律另有规定。

3.2. 运营商的义务：

• 应个人数据主体的要求，向其提供与个人数据处理相关的信息；
• 按俄罗斯联邦现行法律规定的程序组织个人数据的处理；
• 根据《个人数据法》的要求，回复个人数据主体及其法定代表的申请和咨询；
• 在收到负责保护个人数据主体权利的授权机构的申请之日起10天内，向该机构提供其要求的信息；
• 发布本个人数据处理政策或以其他方式提供不受限制访问；
• 采取法律、组织和技术措施，以保护个人数据免受非法或意外访问、销毁、修改、封锁、复制、提供、传播以及针对个人数据的其他非法行为；
• 根据《个人数据保护法》规定的程序和情况，停止传输（传播、提供、访问）个人数据，停止处理并销毁个人数据；
• 履行《个人数据保护法》规定的其他义务。

4. 个人数据主体的基本权利和义务

4.1. 个人数据主体有权：

• 获取与其个人数据处理相关的信息，但联邦法律另有规定的除外。该信息应由运营商以易于获取的形式提供给个人数据主体，其中不应包含其他个人数据主体的个人数据，除非有合法理由披露此类个人数据。信息清单及获取程序由《个人数据法》规定；
• 如果个人数据不完整、过时、不准确、非法获得或不需要用于声明的处理目的，要求运营商明确、封锁或销毁其个人数据，并采取法律规定的措施保护自己的权利；
• 因推广商品、劳务和服务而处理个人数据时，提出事先同意的条件；
• 撤回对处理个人数据的同意，并要求停止个人数据处理；
• 向负责保护个人数据主体权利的授权机构或通过司法程序，对运营商在处理其个人数据过程中的不当行为或不作为提出申诉；
• 行使俄罗斯联邦法律规定的其他权利。

4.2. 个人数据主体的义务：

• 向运营商提供真实的个人数据；
• 向运营商通报个人数据的更新、修改或变更情况。

4.3. 向运营商提供不真实的个人信息，或在未经他人同意的情况下提供他人个人信息的人士，应承担俄罗斯联邦法律规定的责任。

5. 个人数据处理原则

5.1. 个人数据处理应基于合法和公正的原则实现。

5.2. 个人数据处理应限于实现具体、预先确定且合法的目的。不得进行与收集个人数据目的不相符的处理。

5.3. 禁止将处理目的相互冲突的个人数据库进行合并。

5.4. 仅有符合处理目的的个人数据，方可进行其处理。

5.5. 所处理的个人数据内容和范围应与所述的处理目的相符。所处理的个人数据不得超出所述的处理目的范围。

5.6. 在处理个人数据时，应确保个人数据的准确性、充分性，在必要时也确保其与处理个人数据的目的相关性。运营商应采取必要措施和/或确保采取措施，以删除或明确不完整或不准确的数据。

5.7. 个人数据的存储形式应确保个人数据主体的识别，存储期限不得超过处理个人数据的目的所需的期限，除非联邦法律、个人数据主体作为合同一方、受益人或担保人签订的合同对个人数据的存储期限另有规定。在达到处理目的或不再需要达到处理目的时，所处理的个人数据应予以销毁或去识别化，除非联邦法律另有规定。

6. 个人数据的处理目的

处理目的	向用户提供访问网站上包含的服务、信息和/或材料的权限；识别垃圾邮件；技术目的；确保安全并遵守俄罗斯联邦法律；向用户提供反馈，包括回复用户咨询，其中包括使用第三方邮件服务。
个人数据	电子邮件地址电话号码姓名IP地址；浏览器用户代理信息；曲奇信息
法律依据	运营商在进行个人数据处理过程中应遵守的整套法律法规包括：俄罗斯联邦宪法；主体对个人数据处理表示的同意（在俄罗斯联邦法律未明确规定但符合运营商权限的情况下）；履行主体的申请；
个人数据处理方式	个人数据的收集、记录、整理、积累、存储、销毁及去识别化

7. 个人数据处理条件

7.1. 个人数据的处理需经个人数据主体同意对其个人数据进行处理。

7.2. 个人数据处理是为了实现俄罗斯联邦国际条约或法律规定的目标，以及履行俄罗斯联邦法律赋予运营商的职能、权限和义务。

7.3. 个人数据处理需要用于实现司法公正、执行司法裁决、根据俄罗斯联邦执行程序法律规定应予执行的其他机关或官员的裁决。

7.4. 个人数据处理需要用于履行个人数据主体作为当事人或受益人或担保人的合同，或签订个人数据主体主动提出的合同，或签订个人数据主体将作为受益人或担保人的合同。

7.5. 在个人数据处理不会侵犯个人数据主体的权利和自由前提下，个人数据处理需要用于实现运营商或第三方的权利和合法利益，或实现具有社会意义的目的。

7.6. 个人数据主体提供或应其要求向无限数人群公开个人数据的（以下简称“公开个人数据”），可进行个人数据处理。

7.7. 根据联邦法律，对需公开或强制披露的个人数据可进行处理。

8. 个人数据的收集、存储、传输及其他处理方式的流程

运营商所处理的个人数据的安全性通过必要的法律、组织和技术措施确保，以全面满足现行个人数据保护法律法规的要求。

8.1. 运营商确保个人数据的安全性，并采取所可能的措施，防止未经授权的人士访问个人数据。

8.2. 用户的个人数据在任何情况下均不会被转移给第三方，除非涉及执行现行法律法规，或在个人数据主体已授权运营商将数据转移给第三方以履行民事法律合同义务的情况下。

8.3. 如果发现个人数据存在不准确之处，用户可通过电子邮件向运营商发送标注为《更新个人数据》的通知至运营商邮箱doc@gca.holdings，并在邮件中注明，以便自行更新。

8.4. 个人数据处理期限由收集个人数据的目的决定，除非合同或现行法律另有规定。
用户可随时通过电子邮件向运营商发送标注为《撤回对个人数据处理的同意》的通知至运营商电子邮箱doc@gca.holdings以便撤回对个人数据处理的同意。

8.5. 所有由第三方服务，其中包括支付系统、通信工具及其他服务提供商所收集的信息，均由相关方（运营商）根据其用户协议及隐私政策进行存储和处理。个人数据主体和/或指定的文件。运营商不对第三方行为承担责任，包括本条款中提到的服务提供商。

8.6. 个人数据主体对允许传播的个人数据的传输（除提供访问权限外）以及处理或处理条件（除获取访问权限外）设定的限制，不适用于根据俄罗斯联邦法律规定的国家、社会及其他公共利益进行个人数据处理的情况。

8.7. 在处理个人数据时，运营商应确保个人数据的保密性。

8.8. 运营商应以能够识别个人数据主体的形式存储个人数据，存储期限不得超过处理个人数据的目的所需的期限，除非联邦法律或个人数据主体作为合同当事人、受益人或担保人签订的合同对个人数据的存储期限有明确规定。

8.9. 处理个人数据的终止条件包括实现个人数据处理目的、个人数据主体同意的有效期届满、个人数据主体撤回同意或要求终止处理个人数据，或发现个人数据处理存在违法行为。

9. 运营商对其获取的个人数据所采取的操作清单

9.1. 运营商进行个人数据的收集、记录、整理、存储、保存、修订（更新、修改）、提取、使用、传输（传播、提供、访问）、去识别化、封锁、删除和销毁。

9.2. 运营商通过电信信息网络或在没有网络的情况下对个人数据进行自动化处理，包括获取和/或传输所获取的信息。

10. 跨境个人数据传输

10.1. 运营商在开展跨境个人数据传输之前，必须通知保护个人数据主体权益的授权机构其进行跨境个人数据传输的意图（此类通知应与个人数据处理的通知分开提交）。

10.2. 运营商在提交上述通知前，必须从拟进行跨境个人数据传输的外国政府机构、外国自然人、外国法人实体处获取相关信息。

11. 个人数据的保密性

运营商及获得个人数据访问权限的其他人士，不得在未经个人数据主体同意的情况下向第三方披露或传播个人数据，除非联邦法律另有规定。

12. 最后条款

12.1. 用户可通过电子邮件发送至doc@gca.holdings联系运营商，以获取有关其个人数据处理的任何疑问的解释。

12.2. 本文件将反映运营商个人数据处理政策的所有变更。本政策有效期至被新版本取代为止。12.3. 本政策的最新版本可通过互联网直接访问，网址为https://gca.studio/privacy-policy。