个人信息与数据处理政策

个人信息与数据处理政策

网站发布版

莫斯科市 2026 年

目的与适用范围

本运营方个人数据处理政策（以下简称“本政策”）系根据 2006年7月27日第152-FZ号《关于个人数据》联邦法（以下简称“第152-FZ号联邦法”）第18.1条第1款第2项、俄罗斯联邦宪法及俄罗斯联邦个人数据保护领域的其他法规制定。

本政策规定了运营方网站 www.exnovo.ru（以下简称“本网站”）个人数据主体（以下简称“用户”/“个人数据主体”）个人数据的处理程序及保护措施。 本文件中的“运营方”或“本公司”是指 Contract Holding 股份公司，纳税人识别号（INN）： 7707473702 / 登记原因代码（KPP）： 770701001，实际办公地址： 127006，莫斯科市特维尔市区内领地，多尔戈鲁科夫斯卡娅街 34 号 2 栋。

本政策明确了个人数据处理的核心目的、原则、方式与条件，本公司在处理个人数据时的权利与义务，个人数据主体的权利与义务，以及本公司为保护个人数据所实施的要求和措施。

使用本网站、其各项服务或通过反馈表单发送数据，即表示用户同意本政策及其规定的个人数据处理条件。

术语及定义列表

运营方（本公司）——指独立或与他人共同组织和/或实施个人数据处理，并确定处理目的、待处理的个人数据构成以及对个人数据执行的动作（操作）的国家机构、市政机构、法人或自然人。

个人数据的自动化处理——指借助计算机技术设备进行的个人数据处理。

个人数据保护——指为确保个人数据安全以及保护与特定或可根据此类信息确定的个人数据主体相关的资料而采取的一系列技术、组织以及组织技术类综合措施。

个人数据信息系统（ISPDn）——指一种信息系统，包括数据库中包含的个人数据集合，以及允许在有无自动化设备参与的情况下处理这些个人数据的信息技术和技术工具。

个人数据机密性——指运营方或任何获得个人数据访问权限的其他人必须履行的义务，即未经个人数据主体同意或缺乏其他法律依据的情况下，不得向第三方披露或传播个人数据。

个人数据匿名化/脱敏——指执行一系列操作，使得在不使用额外信息的情况下，无法确定特定主体对个人数据的归属。

个人数据处理——指使用或不使用自动化设备对个人数据进行的任何动作（操作）或一系列动作（操作），包括个人数据的收集、记录、系统化、积累、存储、完善（更新、修改）、提取、使用、传输（分发、提供、访问）、匿名化、屏蔽、删除和销毁。

个人数据——指与特定自然人（个人数据主体）相关或可据此确定该自然人的任何信息。

个人数据的传播/分发——指旨在向不特定的人群披露个人数据的行为。

个人数据主体——指本公司根据俄罗斯联邦现行法规及本公司内部文件规定对其个人数据进行处理的自然人。

个人数据销毁——指执行一系列操作，使得在个人数据信息系统中无法恢复个人数据的内容和/或个人数据的物理载体被销毁。

个人数据屏蔽/冻结——指暂时中止个人数据的处理（除非为了完善个人数据而必须进行处理的情况）。

Cookie 文件（cookies）——指在用户使用本网站期间，通过安装在用户设备上的软件自动传输给运营方的数据（包括 IP 地址、地理位置、浏览器信息、设备技术特征、访问日期和时间）。

个人数据处理原则

本公司处理个人数据遵循以下原则：

在征得个人数据主体同意后进行个人数据处理；

个人数据的处理对于实现俄罗斯联邦国际条约或法律规定的目的，以及运营方行使和履行俄罗斯联邦法律赋予其的职能、权力和义务是必要的；

具有处理个人数据的合法依据；

个人数据的处理仅限于实现具体、预先明确且合法的目的。 严禁进行与收集目的不符的个人数据处理；

禁止合并出于互不兼容的处理目的而包含个人数据的数据库；

仅处理符合其处理目的的个人数据；

所处理个人数据的内容和范围应与声明的处理目的相符（防止数据冗余）；

个人数据的存储形式必须能够识别个人数据主体，且存储时间不得超过个人数据处理目的所需的时间，除非俄罗斯联邦法律或合同另有规定；

本公司假定用户提供的信息是真实和充分的。 本公司不对提供的个人信息的真实性进行验证。

处理的目的、个人数据类别、期限和方式

运营方在本网站上收集和处理用户的个人数据严格限定在以下三个具体、独立且有法律依据的目的范围内：

处理目的

个人数据主体类别

待处理的个人数据清单

法律依据

处理与存储期限

处理与销毁方式

1. 处理收到的问询和申请（建立反馈、提供咨询与回复）。

填写反馈表单或申请的本网站访客。

姓名；电话号码；电子邮箱 (e-mail)；留言内容。

— 《第152-FZ号联邦法》第6条第1款第1项（同意处理个人数据）； 《第152-FZ号联邦法》第6条第1款第5项（按主体意愿签订合同）。

直至诉求处理完毕并提供回复，但自收到之日起不超过 1 年。

混合处理。 通过从个人数据信息系统 (ISPDn) 中删除进行销毁，并出具证明文件及导出日志。

2. 推广商品、工程与服务（提供关于促销、竞赛及活动的信息）。

给予单独许可接收推送的本网站用户。

姓名；电子邮箱 (e-mail)；电话号码。

— 《第152-FZ号联邦法》第6条第1款第1项、第15条（单独的推送同意书）； 《关于广告》联邦法第18条第1款。

直至用户撤回同意（通过“取消订阅”按钮或发邮件申请）。

自动化处理。 立即停止出于营销目的的数据处理（自收到撤回通知起）；数据彻底销毁 — 30 天内。

3. 本网站数据分析与优化（商业分析、开展统计研究）。

所有本网站访客。

设备技术数据；IP 地址；Cookie 文件；与本网站的交互数据。

— 《第152-FZ号联邦法》第6条第1款第1项（通过 Cookie 弹窗或继续使用本网站表示同意处理 Cookie 文件）。

在 Cookie 文件有效期内，但自最后一次访问起不超过 24 个月。

通过“Yandex.Metrica”服务进行匿名化的自动化处理。

Cookie 文件及网络分析服务的使用

运营方特此通知用户，为了优化本网站的运行、确保其安全性，以及收集统计和分析数据，本网站将收集并处理 Cookie 文件。 继续使用本网站或点击信息弹窗上的“接受”按钮，即表示用户同意运营方按照本节规定的条件处理 Cookie 文件。

运营方使用以下类型的 Cookie 文件以确保本网站的正常运行：

绝对必要（技术类）：提供本网站的基础功能，如页面导航、访问受保护部分以及安全性。 若无这些文件，本网站将无法正常运行。

功能类：允许本网站记住您的选择（例如，用户名或地区），以提供更个性化的体验。

分析与统计类：帮助运营方了解访客如何与本网站交互（哪些页面受欢迎、用户在本网站停留的时长）。 我们仅以匿名形式使用这些数据。

本公司网站部署了由 Yandex 提供的“Yandex.Metrica”网络分析服务。 有关用户使用本网站的信息将传输给 Yandex，并存储在位于俄罗斯联邦的 Yandex 服务器上。 Yandex 处理收到的信息，以评估网站的使用情况并根据以下条款编制报告： 发布于互联网地址 https://yandex.ru/legal/confidential/ 的《隐私政策》，发布于互联网地址 https://yandex.ru/legal/cookies_policy/ru/ 的《Cookie 文件使用政策》；发布于互联网地址 https://yandex.ru/legal/metrica_termsofuse/ru/ 的《“Yandex.Metrica”服务使用条款》；

用户可以在其浏览器设置中拒绝使用 Cookie。 在这种情况下，本网站将仅使用维持其运行所绝对必需的 Cookie，但此拒绝操作可能会导致本网站运行不正常。

个人数据主体的权利

用户有权根据现行法律获取有关其个人数据处理情况的信息：

确认个人数据处理的事实；

处理个人数据的法律依据和目的；

处理个人数据的目的和采用的方式；

运营方的名称和所在地，以及有权访问个人数据的人员信息；

被处理的个人数据清单及其来源；

个人数据的处理期限及其存储期限；

主体行使俄罗斯联邦法律规定权利的程序。

当个人数据不完整、过时、不准确、非法获取或并非声明的处理目的所必需时，用户有权要求本公司更正、屏蔽或销毁其个人数据，并采取法律规定的措施保护自身权利。

为了实现自身的权利和合法利益，用户有权向本公司申请提供有关其个人数据处理与保护的信息，并通过以下电子邮箱发送申请以撤回对处理其个人数据的同意：info@exnovo.ru，或向以下邮寄地址发送书面请求： 127006，莫斯科市特维尔市区内领地，多尔戈鲁科夫斯卡娅街 34 号 2 栋。

本公司应根据用户或其法定代表人的请求，以易于理解的形式提供第 6.1 条中规定的信息，并且这些信息不应包含与其他个人数据主体相关的个人数据，除非存在披露此类个人数据的合法依据。

用户或其代表的请求必须包含：

个人数据主体或其代表的主要身份证件号码；

关于上述证件签发日期及签发机关的信息；

确认个人数据主体参与本公司关系的资料（合同编号、合同签订日期或其他信息），或以其他方式确认本公司正在处理其个人数据事实的信息；

个人数据主体或其代表的签名。

用户有权在首次提出申请或发送首次请求之日起至少三十天后，再次向本公司请求提供第 6.1 条中规定的信息，除非俄罗斯联邦法律另有规定。

若用户曾表示同意处理其个人数据，其有权撤回该同意。 撤回同意应由主体发送至本公司地址，并必须包含第 6.5 条中规定的信息。

在主体撤回个人数据处理同意的情况下，如果存在俄罗斯联邦法律或以该个人数据主体为一方、受益人或担保人的合同所规定的依据，本公司有权在未经主体同意的情况下继续处理其个人数据。

本公司依法审核个人数据主体的诉求，提供解释说明，并根据俄罗斯联邦法律的要求采取个人数据保护措施。 当收到个人数据主体的索赔和投诉时，本公司将采取一切必要措施消除潜在的违规行为，确定责任人，并在诉前程序中解决争议情况。

个人数据主体访问其个人数据的权利可能在现行俄罗斯联邦法律规定的情况下受到限制。

个人数据主体的其他权利由联邦法

《关于个人数据》确定。

处理个人数据时保障其安全的措施

本公司在处理个人数据时，采取一切必要的法律、组织和技术措施来保护个人数据，防止未经授权或意外访问、销毁、修改、屏蔽、复制、提供、传播个人数据，以及防止对个人数据的其他非法行为。

本公司为保护个人数据采取的主要措施包括：

确定在信息系统中处理个人数据时存在的安全威胁；

应用必要的组织和技术措施，旨在确保在个人数据信息系统中处理个人数据时的安全，以遵守个人数据处理和保护要求；

评估在个人数据信息系统中保障已处理个人数据安全所采取措施的有效性；

在本公司内任命负责组织个人数据处理工作的管理人员；

批准有关个人数据处理和保护的内部规章制度，旨在发现违反俄罗斯联邦法律的行为，在发现后消除此类违规行为的后果并防止其再次发生；

组织并定期监督为保障个人数据安全而采取的措施的遵守情况，使其符合俄罗斯联邦个人数据保护立法的要求及其生效执行的

附属法规规范，以及制定的不违背俄罗斯联邦立法的内部规范性文件；

让直接从事个人数据处理的本公司员工熟悉现行俄罗斯联邦有关个人数据的立法规定，包括处理和保护个人数据的要求、内部规章制度以及本政策；

组织工作并对个人数据保护要求的执行情况实施妥善监督，包括对在本公司控制区域范围内处理的个人数据的物理保护，以及对个人数据载体、其存储和处理场所的保护；

制定在个人数据信息系统中处理个人数据的访问规则，并确保对个人数据信息系统中针对个人数据执行的所有操作进行记录和登记；

终止处理和销毁个人数据的程序

在达到个人数据处理目的时，此类个人数据的处理应当停止，并且个人数据应当在达到处理目的之日起三十天内销毁，除非以该个人数据主体为一方、受益人或担保人的合同、运营方与个人数据主体之间的其他协议另有规定，或者根据俄罗斯联邦法律规定的依据，运营方无权在未经个人数据主体同意的情况下处理其个人数据。

如果发现非法处理个人数据的情况，此类个人数据的处理必须在三个工作日内停止。 如果无法确保个人数据处理的合法性，个人数据必须在发现非法处理之日起十个工作日内销毁。

如果主体撤回处理其个人数据的同意，本公司必须立即停止出于 marketing 营销目的（推广商品、工程、服务）的数据处理。 出于其他目的的处理应予以停止，并且如果出于处理目的不再需要保留个人数据，此类个人数据应在收到上述撤回通知之日起三十天内销毁，除非以该主体为一方、受益人或担保人的合同另有规定，或者运营方无权根据俄罗斯联邦法律规定的依据在未经主体同意的情况下进行处理。

如果无法在第 8.1-8.3 条规定的期限内销毁个人数据，则应确保对这些个人数据进行屏蔽，并在不超过六个月的期限内予以销毁，除非俄罗斯联邦法律另有规定。

根据 2022 年 10 月 28 日发布的第 179 号俄联邦通信监督局 (Roskomnadzor) 令，在自动化处理过程中销毁个人数据的事实，由本公司通过编制《个人数据销毁确认书》及强制保留从个人数据信息系统 (ISPDn) 事件日志导出的记录来予以确认。 这些文件自数据销毁之日起由本公司保存 3 年。

个人数据的传输

向第三方传输个人数据仅在个人数据主体同意或在俄罗斯联邦法律明确规定的情况下进行。

仅在俄罗斯联邦法律规定的依据下，才允许将个人数据提供给国家权力机关、地方自治机关、安全与执法机关以及其他授权机构。

运营方不对主体授权公开的个人数据进行处理（根据《第152-FZ号联邦法》第10.1条的定义）。 运营方不向外国领土进行个人数据的跨境传输。 数据库存储在俄罗斯联邦境内。

责任及最终条款

对于违反俄罗斯联邦法律、《规定》及本公司其他内部规章制度的行为，接触到个人数据的员工和其他人员将根据俄罗斯联邦法律承担相应的纪律、行政、民事及刑事责任。

本政策无限期有效，直至被新版本替换。 运营方有权单方面对本政策进行修改。 本政策的新版本自发布于本网站之日起生效，除非新版本另有规定。