Политика в отношении обработки персональных данных (Республика Казахстан)

1. Общие положения

Настоящая Политика составлена в соответствии с законодательством Республики Казахстан, в том числе Законом Республики Казахстан от 21.05.2013 № 94-V «О персональных данных и их защите» (далее — Закон о персональных данных РК), и определяет порядок сбора, обработки, хранения, передачи и защиты персональных данных, а также права субъектов персональных данных.

1.1. Целью настоящей Политики является обеспечение защиты прав и свобод человека и гражданина при сборе и обработке его персональных данных, включая защиту права на неприкосновенность частной жизни, личную и семейную тайну, а также обеспечение прозрачности процессов обработки.

1.2. Политика применяется ко всей информации, которую Оператор — Shertaev Karim Amirovich (e-mail: shertaev.tech@gmail.com) — может получить о посетителях веб-сайта https://usynamyn.kz и/или пользователях его сервисов на территории Республики Казахстан.

1.3. Уполномоченным органом по вопросам защиты прав субъектов персональных данных в РК является Министерство цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан (МЦРИАП).

2. Основные понятия, используемые в Политике

2.1. Персональные данные — сведения, относящиеся к определенному или определяемому субъекту персональных данных и зафиксированные на электронном, бумажном или ином материальном носителе.

2.2. Субъект персональных данных — физическое лицо, к которому относятся персональные данные.

2.3. Собственник базы данных, содержащей персональные данные (далее — Собственник) — лицо, осуществляющее владение, пользование и распоряжение базой данных с персональными данными по праву собственности или иному законному основанию.

2.4. Оператор базы данных, содержащей персональные данные (далее — Оператор базы данных) — лицо, использующее базу данных в своей деятельности с согласия Собственника либо оказывающее услуги по хранению и (или) обработке персональных данных.

2.5. Обработка персональных данных — действия (операции) или совокупность действий, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, распространение, доступ), обезличивание, блокирование и уничтожение персональных данных.

2.6. Персональные данные ограниченного доступа — персональные данные, доступ к которым ограничивается в соответствии с законодательством РК либо условиями согласия субъекта.

2.7. Персональные данные из общедоступных источников — персональные данные, размещенные субъектом либо с его согласия в общедоступных источниках (в объеме и порядке, установленных законодательством РК).

2.8. Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства иностранным физическим и/или юридическим лицам и/или органам власти, при соблюдении требований законодательства РК.

2.9. Автоматизированная обработка — обработка персональных данных с использованием средств вычислительной техники.

2.10. Обезличивание — действия, в результате которых становится невозможным определить принадлежность персональных данных конкретному субъекту без использования дополнительной информации.

3. Права и обязанности Оператора (Собственника/Оператора базы данных)

3.1. Оператор имеет право:

• получать от субъекта достоверные сведения и/или документы, содержащие персональные данные;
• привлекать на основании договора третьих лиц для обработки персональных данных при условии соблюдения ими требований законодательства РК;
• осуществлять трансграничную передачу персональных данных при соблюдении условий законодательства РК (см. раздел 10).

3.2. Оператор обязан:

• обрабатывать персональные данные на законной и справедливой основе в пределах целей, указанных в согласии субъекта и/или предусмотренных законом или договором;
• по обращению субъекта сообщать информацию, относящуюся к нему (источник, состав обрабатываемых данных, цели, правовые основания, сроки и т.д.) в течение 3 (трех) рабочих дней со дня получения обращения субъекта или его законного представителя, либо направлять мотивированный отказ в те же сроки, если иные сроки не предусмотрены законами РК;
• в течение 1 (одного) рабочего дня блокировать персональные данные при наличии информации о нарушении условий их сбора и/или обработки — до подтверждения или опровержения указанной информации;
• обеспечивать сохранность персональных данных и принимать организационные и технические меры по их защите;
• обеспечить хранение баз данных, содержащих персональные данные, на территории Республики Казахстан, если иное прямо не допускается законодательством РК;
• публиковать настоящую Политику в свободном доступе и поддерживать ее актуальность.

4. Права и обязанности субъектов персональных данных

4.1. Субъект имеет право:

• получать сведения об условиях доступа к своим персональным данным, целях, источниках, способах и сроках их обработки, а также о передаче третьим лицам;
• требовать уточнения (изменения, дополнения), блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, собранными незаконно или не являются необходимыми для заявленной цели обработки;
• давать согласие на сбор и обработку персональных данных, устанавливать ограничения доступа (для данных ограниченного доступа), а также отзывать согласие — за исключением случаев, когда отзыв противоречит законам РК или наличию неисполненного обязательства;
• обжаловать действия или бездействие Оператора в уполномоченный орган и/или в судебном порядке.

4.2. Субъект обязан:

• предоставлять достоверные персональные данные в случаях, установленных законами РК, а также сообщать об их уточнении.

5. Принципы обработки персональных данных

5.1. Законность и справедливость обработки. 5.2. Ограничение обработки достижением конкретных, заранее определенных и законных целей. 5.3. Соответствие объема и содержания данных заявленным целям (недопустимость избыточности). 5.4. Точность, достаточность и, при необходимости, актуальность данных. 5.5. Хранение не дольше, чем этого требуют цели обработки, если иные сроки не установлены законом или договором. 5.6. Обеспечение конфиденциальности и безопасности персональных данных.

6. Цели и правовые основания обработки

Цели обработки: предоставление доступа к сервисам, контенту и/или материалам веб-сайта; коммуникация с пользователями; исполнение договоров; обеспечение безопасности сервиса; выполнение требований законодательства РК; аналитика и улучшение сервисов.

Персональные данные (возможный состав, с учетом принципа минимизации):

• фамилия, имя, отчество;
• контактные данные (e-mail, номер телефона);
• год, месяц, дата и место рождения (при необходимости для конкретной услуги);
• фотографии/изображения (при наличии функциональности загрузки);
• идентификаторы устройств/сеансов, технические данные (IP-адрес, cookie и т.п.) — для обеспечения работоспособности сайта и аналитики;
• иные данные, предоставленные субъектом добровольно в рамках использования сервисов.

Правовые основания: согласие субъекта (ст. 7), заключение и/или исполнение договора с субъектом, исполнение требований законодательства РК, защита прав и законных интересов Оператора или третьих лиц при условии ненарушения прав и свобод субъекта.

Виды обработки: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных; направление информационных сообщений (при наличии законного основания).

7. Условия обработки персональных данных

7.1. Обработка персональных данных осуществляется при наличии согласия субъекта, а также в иных случаях, предусмотренных законодательством РК (исполнение договора, требования закона, защита прав и законных интересов и т.п.).

7.2. Обработка персональных данных из общедоступных источников допускается в объеме и порядке, установленном законодательством РК.

7.3. Доступ третьих лиц к персональным данным предоставляется при условии принятия ими обязательств по соблюдению требований законодательства РК и настоящей Политики.

8. Сбор, хранение, передача и меры защиты

8.1. Безопасность персональных данных обеспечивается комплексом правовых, организационных и технических мер с учетом актуальных рисков и требований законодательства РК.

8.2. Локализация хранения: базы данных, содержащие персональные данные, хранятся на серверах, расположенных на территории Республики Казахстан (или в облачной инфраструктуре, физически размещенной в РК), если иное прямо не допускается законодательством РК.

8.3. Персональные данные не передаются третьим лицам без правового основания, за исключением случаев, предусмотренных законами РК и/или прямо согласованных субъектом.

8.4. В случае выявления неточностей персональных данных субъект вправе направить запрос на их уточнение на адрес Оператора: shertaev.tech@gmail.com. Оператор изменяет (дополняет) персональные данные на основании подтверждающих документов либо блокирует/уничтожает их в предусмотренных законом случаях и сроках. Для информационных запросов действует срок ответа до 3 рабочих дней (см. п. 3.2).

8.5. При наличии информации о нарушении условий сбора/обработки персональных данных Оператор в течение 1 рабочего дня блокирует соответствующие персональные данные до выяснения обстоятельств.

8.6. Сведения, собираемые сторонними сервисами (платежные системы, провайдеры связи, сервисы аналитики и т.д.), обрабатываются соответствующими лицами по их правилам. Оператор не несет ответственности за действия указанных третьих лиц при наличии у них самостоятельного статуса Собственника/Оператора базы данных по законодательству РК.

9. Перечень действий, совершаемых с персональными данными

9.1. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

9.2. Обработка может осуществляться как автоматизированным способом, так и без использования средств автоматизации.

10. Трансграничная передача персональных данных

10.1. Трансграничная передача персональных данных допускается при условии обеспечения в принимающем государстве надлежащей защиты персональных данных и/или при наличии иного законного основания (в том числе информированного согласия субъекта, международного договора, предусмотренных законом гарантий).

10.2. Трансграничная передача осуществляется с соблюдением требований о защите персональных данных и при документальном подтверждении правовых оснований такой передачи.

11. Конфиденциальность персональных данных

Оператор, а также третьи лица, получившие доступ к персональным данным ограниченного доступа, обязаны не раскрывать и не распространять такие данные без согласия субъекта либо наличия иного законного основания.

12. Порядок рассмотрения обращений и заключительные положения

12.1. Субъект может направить обращение/запрос по вопросам обработки персональных данных на e-mail: shertaev.tech@gmail.com. Ответ с информацией, относящейся к субъекту, направляется в срок до 3 рабочих дней со дня получения обращения, если иные сроки не установлены законами РК. В случае отказа предоставляется мотивированный ответ в те же сроки.

12.2. Политика действует бессрочно до замены новой версией. Актуальная редакция размещена по адресу: https://usynamyn.kz/privacy.

12.3. Оператор оставляет за собой право вносить изменения в настоящую Политику в соответствии с изменениями законодательства РК и практики его применения. При внесении существенных изменений Оператор размещает обновленную версию на сайте.

Нормативная база и разъяснения, учтенные при подготовке Политики: Закон РК № 94-V «О персональных данных и их защите»; Правила сбора, обработки персональных данных (срок ответа — 3 рабочих дня; блокирование — в 1 рабочий день); требования к локализации баз данных на территории РК; условия трансграничной передачи; компетенция уполномоченного органа (МЦРИАП).