1. back
  1. legal
  2. Политика защиты персональных данных

ПОЛИТИКА ТОО «SOLVAS» в отношении обработки персональных данных

1. Настоящая Политика Товарищества с ограниченной ответственностью «SOLVAS (СОЛВАС)», расположенного по адресу: A25D6X2 (050051), г. Алматы, пр. Достык 188, офис №104, (далее – Общество) в отношении обработки персональных данных (далее – Политика) определяет политику в отношении обработки персональных данных, порядок обработки Обществом персональных данных, включая порядок сбора, хранения, использования, передачи и защиты персональных данных.

2. Политика и изменения к ней утверждаются исполнительным органом Общества.

3. Действие Политики распространяется на процессы Общества, при осуществлении которых осуществляется сбор, обработка и хранение персональных данных.

4. В тексте Политики использующиеся термины и понятия употребляются в значениях, применяемых в действующем законодательстве Республики Казахстан.

5. Политика является общедоступной и размещается в информационной сети Интернет на сайте Общества.

6. Общество обрабатывает персональные данные следующих категорий субъектов:

  • контрагентов – физических лиц и иных субъектов, в случае заполнения и/или отправки данными лицами специальных форм обратной связи, размещенных на сайте: www.solvas.kz (далее именуемый – сайт).

7. Содержание и объем персональных данных каждой категории субъектов определяется необходимостью достижения конкретных целей их обработки, а также необходимостью Обществу реализовать свои права и обязанности, а также права и обязанности соответствующего субъекта.

  1. 7.1.1. Персональные данные физических лиц в случае заполнения и/или отправки данными лицами специальных форм обратной связи, размещенных на сайте:
    • фамилию, имя, отчество;
    • номер мобильного телефона;
    • адрес электронной почты;
    • наименовании представляемой компании, должность;
    • данные, получаемые при доступе к сайту, включающие в себя сведения о технических средствах (устройствах), технологическом взаимодействии с сайтом, в т. ч. IP-адрес, файлы cookie.

8. Обработка персональных данных субъектов основывается на следующих принципах:

  • обработка персональных данных осуществляется в соответствии с Законом О персональных данных и их защите и иными актами законодательства;
  • обработка персональных данных должна быть соразмерна заявленным целям их обработки и обеспечивать на всех этапах такой обработки справедливое соотношение интересов всех заинтересованных лиц;
  • обработка персональных данных осуществляется с согласия субъекта персональных данных, за исключением случаев, предусмотренных Законом О персональных данных и их защите и иными законодательными актами;
  • обработка персональных данных должна ограничиваться достижением конкретных, заранее заявленных законных целей. Не допускается обработка персональных данных, не совместимая с первоначально заявленными целями их обработки;
  • содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям их обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
  • обработка персональных данных должна носить прозрачный характер. В этих целях субъекту персональных данных в случаях, предусмотренных Законом О персональных данных и их защите, предоставляется соответствующая информация, касающаяся обработки его персональных данных;

9. Оператор обязан принимать меры по обеспечению достоверности обрабатываемых им персональных данных, при необходимости обновлять их.

10. Хранение персональных данных должно осуществляться в форме, позволяющей идентифицировать субъекта персональных данных, не дольше, чем этого требуют заявленные цели обработки персональных данных.

11. Обработка персональных данных субъектов персональных данных осуществляется в следующих целях:

  • осуществление и выполнение функций, полномочий и обязанностей, возложенных на Общество уставом и законодательством Республики Казахстан;
  • осуществление и выполнение Обществом функций, полномочий и обязанностей в рамках договоров, заключенных с контрагентами;
  • предоставление обратной связи на обращения, полученные Обществом через сайт;
  • коммуникации по полученной заявке и (или) запросу;
  • отправки сообщений рекламно-информационного характера;
  • осуществления деятельности по продвижению товаров/услуг/работ/объектов интеллектуальной собственности;
  • иные цели, направленные на обеспечение соблюдения гражданско-правовых и трудовых договоров, заключенных Обществом, законов и иных нормативных правовых актов

12. Персональные данные обрабатываются исключительно для достижения одной или нескольких указанных законных целей. Если персональные данные были собраны и обрабатываются для достижения определенной цели, для использования этих данных в других целях Оператор обязан поставить в известность об этом субъекта персональных данных и в случае необходимости получить новое согласие на обработку.

13. Обработка персональных данных может осуществляться в иных целях, если это необходимо в связи с обеспечением соблюдения законодательства.

14. Обработка персональных данных осуществляется с использованием средств автоматизации, в том числе с использованием внутренней сети и сети Интернет.

15. В случаях, установленных законодательством Республики Казахстан, основным условием обработки персональных данных является получение согласия соответствующего субъекта персональных данных.

16. Согласие на обработку персональных данных считается предоставленным посредством совершения субъектом персональных данных любого действия или совокупности следующих действий:

  • заполнения документа на бумажном носителе;
  • проставления субъектом персональных данных на сайте / в соответствующей форме и (или) в специализированном сервисе АСМР отметки о согласии на обработку персональных данных в объеме, для целей и в порядке, предусмотренных в предлагаемом перед получением согласия для ознакомления тексте.

17. Источником информации обо всех персональных данных является непосредственно субъект персональных данных, за исключением общедоступных персональных данных.

18. Если иное не установлено Законом О персональных данных и их защите, Общество вправе получать персональные данные субъекта персональных данных от третьих лиц только при уведомлении об этом субъекта, либо при наличии письменного согласия субъекта на получение его персональных данных от третьих лиц.

19. При хранении персональных данных должны соблюдаться условия, обеспечивающие сохранность персональных данных.

20. Документы, включающие в себя персональные данные, содержащиеся на бумажных носителях, находятся в специально отведенных для этого местах с ограниченным доступом в условиях, которые обеспечивают их защиту от несанкционированного доступа. Перечень мест хранения документов определяется Обществом.

21. Персональные данные, хранящиеся в электронном виде, защищаются от несанкционированного доступа с помощью специальных технических и программных средств защиты. Хранение персональных данных в электронном виде вне применяемых Обществом информационных систем и специально обозначенных Обществом баз данных (внесистемное хранение персональных данных) не допускается.

22. Хранение персональных данных должно осуществляться в форме, позволяющей идентифицировать субъекта персональных данных, но не дольше, чем этого требуют цели их обработки, если иной срок не установлен законодательством Республики Казахстан или договором, стороной которого, выгодоприобретателем или поручителем, является субъект персональных данных.

23. Если иное не предусмотрено законодательством, обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки, в случае утраты необходимости в достижении этих целей или по истечении сроков их хранения.

24. Уничтожение или обезличивание персональных данных должно производиться способом, исключающим дальнейшую обработку этих персональных данных. При этом в случае необходимости следует сохранять возможность обработки иных данных, зафиксированных на соответствующем материальном носителе.

25. Персональные данные обрабатываются и используются для целей, указанных в п. 11 Политики.

26. Доступ к персональным данным предоставляется только тем работникам Общества, служебные обязанности которых предполагают работу с персональными данными, и только на период, необходимый для работы с соответствующими данными. Перечень лиц, имеющих постоянный доступ к персональным данным определяется Обществом. Соответствующие работники должны быть ознакомлены под подпись со всеми локальными правовыми актами Общества в области персональных данных, а также должны подписать обязательство неразглашения персональных данных.

27. Допуск работников к обработке персональных данных, обрабатываемых в Обществе, прекращается:

  • при увольнении работника, имеющего допуск;
  • при переводе работника, имеющего допуск, на должность, выполнение работ по которой уже не требует допуска к обработке персональных данных;
  • при прекращении договорных отношении, на основании которых иным лицам был предоставлен допуск к обработке персональных данных.
  • Допуск к обработке персональных данных может быть дополнительно прекращен по письменному решению исполнительного органа или заместителя генерального директора.

28. В случае возникновения необходимости предоставить доступ к персональным данным работникам, не входящих в перечень лиц с доступом к персональным данным, им может быть предоставлен временный доступ к ограниченному кругу персональных данных по распоряжению исполнительного органа Общества или иного лица, имеющего соответствующие полномочия. Соответствующие работники должны быть ознакомлены под подпись со всеми локальными правовыми актами Общества в области персональных данных, а также должны подписать обязательство неразглашения персональных данных.

29. Работникам Общества, не имеющим надлежащим образом оформленного допуска, доступ к персональным данным запрещается.

30. При необходимости использования или распространения определенных персональных данных отдельно от находящихся на том же материальном носителе других персональных данных осуществляется копирование персональных данных, подлежащих распространению или использованию, способом, исключающим одновременное копирование персональных данных, не подлежащих распространению и использованию, и используется (распространяется) копия персональных данных.

31. Уточнение персональных данных при их обработке без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя – путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.

32. Передача персональных данных субъектов третьим лицам допускается в минимально необходимых объемах и только в целях выполнения задач, соответствующих объективной причине сбора этих данных.

33. Передача персональных данных третьим лицам, в том числе в коммерческих целях, допускается только при наличии согласия субъекта либо иного законного основания.

34. Передача информации, содержащей персональные данные, должна осуществляться способом, обеспечивающим защиту от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также иных неправомерных действий в отношении такой информации.

35. При оказании Оператору услуг хостинга может производиться трансграничная передача персональных данных компании ALSO International Services GmbH, Lange Wende 43, 59494, Soest, phone: 02921/99-0, e-mail: info@also.com

36. Трансграничная передача персональных данных запрещается, если на территории иностранного государства не обеспечивается надлежащий уровень защиты прав субъектов персональных данных, за исключением случаев, когда:

  • дано согласие субъекта персональных данных при условии, что субъект персональных данных проинформирован о рисках, возникающих в связи с отсутствием надлежащего уровня их защиты;
  • персональные данные получены на основании договора, заключенного (заключаемого) с субъектом персональных данных, в целях совершения действий, установленных этим договором;
  • персональные данные могут быть получены любым лицом посредством направления запроса в случаях и порядке, предусмотренных законодательством;
  • такая передача необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных или иных лиц, если получение согласия субъекта персональных данных невозможно;
  • такая передача осуществляется органом финансового мониторинга в целях принятия мер по предотвращению легализации доходов, полученных преступным путем, финансирования террористической деятельности и финансирования распространения оружия массового поражения в соответствии с законодательством;
  • получено соответствующее разрешение уполномоченного органа по защите прав субъектов персональных данных.

37. Лица, получающие персональные данные, должны предупреждаться о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и с соблюдением режима конфиденциальности. Общество вправе требовать от этих лиц подтверждение того, что это правило соблюдено.

38. В случаях, когда государственные органы имеют право запросить персональные данные или персональные данные должны быть предоставлены в силу законодательства, а также в соответствии с запросом суда, соответствующая информация может быть им предоставлена в порядке, предусмотренном действующим законодательством Республики Казахстан.

39. Все поступающие запросы должны передаваться лицу, ответственному за организацию обработки персональных данных в Общества, для предварительного рассмотрения и согласования.

40. Общество вправе поручить обработку персональных данных уполномоченному лицу.

41. В договоре между Оператором и уполномоченным лицом, акте законодательства либо решении государственного органа должны быть определены:

  • цели обработки персональных данных;
  • перечень действий, которые будут совершаться с персональными данными уполномоченным лицом;
  • обязанности по соблюдению конфиденциальности персональных данных;
  • меры по обеспечению защиты персональных данных в соответствии со ст. 22 Закона О персональных данных и их защите.

42. Уполномоченное лицо не обязано получать согласие субъекта персональных данных. Если для обработки персональных данных по поручению Оператора необходимо получение согласия субъекта персональных данных, такое согласие получает Оператор.

43. В случае если Оператор поручает обработку персональных данных уполномоченному лицу, ответственность перед субъектом персональных данных за действия указанного лица несет Оператор. Уполномоченное лицо несет ответственность перед Оператором.

44. Под защитой персональных данных понимается ряд правовых, организационных и технических мер, направленных на:

  1. обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
  2. соблюдение конфиденциальности информации ограниченного доступа;
  3. реализацию права на доступ к информации.

45. Для защиты персональных данных Общество принимает необходимые предусмотренные законом меры (включая, но не ограничиваясь):

  1. ограничивает и регламентирует состав работников, функциональные обязанности которых требуют доступа к информации, содержащей персональные данные (в том числе путем использования паролей доступа к электронным информационным ресурсам);
  2. обеспечивает условия для хранения документов, содержащих персональные данные, в ограниченном доступе;
  3. организует порядок уничтожения информации, содержащей персональные данные, если законодательством не установлены требования по хранению соответствующих данных;
  4. контролирует соблюдение требований по обеспечению безопасности персональных данных, в том числе установленных настоящей Политикой (путем проведения внутренних проверок, установления специальных средств мониторинга и др.);
  5. проводит расследование случаев несанкционированного доступа или разглашения персональных данных с привлечением виновных работников к ответственности, принятием иных мер;
  6. внедряет программные и технические средства защиты информации в электронном виде.
  7. обеспечивает возможность восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.

46. Для защиты персональных данных при их обработке в информационных системах Общество проводит необходимые предусмотренные законом мероприятия (включая, но не ограничиваясь):

  1. определение угроз безопасности персональных данных при их обработке;
  2. применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных;
  3. учет носителей персональных данных;
  4. обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;
  5. восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
  6. установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных.

47. В Обществе назначаются лица, ответственные за организацию обработки персональных данных.

48. В Обществе принимаются иные меры, направленные на обеспечение выполнения Обществом обязанностей в сфере персональных данных, предусмотренных действующим законодательством Республики Казахстан.

49. Субъект персональных данных вправе:

  1. в любое время без объяснения причин отозвать свое согласие посредством подачи Оператору заявления. Оператор обязан в пятнадцатидневный срок после получения отзыва в соответствии с его содержанием прекратить обработку персональных данных, осуществить их удаление и уведомить об этом субъекта персональных данных, если отсутствуют иные основания для таких действий с персональными данными, предусмотренные Законом О персональных данных и их защите. Отзыв согласия не имеет обратной силы, то есть обработка персональных данных до ее прекращения не является незаконной.
  2. получить информацию, касающуюся обработки своих персональных данных, содержащую:
    • наименование (фамилию, собственное имя, отчество (если таковое имеется)) и место нахождения (адрес места жительства (места пребывания)) Оператора;
    • подтверждение факта обработки персональных данных Оператором (уполномоченным лицом);
    • его персональные данные и источник их получения;
    • правовые основания и цели обработки персональных данных;
    • срок, на который дано его согласие;
    • наименование и место нахождения уполномоченного лица, которому поручена обработка персональных данных;
    • иную информацию, предусмотренную законодательством;
  3. требовать от Оператора внесения изменений в свои персональные данные в случае, если персональные данные являются неполными, устаревшими или неточными. В этих целях субъект персональных данных подает Оператору заявление, с приложением соответствующих документов и (или) их заверенных в установленном порядке копий, подтверждающих необходимость внесения изменений в персональные данные;
  4. получать от Оператора информацию о предоставлении своих персональных данных третьим лицам один раз в календарный год бесплатно, если иное не предусмотрено Законом о защите персональных данных и иными законодательными актами. Для получения указанной информации субъект персональных данных подает заявление Оператору.
  5. требовать от Оператора бесплатного прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для обработки персональных данных, предусмотренных Законом о персональных данных и иными законодательными актами. Для реализации указанного права субъект персональных данных подает Оператору заявление в порядке, установленном Законом О персональных данных и их защите. Оператор обязан в пятнадцатидневный срок после получения заявления соответствии с его содержанием прекратить обработку персональных данных, осуществить их удаление и уведомить об этом субъекта персональных данных, если отсутствуют иные основания для таких действий с персональными данными, предусмотренные Законом О персональных данных и их защите и иными законодательными актами. При отсутствии технической возможности удаления персональных данных Оператор обязан принять меры по недопущению дальнейшей обработки персональных данных, включая их блокирование, и уведомить об этом субъекта персональных данных в тот же срок. Оператор вправе отказать субъекту персональных данных в удовлетворении требования о прекращении обработки его персональных данных и (или) их удалении при наличии оснований для обработки персональных данных, предусмотренных Законом О персональных данных и их защите и иными законодательными актами.
  6. обжаловать действия (бездействие) и решения Оператора, нарушающие его права при обработке персональных данных, в уполномоченный орган по защите прав субъектов персональных данных в порядке, установленном законодательством об обращениях граждан и юридических лиц.

50. Субъект персональных данных обязан:

  1. предоставлять Обществу достоверные персональные данные;
  2. своевременно сообщать Обществу об изменениях и дополнениях своих персональных данных;
  3. осуществлять свои права в соответствии с законодательством Республики Казахстан и локальными правовыми актами Общества в области обработки и защиты персональных данных;
  4. исполнять иные обязанности, предусмотренные законодательством Республики Казахстан и локальными правовыми актами Общества в области обработки и защиты персональных данных.

51. Общество вправе:

  1. устанавливать правила обработки персональных данных в Обществе, вносить изменения и дополнения в настоящую Политику, самостоятельно в рамках требований законодательства разрабатывать и применять формы документов, необходимых для исполнения обязанностей Оператора;
  2. осуществлять иные права, предусмотренные законодательством Республики Казахстан и локальными правовыми актами Общества в области обработки и защиты персональных данных.